Firefox 将 DoH 设为默认后，加密 DNS 流量显著上升，但公开的 DoH 解析器列表严重不全，导致网络管理员无法通过 IP、SNI 或端口匹配彻底拦截 DoH 连接，恶意软件已利用此特性绕过检测。
协议差异与拦截手段：
DoT 仅用固定端口 853，防火墙可直接按端口封锁；DoH 复用 443 端口并混入 HTTPS 流量，只能依靠解析器 IP 列表、TLS SNI 字段及端口匹配三重手段拦截。这种设计使得 DoH 天然难以被传统流量识别设备区分，也让依赖明文 DNS 的家长控制、恶意域名拦截等安全策略失效。
实测发现列表覆盖率极低：
布拉格捷克理工大学、CESNET 与 Avast 研究人员对全网主动扫描后发现，实际运行的 DoH 服务器数量接近公开列表记录的四倍。原文未给出具体基线列表数量，但实测结果直接证明现有“开放知识”库严重滞后，无法支撑完整的封锁策略。
使用地域与增长趋势：
美国、巴西在加密 DNS 采用率上领跑，意大利、阿根廷等经济体追赶迅速。2019 年 9 月 Firefox 面向美用户推出默认 DoH 后，捷克理工大学校园网流量中 DoH/DoT/DoQ 请求量随即跃升（原文未给出具体增幅数值），DoQ 因量极小未在图表显现。
对运维而言，依赖静态 IP/SNI 列表封锁 DoH 已不可行；需部署能解析 TLS SNI 的新一代防火墙，或在终端强制使用受管 DoH/DoT 解析器，才能在保障隐私与维持可视性之间取得平衡。
原文: APNIC Blog（2021-09-13）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog