DoT

DoT（DNS over TLS）把 DNS 查询封装进 TLS 再走 TCP 853，加密客户端到递归解析器之间的 DNS 通信，防止链路上的旁观与篡改。

#concept #growing #network #dns

[!info] related notes

所属 MOC: DNS 知识地图

经典传输: 经典 DNS 传输

关系对比: DoH vs DoT

HTTPS 方案: DoH

低延迟方案: DoQ

与 DNSSEC 区别: DNSSEC

一句话定义

DoT（DNS over TLS） 把 DNS 查询封装在 TLS 里，走 TCP 853，加密「客户端 ↔ 递归解析器」之间的 DNS 通信，防止链路上的旁观和篡改。

DNS → TLS → TCP → 端口 853

解析器与客户端之间建立 TLS，之后的每次 DNS 查询都在这条加密通道里。专用端口 853 让网络设备能明确识别「这是 DoT」。

在系统或应用配置：

DNS-over-TLS 服务器：1.1.1.1:853

或 Cloudflare 的 1dot1dot1dot1.cloudflare-dns.com 这类带证书的 DoT 端点。

DoT 保护的是「传输段」：客户端到递归解析器之间保密且完整；它不等于 DNSSEC（DNSSEC 验证数据来源，不保密，见 dnssec）。
专用端口便于识别，也更容易被按端口制定策略或阻断；与 DoH 的完整承载层与可识别性比较见 DoH vs DoT。
DoT 常见于操作系统、路由器或 stub/resolver 层的统一加密 DNS 部署，但这只是常见部署方式，不是协议强制边界；与应用自带 DoH 的控制面冲突见 browser-secure-dns、DoH vs DoT。
仅 DoT 不隐藏「你连了哪个递归解析器」——解析器仍知道你的 IP 与查询（除非叠加 ODoH，见 oblivious-doh-odoh）。