中心化风险
过度依赖单一公共递归服务，可能形成新的流量与信任集中点。
风险治理
风险与治理
加密 DNS 是重要能力，但不是安全体系的替代品。关键在于边界、可观测与治理策略。
主要风险
风险不在“加密本身”，而在“架构治理是否同步升级”。
审计可见性下降
全量 DoH 可能使传统网络审计失效，需要更精细的终端与出口治理。
策略绕行
不受控终端可自行配置第三方加密 DNS，绕过企业既有安全策略。
性能误判
协议升级不代表必然提速，网络质量、缓存命中与上游距离影响更大。
治理建议
把 DNS 加密纳入整体安全架构，而不是孤立配置。
分层治理
终端、网络出口、递归解析器三个层面分别定义策略与可观测能力。
白名单与例外机制
为关键业务域名建立受控解析路径，减少误封与不可用风险。
灰度与回滚
先小范围上线并设定回滚阈值，避免一次性切换带来生产事故。
常见问题
针对实际部署中最常见的疑问给出简明回答。
启用加密 DNS 后是否等于匿名？
不等于。它主要保护 DNS 查询链路，仍需配合 HTTPS、身份隔离与终端安全策略。
企业能否完全禁止 DoH？
理论上可通过策略与出口管控限制，但更现实的做法是建设受控加密 DNS 通道并统一管理。
如何平衡隐私与合规审计？
建议采用最小必要日志、分级留存与访问审批机制，在合规前提下控制数据暴露面。
深入阅读
如果你在做制度设计和审计落地，建议继续阅读治理框架文章。
治理与合规框架
包含日志最小化策略、权限分离、例外审批流程与季度审计闭环模板。