1. 传统 DNS 递归解析的四级阶梯时序
当你在浏览器输入 `www.google.com` 时，如果本地没有缓存，递归查询按以下时序进行：
1. **本地递归解析器（Local Resolver）**：操作系统首先向路由器或 ISP 分配的 DNS 发起查询；
2. **根域名服务器（Root DNS Server）**：全球 13 组逻辑根服务器（A~M）不存储具体 IP，而是根据后缀返回顶级域 `.com` 域名服务器的权威地址；
3. **顶级域名服务器（TLD Server）**：`.com` 服务器告知 `google.com` 权威域服务器的地址；
4. **权威域名服务器（Authoritative Server）**：由 Google 自建的权威 DNS 返回最终的 A 记录（如 `142.250.190.46`）；
5. **本地缓存与交付**：递归解析器将结果缓存并交付给操作系统。
💡 整个查询链路只要有一环被恶意中间人监听或篡改，最终用户拿到的就是钓鱼或阻断 IP。
2. UDP 53 端口的明文原罪与 DNS 污染机制
在 1983 年 DNS 协议诞生之初，互联网尚无安全加密概念，全网默认采用 UDP 53 端口明文传输：
### GFW 旁路劫持与投毒原理：
- **旁路监听**：电信骨干网的旁路分光设备监听所有跨越国境网关的 UDP 53 数据包；
- **关键词模式匹配**：一旦提取到请求报文中包含黑名单敏感域名；
- **抢答伪造报文**：由于 UDP 是无状态连接，不需要三次握手，旁路设备立刻向用户客户端伪造一个 DNS 响应包，虚构一个不存在的 IP（如 243.185.187.39）；
- **首包抢占**：因为旁路设备距离用户更近，伪造的报文总是比位于海外的真实根服务器响应更快到达。操作系统采纳最先到达的报文，导致解析彻底失效。
bash
# 使用 dig 命令直连海外 DNS 53 端口查询受阻域名，观察被投毒返回的虚假 IP
dig @8.8.8.8 twitter.com +time=23. 现代加密 DNS 双子星：DoH vs DoT 深度横评
为了终结明文传输的脆弱性，IETF 推出了两大国际加密标准：
| 特性维度 | DoT (DNS over TLS) | DoH (DNS over HTTPS) |
| :--- | :--- | :--- |
| **标准 RFC** | RFC 7858 | RFC 8484 |
| **传输端口** | **专用 TCP 853 端口** | **标准 TCP 443 端口** |
| **流量特征** | 明显的专用 TLS 握手特征 | 混同于普通网页浏览 HTTPS 流量 |
| **抗审查能力** | 容易被防火墙直接按 853 端口一刀切阻断 | **极强**，除非封死整台服务器 443 否则无法区分 |
| **握手开销** | 纯 TLS 握手，内存消耗低 | 包含完整 HTTP/2 或 HTTP/3 头部，略有额外开销 |
| **客户端支持** | Android 9+ 原生「私人 DNS」功能默认采用 | 现代 Chrome / Firefox 浏览器原生内置 |
bash
# Linux 终端使用 curl 直接测试 DoH 接口
curl -H "accept: application/dns-json" "https://dns.alidns.com/resolve?name=github.com&type=A"4. 客户端防止 DNS 泄漏配置实操
在客户端（如 Clash Verge Rev）中彻底杜绝 DNS 泄漏的配置铁律：
1. **启用 Fake-IP 模式**：所有远程代理域名在本地直接返回虚拟 IP，本地完全不发起真实网络查询；
2. **fallback 列表强制指定 DoH**：严禁在 fallback 中填写纯 IP UDP DNS（如 `8.8.8.8:53`），必须填写 `https://dns.google/dns-query`；
3. **开启 DNS 劫持拦截**：防止恶意流氓软件强行绕过客户端向本地 53 端口直接发包。
❓ 常见疑问与排查步骤
开启 DoH 会不会导致国内网速变慢？
如果在国内 nameserver 中配置的是国内大厂的 DoH（如阿里 dns.alidns.com），延迟通常仅比纯 UDP 多 5ms 握手时间，体验上毫无卡顿感。
手机设置里的「专用 DNS」填什么最好？
国内手机推荐填 `dns.alidns.com` 或 `dot.pub`；若在海外漫游推荐填 `dns.google` 或 `one.one.one.one`。
DNSSEC 能解决 DNS 污染吗？
不能。DNSSEC 只能验证签名真伪，发现签名不符时会直接返回查询失败（SERVFAIL），导致网页依然打不开。只有 DoH/DoT 加密隧道才能彻底绕过篡改阻断。