测试了一下 DoH/DoT 的可用性，讨论一下今后加密 DNS 的解决方案

[Hackerchai]

下午测试了一下 DoH/DoT 的可用性，很惨烈

主流服务几乎没有幸存，只有类似 NextDNS 这种 IP 地理分布广的服务商，部分 ip 没有被屏蔽而已 P1

屏蔽的方式采用的是 sni 检测 和 路由黑洞 ，有些域名直接就被 RST 了，而其他的则是无限的等待。不过这些加密 DNS 的域名并没有被污染

P2 我自己的自建服务器也被屏蔽了 DoT 而 DoH 正常。随后我做了测试 P3 ，发现很多屏蔽 DoT 的服务器 DoH 正常。小众的 DNS 正常。这也印证了一个猜测，DoH 因为共用 HTTPS 协议的 443 端口，不能一刀切，所以需要 sni 黑名单 + ip 黑名单 。而 DoT 可以直接屏蔽来自境外的 853 端口

综合来看，加密 DNS 马上就会在国内死掉。可能的解决方案有：

1. 使用自建 DNS ，用 DoH 协议，人数少偷偷用
2. 使用 Use DoH/DoT with Proxy 的方案，但是需要各个代理工具的支持（Surge 支持，而 Clash 不支持）。我试验过 Surge 的 Use DoH with Proxy ，能用，但是国内网站的 cdn 体验就直接爆炸了

P1:

P2:

P3:

[miaomiao888]

谷歌和某个日本的 DOT 被放行了，如果是针对所有国外 853 端口，这怎么个回事

[Hackerchai]

@hutng 用代理不就看不到了

[Hackerchai]

@miaomiao888 怀疑是 dns.google.com 这个？我也发现了

[xarthur]

1. ESNI 已经直接被墙了
2. DoH 似乎不是所有的 DNS 都被墙了，原因不明
3. 现在似乎直接用 IP 段分流比较合适。
比如
https://github.com/Hackl0us/GeoIP2-CN/blob/master/main.go

[xenme]

关键还是分流，国内走 doh/dot 避免运营商劫持和监视，国外全走代理

[tankren]

@soulzz 来个教程？谢谢

[tankren]

@xenme 正解 很多人把 DoH/DoT 当成了翻墙的手段 有点莫名 这两个东西的初衷只是为了保护隐私啊

[Hackerchai]

@xarthur esni 未来还有 ech 支持，不过看起来也不会活得长

[xtli12]

我用的 chinadns 黑名单

[swulling]

@Bunnyranch 本地软件如果获取到 Root 或者系统管理员权限，它搞事你用啥都无效，也没有任何的安全策略可以防止。

DoH/DoT 乃至于之前的 HTTPS 等都只防中间人看到你的信息，劫持你的回话。

[dingwen07]

Clash 应该是支持 DoT 的，DNS 服务器增加 tls://example.com

[Hackerchai]

@dingwen07 但是不支持 dot over proxy

[ungrown]

我也觉得传统 dns 够用，虽然我用的移动家宽是铁定抢答 dns 返回包的，但无所谓。墙外的总归得翻，翻过的 dns 已经靠谱了，广告什么的就靠浏览器插件

[zenghx]

@Hackerchai 有了 ip 不还是可以看到你访问了什么吗