DNS sobre TLS (DoT)

DNS sobre TLS (DoT) criptografa suas consultas DNS ao envolvê-las em TLS, para que ninguém no caminho da rede possa ver ou alterar quais domínios você resolve. Ele faz o mesmo trabalho que DNS sobre HTTPS, mas em uma porta dedicada (853) em vez de se misturar ao tráfego da web. Isso torna o DoT fácil para um administrador de rede identificar e gerenciar — um ponto positivo para a política empresarial, um ponto negativo se você quiser que as consultas sejam indistinguíveis do HTTPS comum, onde o DoH tem a vantagem.

Assim como o DoH, o DoT protege a consulta em si, mas não oculta seu IP ou canaliza o restante do seu tráfego — é uma camada, não um conjunto completo de privacidade. Se você usar um VPN, a principal proteção contra um vazamento de DNS é rotear o DNS através do túnel; o DNS criptografado então adiciona confidencialidade. A escolha entre DoT e DoH é em grande parte sobre a porta e quão visível o tráfego é na rede. Qualquer que seja a sua escolha, lembre-se de que o resolvedor ainda vê suas consultas, então confiar no operador para o qual você as envia continua sendo parte da decisão.

Independentemente da variante de DNS criptografado que você escolher, o resolvedor ainda vê suas consultas, então o operador em quem você confia é importante. Em uma VPN, roteie o DNS através do túnel primeiro para evitar um vazamento, depois use DoT ou DoH para confidencialidade adicional. Escolha DoT quando uma rede precisa gerenciar o tráfego em sua porta dedicada, e DoH quando você quer que as consultas se misturem ao HTTPS comum e resistam ao bloqueio — a segurança é idêntica de qualquer forma.