通过 HTTPS 和 TLS 的 DNS：在每个浏览器和操作系统中设置

在您的浏览器加载网站之前，它会请求 DNS 解析器将像 example.com 这样的域名转换为 IP 地址。传统上，这种查找是以 明文 形式传输的，因此您的 ISP、网络运营商或任何嗅探连接的人都可以读取您访问的每个域名——即使页面本身是 HTTPS。DNS 是普通浏览中最大的隐私泄露之一。

通过 HTTPS 的 DNS (DoH) 和 通过 TLS 的 DNS (DoT) 都通过加密您与解析器之间的查询来解决这个问题。实际区别在于：DoH 在 443 端口上将 DNS 发送到正常的 HTTPS 中，因此它与网络流量混合在一起，难以阻止或区分；DoT 使用专用端口 (853)，在架构上更干净，但更容易被网络发现和阻止。浏览器更倾向于使用 DoH；操作系统支持两者。您可以在 DNS 工具 上测试您的解析器看到的内容。

加密DNS隐藏您查询的域名，防止您的ISP和路径观察者查看，并阻止基于DNS的篡改。这是真正的隐私和完整性胜利。但要明确其局限性：您选择的解析器仍然可以看到您的查询，因此您是将信任从您的ISP转移到该提供商——选择一个具有强大隐私政策的提供商。它也不会隐藏您随后连接的目标IP，并且TLS SNI仍然可以揭示主机名，除非启用了加密客户端问候。

这与VPN的关系：一个正确配置的VPN已经通过其自己的解析器在加密隧道内路由您的DNS，因此您的ISP既看不到您的DNS也看不到您的流量。这就是为什么检查DNS泄漏很重要——如果查询逃出隧道到您的ISP的解析器，您其余流量的加密就会受到破坏。DoH/DoT和VPN是互补的：加密DNS保护任何网络上的查询；VPN则保护整个连接及其DNS。