加密 DNS（DoH/DoT）侦测思路

DoH/DoT 把查询藏进 HTTPS/TLS：在流量侧观察目的端口 443/853 上的长连接与已知 DoH 服务商 IP 是现实做法。

用途	评估 DNS 可见性盲区
线索	853 端口 / DoH 供应商 IP / 固定间隔查询

线索筛查

tshark -r sample.pcap -Y 'tcp.port==853 or udp.port==853' -T fields -e ip.dst | sort | uniq -c | sort -rn | head

端点侧禁用或代理 DoH 是可管可控的补充手段。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌