阿里云公共DNS安全传输服务介绍（DoH/DoT） 概述

    概述

    阿里公共DNS致力于为广大的互联网用户提供快速、稳定和安全的DNS解析。然而传统的DNS查询和应答采用UDP和TCP明文传输，存在网络监听、DNS劫持、中间设备干扰的风险：

    网络监听风险：即便用户采用HTTPs加密的方式访问站点，DNS查询应答并没有采用加密传输

    DNS劫持：传统DNS应答数据会被篡改，用户的访问会被路由到钓鱼网站和恶意站点

    中间设备干扰：主要是一些防火墙对DNS查询的干扰，基于域名的过滤，还有大包MTU分片的影响等

    为了应对以上挑战，阿里公共DNS遵守DoH（RFC8484）和DoT(RFC7858) 标准对外提供DNS的安全传输服务, 支持 DNS over HTTP(s), DNS Json API, 和DNS over TLS三种安全传输模式。DNS的安全传输服务可以适用于移动应用程序、浏览器、操作系统、物联网设备和网关路由器等多个场景。通过传输加密的方式发送DNS查询，加强了用户访问互联网的安全性、解析稳定和隐私保护。

    除了隐私加密以外，DNS安全传输服务采用TCP和HTTP连接用户端和DNS服务器，一方面可以服务精准的基于位置的DNS解析和流量调度，另一方面基于DNS端到端的连接特性，DNS的动态变更可以实现秒级端到端生效。

注意：在DoH和DoT传输服务中，阿里公共DNS支持 TLS 1.2 和TLS 1.3.

1. DNS over HTTPs(DoH)

阿里公共DNS通过RFC 8484指定的经过TLS加密的HTTP连接提供DNS解析

DNS over HTTPs（DoH）的URI接口 ：（仅提供TLS API）

https://dns.alidns.com/dns-query?
https://alidns_ip/dns-query?

注意：其中alidns_ip是dns.alidns.com 的A和AAAA记录，可以是以下四个地址之一 ：223.5.5.5，223.6.6.6，2400:3200::1, 2400:3200:baba::1.

注：DoH服务适用于两类场景：一种是DNS HTTPS隧道，一种是应用层访问DNS数据。DNS wireformat二进制格式对应用不够友好，比如要处理DNS名字压缩机制等。