加密 DNS 侦测思路是什么
DoH 把 DNS 查询封进 HTTPS（通常走 443），DoT 走 853 端口并用 TLS 保护。它们保护了隐私，同时也让出口侧失去查询可见性，攻击者能借此隐藏域名解析。现实可行的侦测路径是观察端口、已知服务商地址段、握手证书与连接模式，而不是指望读到查询内容。
基本信息
| 用途 | 评估 DNS 可见性盲区并定位加密查询 |
|---|---|
| 线索 | 853 端口、已知服务商地址、固定间隔的 TLS 连接 |
| 协议依据 | DoH 见 RFC 8484，DoT 见 RFC 7858 |
| 管控手段 | 端点侧策略、出口代理、统一解析入口 |
典型使用场景
- 出口日志里 DNS 查询量骤减，怀疑解析改走加密通道
- 排查终端是否绕过企业解析器
- 检查 853 端口是否被放行
- 结合证书字段识别使用了哪家加密解析服务
- 合规场景下评估是否需要收敛解析入口
- 采集终端解析配置，确认是否被应用或系统默认改写为加密解析
线索筛查
线索筛查
tshark -r sample.pcap -Y 'tcp.port==853 or udp.port==853' -T fields -e ip.dst | sort | uniq -c | sort -rn | head
tshark -r sample.pcap -Y 'tls.handshake.type==1' -T fields -e tls.handshake.extensions_server_name | grep -iE 'dns|doh' | sort | uniq -c | sort -rn | head
tshark -r sample.pcap -Y 'dns' -T fields -e ip.src -e ip.dst | head # 对照明文 DNS 是否减少
# 端口线索不足时，转到证书与目的地址段维度继续判断三种解析方式对照
| 方式 | 端口 | 可见性 |
|---|---|---|
| 明文 DNS | 53（UDP/TCP） | 可读查询名，可见性最好 |
| DoT | 853（TCP） | 只见地址与 SNI，查不到查询内容 |
| DoH | 443（TCP/HTTPS） | 与其他 HTTPS 混在一起，最难识别 |
端点侧禁用或把加密解析统一指向企业解析器，通常比在出口侧做识别更可控，也更少误伤。
加密 DNS 本身是合规的隐私保护手段，也可能是终端安全软件的默认行为，判定要结合使用方与业务场景，不能一律当恶意。
排查顺序建议：先看 853 端口的连通情况，再看 443 上具有加密解析特征的连接与证书，最后回到终端确认是哪款软件发起的解析请求。
若企业已统一解析入口，出口侧应只放行内部解析器地址；其余指向外部加密解析服务的请求本身就可以作为需要核实的异常信号。