| 服务 | domain-s（DNS over TLS） |
|---|---|
| 协议 | TCP 853（UDP 注册含 DTLS/QUIC） |
| 规范 | RFC 7858 / RFC 8094 / RFC 9250 |
| 用途 | 加密 DNS 查询 |
DoT 用专用端口把 DNS 查询加密，与 DoH（混在 443）路线相对；解析器与 stub 两侧都可启用，主流公共 DNS 均支持。
运维要点：启用 DoT/DoH 后明文 53 抓包不再看得见域名，排障要在客户端侧日志或防火墙元数据侧做观察。
有 DNS 过滤/审计需求时，要提前评估系统与浏览器自带加密 DNS 的绕过路径。