domain-s 是什么
853 是给加密 DNS 单独划出的端口：DoT（DNS over TLS，RFC 7858）在 TCP 853 上建立长连接加密查询，DoQ（RFC 9250）走 UDP 853，DTLS 形态见 RFC 8094。它与把查询藏进 443 的 DoH 是两条路线——DoT 端口独立、便于网络侧识别与策略管控；DoH 混在普通网页流量中，外部很难区分。
基本信息
| 服务 | domain-s（DoT / DoQ / DTLS） |
|---|---|
| 协议 | TCP 853（DoT）、UDP 853（DoQ 与 DTLS） |
| 规范 | RFC 7858 / RFC 8094 / RFC 9250 |
| 客户端 | systemd-resolved、Unbound、dnsmasq（需插件） |
| 安全等级 | 解析器本身仍需防递归滥用 |
典型使用场景
- 办公与移动终端启用加密解析，避免明文 53 被链路侧窥探或篡改
- 跨公网访问自建解析器，用 DoT 替代明文 53 转发
- 合规收敛：阻断普通终端出网的 53，只放行到指定解析器的 853
- 排障：抓 53 看不到域名时，确认客户端是否已切到加密解析
- 迁移：把对外 53 收到内网，只对受信网段开放 DoT
客户端与验证
客户端与验证
dig +tls @1.1.1.1 example.com # BIND 9.18+
kdig +tls @dns.example.com example.com # knot-dnsutils
# systemd-resolved 启用 DoT：/etc/systemd/resolved.conf
# DNS=1.1.1.1 DNSOverTLS=yes
resolvectl status | head -20 # 确认当前解析器与加密状态四种解析形态对照
| 形态 | 端口 | 特点 |
|---|---|---|
| 明文 DNS | 53/tcp+udp | 可被链路侧窥探与篡改，排障最直观 |
| DoT | 853/tcp | 独立端口，易被网络策略识别与管控 |
| DoQ | 853/udp | 基于 QUIC，减少握手开销与队头阻塞 |
| DoH | 443/tcp | 混在网页流量中，外部难以区分与过滤 |
启用加密解析后，企业原有的日志审计与内容过滤会失效：若只放行 853 而不收敛其他加密解析出口，等于自行打开了一条数据外带通道，安全策略要同步调整。
DoT 只是把查询链路加密，解析服务商依旧能看到你查了哪些域名；把 DoT 当隐私的完整答案并不成立，选可信解析器与控制明文出口同样重要。
上线前确认清单
- 先确认客户端支持哪种形态：系统解析器、浏览器与应用程序三处都可能各自启用加密解析
- 内网自建解析器要同时规划内部查询与加密对外查询的用途与来源限制
- 开启加密解析后重新核对出口策略，避免出现未授权的解析出口
- 把解析器地址与加密开关写进配置管理，避免逐台手工配置造成漂移