通过在 Tor 网络上运行负载均衡的 DNS-over-HTTPS（DoH），DoHoT 方案在接受适度延迟代价的前提下，同时实现了上游解析器防欺骗、客户端匿名性、抗封锁与抗指纹识别等多重目标。作者已在生产环境运行 18 个月，实测表现为「adequate to good」。
核心机制：Tor 电路与 DoH 负载均衡
Tor 项目提供由志愿者运营的节点，为 TCP 电路（尤其是 HTTPS）提供强匿名、抗封锁、抗追踪能力，Facebook、BBC、纽约时报等机构均通过 Tor 提供含流媒体在内的服务。DoHoT 将存根解析器的所有 DoH 请求经 Tor 电路转发，并配置大型 DoH 服务器池进行 HTTPS 负载均衡，动态抵消 Tor 引入的最坏延迟情况。Tor 电路会带来额外的初始建立延迟、传输延迟与带宽限制，负载均衡可在一定程度上平摊这些开销。负载均衡同时降低了中心化日志记录与行为指纹识别的风险，也削弱了 DoH 提供商对「来自 Tor 的请求」实施差别化处理的能力与动机。原文未给出具体服务器池规模与延迟量化数据。
信任链与指纹消除
标准 HTTPS 确认 DoH 解析器身份，强制要求池内所有解析器启用 DNSSEC，从而保证上游信任链完整。通过对存根解析器进行标准化精细调优，消除了密码套件、会话票据、请求格式等层面的 SSL 指纹识别面。Tor 的电路级匿名性天然抵消了 EDNS Client Subnet（ECS）扩展带来的上游监控与追踪机会。原文未给出具体调优参数与 DNSSEC 验证失败率数据。
对运维与网络工程师的实际意义
DoHoT 展示了一条无需部署新协议栈、仅需组合现有成熟组件即可获得强隐私保障的路径。在可接受 DNS 延迟从「极快」退化为「足够好」的业务场景下，该方案可直接落地，规避上游劫持、ECS 泄露与单点日志风险。
原文: APNIC Blog（2021-09-28）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog