01 · 协议对比
| 协议 | RFC | 传输 | 特点 |
|---|---|---|---|
| DoT | RFC 7858（2016） | TLS/853 | 专用端口，易识别与管控 |
| DoH | RFC 8484（2018） | HTTPS/443 | 与Web混淆，抗封锁强，审计难 |
| DoQ | RFC 9250（2022） | QUIC/853 | 低延迟、抗丢包，新兴 |
02 · 收益与风险
- 收益：加密"终端↔递归"段，抗链路监听/篡改/抢答；保护查询隐私。
- 风险：①查询集中到少数公共解析商，隐私从"本地ISP"转至"解析商"；②绕过企业本地DNS策略/过滤与RPZ阻断，削弱内网检测；③可被用于规避合法监管。
与劫持检测的关系：加密DNS保护"终端↔递归"段，使H-6（链路on-path）更难得手；但它不改变"递归↔权威"的完整性，也不验证域名真实性——仍需DNSSEC（子课题02）。三者在纵深防御中互补。
03 · 企业内网管控
- 自建可信加密解析：内网部署支持DoT/DoH的解析器（启用DNSSEC验证+RPZ），终端指向它——既加密又可控。
- 网关白名单：仅允许经批准的DoH端点，阻断指向外部不可控解析器的DoH，防止绕过内网策略。
- 策略分级：涉密/关基终端强制"内网加密解析+审计"；普通终端可选加密解析。
04 · 合规平衡
加密DNS与本地监管/内容安全存在张力。本课题立场：在不削弱合法监管与内网安全前提下，优先采用企业自建加密解析，使"隐私保护"与"可审计、可阻断"兼得，符合《网络安全法》《数据安全法》对网络运营者安全保护义务的要求（详见01第7页§6）。
边界声明：本页为子课题03概览，详细评估框架与实测数据将随研究推进扩充；具体合规结论以国内正式监管口径为准。
参考来源
[1]
RFC 7858（DoT）、RFC 8484（DoH）、RFC 9250（DoQ）：datatracker.ietf.org/doc/html/rfc8484
[2]
NIST SP 800-81《Secure Domain Name System (DNS) Deployment Guide》：csrc.nist.gov SP 800-81