01 · 治理逻辑：机密性与可审计性的结构性矛盾
加密DNS的治理困境源于一个结构性事实：同一条加密通道，既阻止了攻击者的窃听与篡改，也屏蔽了合法治理方的观测与审计。密码学不区分观察者的善恶——这一"技术中性"属性使加密DNS必然同时削弱三类合法能力：
- 企业安全审计能力：DNS遥测是企业威胁检测的关键数据源（详见第6页）；
- 法定网络日志留存能力：国内法规要求网络运营者留存网络日志，解析记录是重要组成部分；
- 网络治理工具的有效性：基于DNS的违法有害信息拦截、版权过滤、家长控制等体系面临失效。
因此，加密DNS的治理命题不是"支持或反对加密"，而是：如何在密码学无法区分善恶观察者的前提下，通过架构设计让"解密权"只落在合法治理点上。本页后续章节分别考察中国法规映射、国际治理样本，并给出本课题设计的平衡框架。
02 · 中国法规映射分析
本节为学术研究性分析，不构成法律意见；具体合规义务以主管部门正式解释为准。《网络安全法》已于2025年修正、自2026年1月1日起施行，本页引用条款为长期稳定条款，具体条文序号以现行有效版本为准。
| 法规条款 | 要求要点 | 与加密DNS的关系 |
|---|---|---|
| 《网络安全法》第21条 | 采取监测、记录网络运行状态、网络安全事件的技术措施，相关网络日志留存不少于六个月 | 解析日志属于网络日志范畴。终端级加密DNS使企业网关/内网侧解析日志出现缺口，运营者可能无法满足留存义务 |
| 《网络安全法》第24条 | 网络运营者为用户提供接入服务时应当要求用户提供真实身份信息 | 递归解析服务面向公众提供时同样适用实名制要求；境外加密递归不对境内用户执行实名，构成监管套利 |
| 《数据安全法》 | 数据分类分级保护、重要数据处理者义务 | 规模化解析日志属重要数据管理范畴，其收集、存储、出境均需评估 |
| 《个人信息保护法》 | 个人信息处理的告知同意与最小化原则 | 解析日志包含访问意图等敏感个人信息，处理需合法性基础；加密DNS改变了个人信息在企业/递归两侧的分布 |
| 等保2.0（GB/T 22239） | 安全审计要求：审计记录覆盖重要用户行为与安全事件 | DNS审计是安全审计的常规组成部分；加密通道若绕开审计点，直接影响等保测评符合性 |
| 《关键信息基础设施安全保护条例》 | 关基运营者安全保护义务与境内存储要求 | 关基单位使用境外加密递归服务存在解析数据出境的合规风险敞口 |
2.1 数据出境维度的专门分析
境内终端配置境外加密DNS（DoH/DoT/DoQ直连8.8.8.8或1.1.1.1）时，用户的域名查询内容本身即构成向境外传输的数据。尽管单条查询的敏感度有限，但持续、全量的查询流可还原用户/组织的完整访问画像，规模化场景下可能触发《数据出境安全评估办法》的申报义务。对本课题的治理含义：加密DNS在国内不仅是隐私技术问题，更是数据出境合规问题——这是与国际治理框架最本质的差异点。
03 · 国际治理样本
| 法域 | 治理取向 | 代表事件/机制 |
|---|---|---|
| 英国 | 协商优先，反对默认强制切换 | 2019年ISPA“年度恶人”事件；Mozilla推迟默认启用DoH并与利益相关方协商；NCSC公开表达对默认DoH绕过本地治理的担忧 |
| 俄罗斯 | 技术阻断取向 | 立法授权（2020）+技术阻断（2021年9月经TSPU测试阻断Google/Cloudflare公共DNS；2024年起封锁ECH连接） |
| 欧盟 | GDPR框架下的个人信息保护取向 | ISP作为处理者的DNS数据义务受GDPR约束；加密DNS被部分隐私倡导者视为对ISP画像的制衡 |
| 美国 | 市场与行业自律取向 | 运营商与浏览器厂商博弈；无统一联邦规则；州层面消费者隐私法陆续覆盖ISP数据处理行为 |
样本归纳：各法域冲突的本质是同一技术事实在不同治理传统下的不同权重排序——隐私传统强的法域把加密DNS视为对抗ISP画像的制衡工具；治理传统强的法域则优先维护基于DNS的法定治理工具体系。没有普适解，只有与本法域制度条件相容的工程折中。
04 · 企业合规冲突场景
企业是加密DNS治理冲突感受最直接的场景，典型冲突链如下：
重点提示：即便员工行为是个人自主选择，企业作为网络运营者的法定日志留存义务与安全保护义务并不因此豁免——监管视角下，“员工用了加密DNS导致我看不到”不是免责理由。企业必须主动建立受控加密DNS能力，而非被动封堵。
05 · 平衡治理框架：可控加密
综合前述分析，本课题提出“可控加密（Governed Encryption）”治理框架，四条支柱：
| 支柱 | 内容 |
|---|---|
| ① 受控解析点 | 企业/组织建立自有加密递归（DoH/DoT网关，第6页工程方案），使加密通道的对端落在受控域内——既给员工链路加密收益，又保留审计与检测点 |
| ② 出境白名单 | 对外解析出口收敛至合规白名单上游；阻断终端直连境外公共递归的旁路通道 |
| ③ 协议内治理抓手 | 优先采用DDR等“信任锚交还网络”的标准机制；关注IETF ADD工作组后续进展，使治理点协议化而非对抗化 |
| ④ 透明度与审计 | 受控递归的运营日志按法规留存；对员工明示解析政策，处理解析日志遵循最小化与分级访问 |
与单纯封堵路线的对比：单纯在出口阻断853/443是不可持续的——DoH与Web同端口无法精确封堵，QUIC加剧混淆，且封堵引发的对立成本（员工体验、影子IT）递增。可控加密路线承认加密化的不可逆性（第3页§5.3），把治理能量从“阻止加密”转移到“让加密发生在受控点上”，是唯一与技术和法规都相容的长期解。
06 · 研究边界声明
声明：①本节法规解读为学术研究分析，不构成法律意见，合规结论以主管部门正式解释与专业法律意见为准；②本课题不评估、不鼓励任何规避法定网络治理措施的行为，提出的企业方案以“在受控点满足法定留存与审计义务”为前提；③引用境外治理事件仅作学术样本，不代表对相关制度的价值判断。
本节参考来源（第5页）
以下均为真实可查的公开来源（法律法规官方发布、IETF、公开报道）。
《中华人民共和国网络安全法》（2017年6月1日施行，第21条、第24条）：中国政府法制信息公开渠道
《中华人民共和国数据安全法》（2021年9月1日施行）与《数据出境安全评估办法》（2022年9月1日施行）：官方发布渠道
《中华人民共和国个人信息保护法》（2021年11月1日施行）：官方发布渠道
GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（等保2.0）：全国标准信息公共服务平台
《关键信息基础设施安全保护条例》（2021年9月1日施行）：官方发布渠道
ZDNet, “UK ISP group names Mozilla ‘Internet Villain’ for supporting DNS-over-HTTPS”（2019-07-04）：zdnet.com/article/uk-isp-group-names-mozilla-internet-villain-for-supporting-dns-over-https
IETF ADD工作组（Adaptive DNS Discovery）主页（DDR后续演进）：datatracker.ietf.org/wg/add
Roskomnadzor阻断公共DNS/加密协议公开报道与研究：Access Now（2021-09）；DGAP（2022）