DNS over TLS (DoT)

DNS over TLS (DoT) шифрує ваші DNS-запити, загортаючи їх у TLS, тож ніхто на мережевому шляху не може побачити чи змінити, які домени ви розв'язуєте. Він виконує ту саму роботу, що й DNS over HTTPS, але на виділеному порту (853), а не зливаючись із вебтрафіком. Це робить DoT легким для виявлення та керування адміністратором мережі — плюс для корпоративної політики, мінус, якщо ви хочете, щоб запити були невідрізнимими від звичайного HTTPS, де DoH має перевагу.

Як і DoH, DoT захищає сам запит, але не приховує вашу IP-адресу та не тунелює решту вашого трафіку — це один шар, а не цілий стек приватності. Якщо ви користуєтесь VPN, ключовий захист від витоку DNS — це спрямування DNS через тунель; зашифрований DNS потім додає конфіденційність згори. Вибір між DoT і DoH здебільшого стосується порту та того, наскільки помітним є трафік у мережі. Що б ви не обрали, пам'ятайте, що резолвер усе одно бачить ваші запити, тож довіра до оператора, якому ви їх надсилаєте, лишається частиною рішення.

Який би варіант зашифрованого DNS ви не обрали, резолвер усе одно бачить ваші запити, тож оператор, якому ви довіряєте, має значення. На VPN спершу спрямуйте DNS через тунель, щоб запобігти витоку, а потім використовуйте DoT чи DoH для конфіденційності згори. Обирайте DoT, коли мережі потрібно керувати трафіком на його виділеному порту, і DoH, коли ви хочете, щоб запити зливалися зі звичайним HTTPS та опиралися блокуванню, — безпека однакова в обох випадках.