Skip to main content

网络安全-DNS加密

更新时间：介绍：DNS加密技术原理与实践配置指南

一、DNS加密概述​

传统DNS的安全问题​

  • 明文传输：DNS查询/响应以明文形式传输，易被窃听
  • 劫持篡改：ISP或中间人可拦截并修改DNS响应
  • 隐私泄露：访问记录被第三方监控，用户隐私暴露
  • DNS污染：恶意DNS服务器返回错误IP地址

DNS加密的必要性​

DNS加密通过加密传输通道，确保DNS查询的机密性、完整性和认证性，有效防范DNS劫持、污染和隐私泄露。

二、主要加密协议原理​

DoH (DNS over HTTPS)​

原理：将DNS查询封装在HTTPS请求中，通过TLS加密传输

  • 端口：443 (HTTPS标准端口)
  • 优势：与普通HTTPS流量无异，难被检测和阻断
  • 格式：使用JSON或RFC 8484标准格式
# DoH查询示例
curl -H 'accept: application/dns-json' \
'https://cloudflare-dns.com/dns-query?name=example.com&type=A'

DoT (DNS over TLS)​

原理：在专用端口上建立TLS连接，直接加密DNS查询

  • 端口：853 (专用DNS over TLS端口)
  • 优势：专门为DNS设计，性能优化更好
  • 特点：容易被识别和阻断

DNSCrypt​

原理：使用椭圆曲线密码学对DNS查询进行加密和认证

  • 端口：自定义 (通常443或其他)
  • 优势：支持匿名化、无日志记录
  • 特点：需要专用客户端支持

三、加密方式对比​

协议端口加密强度兼容性性能隐蔽性部署难度
DoH443高好中等最高低
DoT853高中等高低低
DNSCrypt可变高需客户端高中等中等

四、Windows系统配置​

Windows 11 原生DoH支持​

# 查看当前DNS设置
Get-DnsClientServerAddress

# 设置Cloudflare DoH (需要管理员权限)
netsh dns add encryption server=1.1.1.1 dohtemplate=https://cloudflare-dns.com/dns-query

# 设置Google DoH
netsh dns add encryption server=8.8.8.8 dohtemplate=https://dns.google/dns-query

# 验证DoH状态
netsh dns show encryption

注册表方式配置DoH​

# 启用DoH支持 (创建.reg文件导入)
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters]
"EnableAutoDoh"=dword:00000002
"DoHPolicy"=dword:00000003

五、Android系统配置​

Android 9+ 原生DoT支持​

# 设置路径：设置 → 网络和互联网 → 高级 → 私人DNS
1. 进入 设置 → 网络和互联网
2. 点击 高级 → 私人DNS  
3. 选择 "私人DNS提供商主机名"
4. 输入DoT服务器地址：
   - Cloudflare: 1dot1dot1dot1.cloudflare-dns.com
   - Google: dns.google
   - Quad9: dns.quad9.net

使用第三方应用​

推荐应用：

# Intra (Google开发的DoH应用)
- 支持自定义DoH服务器
- 实时流量监控
- 免ROOT使用

# 1.1.1.1 (Cloudflare官方应用)  
- 一键启用DoH + WARP
- 提供基本的隐私保护
- 支持IPv4/IPv6

# NetGuard (开源防火墙 + DNS)
- 本地VPN方式实现DNS加密
- 支持广告拦截和流量分析
- 可自定义DNS服务器列表

ADB命令配置 (需ROOT或开发者选项)​

# 启用私人DNS (DoT)
adb shell settings put global private_dns_mode hostname
adb shell settings put global private_dns_specifier dns.google

# 查看当前DNS设置
adb shell settings get global private_dns_mode
adb shell getprop net.dns1

六、公共DNS加密服务器​

主流提供商对比​

提供商DoH地址DoT地址特点
Cloudflarehttps://cloudflare-dns.com/dns-query1.1.1.1 (853端口)最快速度，无日志
Googlehttps://dns.google/dns-querydns.google (853端口)可靠稳定
Quad9https://dns.quad9.net/dns-querydns.quad9.net (853端口)安全防护
OpenDNShttps://doh.opendns.com/dns-querydns.opendns.com (853端口)内容过滤

企业级DNS服务​

# AdGuard DNS (广告拦截)
DoH: https://dns.adguard.com/dns-query
DoT: dns.adguard.com

# NextDNS (可定制化过滤)
DoH: https://dns.nextdns.io/[配置ID]
DoT: [配置ID].dns.nextdns.io

七、安全建议与最佳实践​

选择建议​

  1. 个人用户：优先选择DoH，兼容性最好
  2. 企业环境：建议DoT，性能更优且便于管理
  3. 高隐私需求：使用DNSCrypt + Tor网络
  4. 移动设备：Android原生DoT + 第三方DoH应用

验证方法​

# 验证DNS加密是否生效
# 1. 在线检测工具
https://www.dnsleaktest.com/
https://ipleak.net/

# 2. 命令行测试 (Windows)
nslookup cloudflare.com
# 查看是否使用加密DNS服务器

# 3. 网络抓包验证
# 使用Wireshark查看53端口是否有明文DNS流量

注意事项​

  • 性能影响：加密会增加轻微延迟，但提升安全性
  • 兼容性：部分老旧设备或网络可能不支持
  • 服务商选择：选择信誉良好、无日志记录的提供商
  • 备用方案：配置多个DNS服务器，确保可用性

// 以上为DNS加密技术完整指南，涵盖原理、配置和实践建议。

八、代理工具与DNS加密的关系​

Clash等代理工具的DNS接管机制​

重要提醒：使用Clash、V2Ray、Shadowsocks等代理工具时，系统级DNS加密设置可能会被完全绕过！

工作原理​

# Clash工作流程
1. 创建虚拟网卡(TUN)或系统代理
2. 接管所有网络流量(包括DNS查询)  
3. 使用配置文件中的DNS设置
4. 系统DNS设置被忽略

DNS优先级​

Clash配置DNS > 代理服务器DNS > 系统DNS设置(被忽略)

在Clash中配置DNS加密​

标准配置示例​

# clash配置文件 (config.yaml)
dns:
  enable: true
  listen: 0.0.0.0:53
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  
  # DNS加密服务器配置
  nameserver:
    - https://cloudflare-dns.com/dns-query    # Cloudflare DoH
    - https://dns.google/dns-query             # Google DoH
    - tls://dns.quad9.net:853                  # Quad9 DoT
    - tls://1.1.1.1:853                       # Cloudflare DoT
  
  # 国内DNS (避免污染)
  nameserver-policy:
    'geosite:cn': 
      - https://doh.pub/dns-query              # 腾讯DoH
      - https://dns.alidns.com/dns-query       # 阿里DoH
    'geosite:geolocation-!cn':
      - https://cloudflare-dns.com/dns-query
      - tls://1.1.1.1:853

# TUN模式配置 (完全接管网络)
tun:
  enable: true
  stack: system
  dns-hijack:
    - 198.18.0.2:53
  auto-route: true
  auto-detect-interface: true

高级DNS分流配置​

dns:
  enable: true
  listen: 0.0.0.0:53
  enhanced-mode: fake-ip
  
  # 根据域名分流使用不同的加密DNS
  nameserver-policy:
    # 国内网站使用国内DoH
    '+.baidu.com': https://doh.pub/dns-query
    '+.taobao.com': https://dns.alidns.com/dns-query
    
    # 国外网站使用国外DoH  
    '+.google.com': https://dns.google/dns-query
    '+.youtube.com': tls://1.1.1.1:853
    '+.github.com': https://cloudflare-dns.com/dns-query
    
    # 默认使用加密DNS
    'geosite:cn': [https://doh.pub/dns-query, https://dns.alidns.com/dns-query]
    'geosite:geolocation-!cn': [https://cloudflare-dns.com/dns-query, tls://1.1.1.1:853]

其他代理工具的DNS加密配置​

V2Ray/Xray配置​

{
  "dns": {
    "servers": [
      {
        "address": "https://cloudflare-dns.com/dns-query",
        "domains": ["geosite:geolocation-!cn"]
      },
      {
        "address": "https://doh.pub/dns-query", 
        "domains": ["geosite:cn"]
      }
    ]
  }
}

Shadowsocks + DNS2SOCKS​

# 使用dns2socks通过代理进行DNS查询
dns2socks 127.0.0.1:1080 8.8.8.8:53 127.0.0.1:5353

# 系统DNS指向本地dns2socks
# 这样DNS查询也会经过加密代理隧道

验证代理环境下的DNS加密​

检查当前DNS设置​

# Windows检查
nslookup google.com

# 查看Clash日志
# 日志中会显示实际使用的DNS服务器

# 在线检测工具
https://www.dnsleaktest.com/
# 注意：代理环境下显示的可能是代理服务器的DNS

Clash日志分析​

# Clash控制台日志示例
INFO[0001] [DNS] google.com --> 142.250.191.14 from https://cloudflare-dns.com/dns-query
INFO[0002] [DNS] baidu.com --> 39.156.66.10 from https://doh.pub/dns-query

最佳实践建议​

1. 代理用户的DNS加密策略​

# 推荐配置原则
1. 在代理工具中配置加密DNS (而非系统级)
2. 使用DNS分流，国内外分别配置
3. 启用DNS缓存，提升性能
4. 定期检查DNS泄露情况

2. 双重保障方案​

# 方案一：代理 + 系统DNS加密
- Clash中配置加密DNS (主要保障)
- 系统配置DoH/DoT (备用保障)
- 代理故障时系统DNS接管

# 方案二：VPN + DNS加密
- 使用支持DoH的VPN服务
- VPN断线时自动切换到系统加密DNS

3. 配置优先级建议​

优先级排序:
1. 代理工具内配置DNS加密 (必须)
2. 选择支持DNS加密的代理服务
3. 系统级DNS加密作为备用
4. 定期验证DNS加密有效性

总结​

使用Clash等代理工具时：

  • 系统DNS设置会被绕过 ⚠️
  • 必须在代理配置中设置DNS加密
  • 推荐使用DNS分流和多重保障
  • 定期检查DNS泄露和加密状态

// 代理环境下的DNS加密配置完整指南，确保隐私和安全双重保障。

Last updated on by Hanami