01 · 转发信任链模型
1.1 递归器的四段可见性
| 链路段 | 明文/加密 | 可见方 | 审计问题 |
|---|---|---|---|
| 终端↔递归 | 传统明文UDP；可升级DoH/DoT/DoQ | 局域网、AP、路由器、递归运营方 | 内网窃听面是否收敛 |
| 递归→根/TLD/权威 | 明文（协议现状） | 递归出口路径上任意观察者 | QNAME最小化等暴露面收敛 |
| 递归→转发上游 | 可选DoT/DoH（视实现与配置） | 上游运营方 | 转发链信任边界与证书校验 |
| 递归自身留存 | —— | 日志系统、备份、访问者 | 最小化留存与访问控制 |
1.2 转发模式的信任转移与风险
将递归转发给上游（运营商/公共DNS）等于把"代问"的信任转移给它：上游可见全部明文查询并可篡改应答。风险缓释手段：①加密上行（DoT/DoH，证书校验必须开启——否则加密形同虚设）；②验证不外包——即便上游声称已做DNSSEC验证，本地验证器仍应保留（AD位仅作参考），防止"验证外包"后被降级；③多上游分散——单一上游故障或被劫持的爆炸半径受限；④明文回退纪律——TLS握手失败时应明确告警而非静默回退明文，回退行为本身应入日志。
02 · 加密协议对比与治理（DoT / DoH / DoQ）
| 维度 | DoT（RFC 7858） | DoH（RFC 8484） | DoQ（RFC 9250） |
|---|---|---|---|
| 传输/端口 | TCP 853，TLS | HTTPS 443/DoH专用端口，HTTP语义 | QUIC（UDP），流多路复用 |
| 可识别性 | 端口可识别，易被策略管控 | 与HTTPS流量形态近似，深度识别难 | UDP加密流，中间盒兼容性待观察 |
| 性能特性 | 队头阻塞（单连接TCP） | 依赖HTTP/2复用 | 0-RTT、无队头阻塞、连接迁移 |
| 企业治理 | 网关可集中代理与审计 | 需专属网关/白名单策略，否则逃逸观测 | 管控面与DoT相近，生态较新 |
| 审计关注 | 证书校验、SNI策略、端口白名单 | DoH端点清单管理、阻断旁路检测 | 版本兼容与回退行为 |
加密DNS≠合规豁免，也不天然等于隐私：①加密仅保护传输段，递归/上游运营方仍见明文；②未经管控的DoH会让企业失去DNS层的可见性与阻断能力（安全运营负资产）；③国内治理实践要求网络运营者对解析服务具备可审计能力——企业内网应提供受信任的加密解析入口（自建DoT/DoH网关）并将外发853/443-DoH纳入白名单策略，使"隐私"与"可审计"兼得。
2.1 证书校验纪律（常被忽视的硬伤）
- 上游证书必须校验主机名与信任链，证书钉扎（pin）可作为进阶措施；
- 证书到期/轮换失败导致的上游失联应有告警，禁止"断TLS回明文"的无声降级；
- 自建DoT/DoH网关的私钥管理纳入第5页密钥基线。
03 · 隐私增强机制
| 机制 | 出处 | 隐私收益 | 审计要点 |
|---|---|---|---|
| QNAME最小化 | RFC 7816 | 迭代查询只暴露当前所需的最左标签逐级探查，不向TLD/权威暴露完整查询名 | 开启状态与回退行为（BIND 9.14+、Unbound新版本默认开启，以所用版本为准；可用 dig txt qnamemintest.internet.nl 实测） |
| 0x20编码 | RFC 5452 | 查询名随机大小写增加观察者比对成本 | 与第4页投毒防御共享验证 |
| DNS Cookie | RFC 7873 | 事务级凭证削弱盲伪造与部分跟踪面 | 协商有效性（第4页清单） |
| ECS克制 | RFC 7871 | 不向第三方权威泄漏客户端子网（ECS为CDN调度而生，但向权威暴露/24级网段属隐私代价） | 递归对上游/权威默认不代发ECS，除非业务必需且有评估文书 |
| 最小化查询日志 | RFC 7626（DNS隐私考虑） | 字段、留存、访问三维度最小化 | 见§04治理框架 |
04 · 日志与数据治理框架
4.1 查询日志的敏感性定级
按RFC 7626的系统分析，查询日志可揭示：访问了哪些服务（健康、财务、政治倾向等）、何时访问、从哪访问——属高风险个人关联数据。治理三原则：
- 字段最小化：默认只留排障必需（时间、QTYPE、RCODE、响应码、缓存命中），完整查询名日志按需开启、限定窗口、独立权限；
- 留存最小化：常规统计指标（计数、分布）长期保存，明细日志短周期轮替；确需长期明细时脱敏（哈希化查询名）+单独授权；
- 访问最小化：日志访问独立于业务系统账号，双人授权、全程留痕、定期复核。
4.2 法定留存与隐私的平衡方案
《网络安全法》第21条第（三）项要求留存相关网络日志不少于六个月；等保2.0审计控制项同口径。平衡设计：①分层留存——满足法定的安全事件类日志（配置变更、策略命中、验证失败、异常告警）完整留存≥6个月；查询明细日志按PIA结论确定周期，超期脱敏归档；②分离存储——两类日志物理/逻辑隔离，访问授权分离；③影响评估——按《个人信息保护法》第55—56条，对查询日志处理活动开展PIA并留存记录，作为审计证据。该方案的法律定性应由组织法务确认，审计提供技术落地核查。
05 · 国内合规审计要点
| 合规项 | 对递归解析设施的具体要求 | 审计证据 |
|---|---|---|
| 《网络安全法》第21条 | 日志留存≥6个月；采取监测记录技术措施 | 留存策略+抽查记录 |
| 等保2.0（GB/T 22239-2019） | 审计记录覆盖重要操作与安全事件、留存≥6个月；边界完整性检查 | 审计记录清单 |
| 《数据安全法》 | 查询日志定级、出境评估（使用境外DoH上游时重点核查） | 定级文件+出境评估 |
| 《个人信息保护法》 | 查询日志涉个人信息的告知/合法性基础；敏感场景PIA | PIA报告 |
| 《反电信网络诈骗法》（2022-12-01施行） | 对涉诈域名的处置能力与证据链留存（RPZ命中记录） | 处置工单+日志 |
| CII条例（适用时） | 检测评估、事件报告与主管部门协同 | 测评与上报记录 |
06 · D4/D5域检查清单
| 项 | 检查项 | 方法 | 合格判据 |
|---|---|---|---|
| 1 | 上游清单完整（含协议、证书策略、管辖说明） | 配置审计 | 清单在册 |
| 2 | 加密上行证书校验开启，断链不回退明文（或回退必告警） | 实测 | 纪律生效 |
| 3 | 本地DNSSEC验证保留（未外包给上游AD位） | AD位+配置核查 | 本地验证 |
| 4 | 多上游冗余与失效回退演练 | 演练记录 | 已演练 |
| 5 | 企业内网提供受信加密解析入口；外发DoH/DoT受控 | 策略核查 | 可审计 |
| 6 | QNAME最小化开启 | 上游抓包 | 生效 |
| 7 | ECS默认不代发（有业务文书者除外） | 配置+出口观测 | 默认关闭 |
| 8 | 日志字段/留存/访问三最小化落地，法定留存≥6个月 | 策略+抽查 | 达标 |
| 9 | PIA报告覆盖查询日志处理活动 | 文档核查 | 在档 |
| 10 | 境外上游/出境场景数据评估完成 | 评估文档 | 已评估 |
小结：D4/D5域把"数据是最贵资产"落到实处——传输加密是底线，日志治理是功夫。下一页把前六个域的发现整合成可运转的审计方法论。
本节参考来源（第6页）
协议与法律文本均可公开核验。
RFC 7858（DoT）、RFC 8484（DoH）、RFC 9250（DoQ）、RFC 7816（QNAME最小化）、RFC 7871（ECS）、RFC 7626（DNS隐私考虑）、RFC 7873（Cookie）：rfc-editor.org
《中华人民共和国网络安全法》（2017年施行）第21条；《中华人民共和国数据安全法》（2021年施行）；《中华人民共和国个人信息保护法》（2021年施行）第55—56条；《中华人民共和国反电信网络诈骗法》（2022年12月1日施行）：中国政府法制信息公开渠道
GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》：全国标准信息公共服务平台
《关键信息基础设施安全保护条例》（2021年9月1日施行）：中国政府网
BIND tls-upstream / Unbound forward-tls-upstream 官方文档：bind9.readthedocs.io、unbound.docs.nlnetlabs.nl