加密客户端问候（ECH）

ECH（Encrypted Client Hello）把包含 SNI 的敏感握手字段整体加密，只有部署了对应密钥的服务端与客户端能解密，用于降低按域名进行流量分析的可行性；依赖 DNS 的 HTTPS 记录提供配置。

解决的问题	SNI 明文暴露访问目标（TLS 1.3 中 SNI 是明显残留的明文）
实现方式	客户端用公钥加密内层 ClientHello，外层只暴露公共信息
前置条件	DNS 的 HTTPS/SVCB 记录提供 ECH 配置，服务端（常见为 CDN）支持
现状	部分 CDN 与浏览器已提供支持，具体看部署版本

观察 ECH 相关 DNS 记录

dig +short HTTPS example.com | head -3
dig +short TYPE65 example.com | head -3   # 查看 SVCB/HTTPS 记录

ECH 与此前的 ESNI 是不同代际方案，排查时以当前部署文档为准；未部署 ECH 不影响现有 HTTPS 的加密与认证能力。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌