DoH 协议已于 2020 年 3 月在 IETF 完成标准化，但解析器发现与选择机制缺失，Firefox 率先在北美默认启用 Cloudflare 解析器，暴露出企业策略绕过与回退机制等部署难点。
协议标准化与机制缺口：
IETF 于 2020 年 3 月宣布 DoH 协议完备并解散工作组，确立了基于 HTTPS 的 DNS 查询加密路径。然而标准未定义解析器发现与选择机制，导致客户端无法自动获取可信 DoH 端点。该短板预计由新成立的 ADD 工作组后续解决。原文未给出 ADD 工作组的具体进度时间表。
Firefox 落地策略与区域差异：
Mozilla Firefox 率先在北美市场默认启用 DoH 并指向 Cloudflare 解析器，随后因欧洲批评而收敛部署范围。当前 Firefox 仅内置 Cloudflare、Comcast、NextDNS 三家美国运营商的解析器，用户虽可手动配置替代服务，但需具备 DNS 专业知识。原文未给出各解析器的市场份额或查询量数据。
回退机制与策略绕过风险：
当 DoH 解析器不可达时，Firefox 会自动回退至普通 DNS，保证可用性但削弱加密一致性。更关键的是，DoH 启用后可绕过本地 DNS 过滤，包括家长控制、恶意域名拦截及企业内容策略。Mozilla 声称会检测家长控制、恶意内容过滤及托管设备配置以决定是否启用 DoH，但因实现方式多样，检测可能失效。原文未给出检测失败的具体案例或比例。
运维与网络工程师需关注：DoH 客户端的默认行为可能规避现有 DNS 防护层，需在终端配置策略或部署企业级 DoH 解析器以维持可视性与合规性，同时评估回退机制对加密一致性的影响。
原文: APNIC Blog（2020-10-30）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog