DoT 通过 TLS 加密 DNS 查询，解决了 UDP 明文传输易被窃听与篡改的问题；但 DNSSEC 通过区域签名保障数据源头真实性，二者信任模型本质不同。文章指出 DoT 与 DNSSEC 目前互补，前者提供隐私与可靠投递，后者提供源头认证；长期看 DoT 可能取代 DNSSEC，但需依赖运营商正确转发而非自验证数据。
UDP 固有缺陷与 DNSSEC 的诞生
传统 DNS 基于无状态 UDP，单次请求响应极易被伪造源 IP 的攻击者拦截并注入伪造答案。DNSSEC 选择在区层面由持有者对数据签名，而非改用 TCP，因 UDP 扩展成本低且意在从根本解决源头真实性。该机制将信任锚定在区签名链上，验证器需自行校验每条记录的完整性与来源，不依赖中间节点诚信。
DoT 的隐私模型与可靠投递
DoT 在 TLS 之上传输 DNS，消除链路窃听与路径篡改。Quad9 与 Cloudflare 等公共解析器已部署，使客户端至可信解析器的通道获得认证加密。但 DoT 仅保护传输段，无法验证权威服务器返回数据是否被篡改；其信任模型转向依赖授权运营商正确转发，而非像 DNSSEC 那样让终端自验证数据正确性。
互补关系与潜在替代路径
当前 DoT 与 DNSSEC 互补：前者解决“最后一公里”隐私与投递可靠性，后者解决权威数据源头真实性。边缘网络常丢弃或截获 DNSSEC 相关报文，导致验证失败；DoT 的可靠投递特性反而可能让 DNSSEC 与 DANE 落地。若 DoT 普及至权威侧，信任模型将从“验证数据”转为“信任运营商链”，实现替代但引入新的信任假设。
对运维而言，部署 DoT 可立即阻断本地网络的 DNS 劫持与窃听；若需端到端数据真实性，仍需在验证端启用 DNSSEC 校验。长期规划应评估是否将信任锚点下移至受管解析器，权衡运营商可信度与自验证成本。
原文: APNIC Blog（2018-08-17）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog