优势
网络可达性强，与现有 Web 生态兼容度高，客户端支持广泛。
PROTOCOLS
协议详解
从传输方式、可见性、性能和治理成本四个维度，系统比较主流加密 DNS 协议。
DoH (DNS over HTTPS)
将 DNS 查询封装进 HTTPS 请求中，默认使用 443 端口。
代价
网络侧识别粒度降低，对企业治理与审计体系提出更高要求。
DoT (DNS over TLS)
使用 TLS 对 DNS 链路加密，默认端口为 853。
优势
协议边界清晰，企业网络中便于纳入统一策略和审计体系。
代价
在部分网络环境下可达性弱于 DoH，需要更细致的网络策略配合。
DoQ (DNS over QUIC)
使用 QUIC 提供更快握手与更优弱网恢复能力。
优势
在高时延、丢包网络下体验更平滑，连接恢复效率更高。
代价
生态仍在完善，客户端与递归解析器侧需确认兼容矩阵。
DNSCrypt
较早期的加密 DNS 方案，强调链路保护和服务端认证。
优势
部署经验丰富，工具链成熟，历史上在隐私社区应用广泛。
代价
标准化与跨厂商一致性弱于 IETF 主流协议。
协议选择建议
选型优先考虑网络边界、治理目标与生态兼容，而非单一性能指标。
| 场景 | 优先协议 | 说明 |
|---|---|---|
| 个人设备跨网访问 | DoH / DoQ | 强调可达性与体验，减少网络边界阻断。 |
| 企业办公网络 | DoT | 治理边界清晰，便于纳入统一审计与策略系统。 |
| 高安全研究环境 | DoT + DNSSEC | 可控优先，强调可观测和可验证链路。 |
深入阅读
当前页面给结论，下方文章提供决策过程和可复用模板。
协议选型手册
提供四步决策流程、评分矩阵模板与迁移路径建议，适合做评审和落地方案。