加密 DNS（DoH/DoT）识别

DoT 走 TCP 853、DoH 走 443（HTTPS 形态）：抓包中无明文 DNS，只能从端口与连接形态识别；排错时需应用侧日志配合。

用途	识别加密解析路径
语法	tcp.port == 853 / tls over 443

观察

DoT: tcp.port == 853 上持续 TLS 连接
tls.handshake.extensions_server_name contains "dns"   # 示例线索
DoH: 443 上的 HTTPS 请求头含解析路径（需解密）

企业内网排障时明确走的是哪种解析，再决定抓包点与解密方式。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌