DNS over TLS (DoT)

DNS over TLS (DoT) шифрует ваши DNS-запросы, оборачивая их в TLS, поэтому никто на сетевом пути не может увидеть или изменить, какие домены вы разрешаете. Он выполняет ту же работу, что и DNS over HTTPS, но на выделенном порту (853), а не сливаясь с веб-трафиком. Это делает DoT лёгким для обнаружения и управления администратором сети — плюс для корпоративной политики, минус, если вы хотите, чтобы запросы были неотличимы от обычного HTTPS, где DoH имеет преимущество.

Как и DoH, DoT защищает сам запрос, но не скрывает ваш IP-адрес и не туннелирует остальной ваш трафик — это один слой, а не целый стек приватности. Если вы используете VPN, ключевая защита от утечки DNS — это направление DNS через туннель; зашифрованный DNS затем добавляет конфиденциальность сверху. Выбор между DoT и DoH в основном касается порта и того, насколько заметен трафик в сети. Что бы вы ни выбрали, помните, что резолвер всё равно видит ваши запросы, поэтому доверие к оператору, которому вы их отправляете, остаётся частью решения.

Какой бы вариант зашифрованного DNS вы ни выбрали, резолвер всё равно видит ваши запросы, поэтому оператор, которому вы доверяете, имеет значение. На VPN сначала направьте DNS через туннель, чтобы предотвратить утечку, а затем используйте DoT или DoH для конфиденциальности сверху. Выбирайте DoT, когда сети нужно управлять трафиком на его выделенном порту, и DoH, когда вы хотите, чтобы запросы сливались с обычным HTTPS и сопротивлялись блокировке, — безопасность одинакова в обоих случаях.