哪種 DNS 加密協定最能保護您的網路流量？

網域名稱系統 (DNS)被許多人認為是互聯網的電話簿，它將網域轉換為電腦可讀的信息，例如IP 位址。

每當您在網址列中輸入網域名稱時，DNS 會自動將其轉換為對應的 IP 位址。您的瀏覽器使用此資訊從來源伺服器檢索資料並載入網站。

但網路犯罪分子通常可以監控 DNS 流量，因此需要加密來確保您的網頁瀏覽的隱私和安全性。

目前有多種 DNS 加密協定在使用。這些加密協定可透過傳輸層安全性 (TLS) 連線對 HTTPS 協定中的流量進行加密，從而防止網路窺探。

1.DNS加密

DNSCrypt 是一種網路協議，可加密使用者電腦和公共名稱伺服器之間的所有 DNS 流量。該協定使用公鑰基礎架構 (PKI) 來驗證 DNS 伺服器和用戶端的真實性。

它使用兩個金鑰（公鑰和私鑰）來驗證客戶端和伺服器之間的通訊。當發起 DNS 查詢時，用戶端會使用伺服器的公鑰對查詢進行加密。

然後，加密的查詢被發送到伺服器，伺服器使用其私鑰解密該查詢。這樣，DNSCrypt 可確保用戶端和伺服器之間的通訊始終經過驗證和加密。

DNSCrypt 是一個相對古老的網路協定。由於這些較新的協定提供了更廣泛的支援和更強的安全保證，因此它已在很大程度上被 DNS-over-TLS (DoT) 和 DNS-over-HTTPS (DoH) 取代。

2.基於TLS的DNS

DNS-over-TLS 使用傳輸層安全性 (TLS) 加密您的 DNS 查詢。 TLS 可確保您的 DNS 查詢端對端加密，防止中間人 (MITM) 攻擊。

當您使用 DNS-over-TLS (DoT) 時，您的 DNS 查詢將傳送至 DNS-over-TLS 解析器，而不是未加密的解析器。 DNS-over-TLS 解析器會對您的 DNS 查詢進行解碼，並代表您將其傳送至權威 DNS 伺服器。

DoT 的預設連接埠是 TCP 連接埠 853。當您使用 DoT 連線時，用戶端和解析器都會執行數位「握手」。然後，用戶端透過加密的 TLS 通道將其 DNS 查詢傳送到解析器。

DNS 解析器處理查詢，找到對應的 IP 位址，並透過加密通道將回應傳送回用戶端。用戶端收到加密的回應，然後對其進行解密，然後用戶端使用 IP 位址連接到所需的網站或服務。

3.HTTPS 上的 DNS

HTTPS是目前用於存取網站的 HTTP 的安全版本。與 DNS-over-TLS 一樣，DNS-over-HTTPS (DoH) 也會在透過網路發送所有資訊之前對其進行加密。

儘管目標相同，但 DoH 和 DoT 之間存在一些根本差異。首先，DoH 透過 HTTPS 發送所有加密查詢，而不是直接建立 TLS 連線來加密您的流量。

其次，它使用連接埠 403 進行一般通信，因此很難與一般網路流量區分開來。 DoT 使用連接埠 853，這使得識別來自該連接埠的流量並阻止它變得更加容易。

由於利用了現有的 HTTPS 基礎設施，DoH 在 Mozilla Firefox 和 Google Chrome 等網頁瀏覽器中得到了更廣泛的採用。 DoT 更常被作業系統和專門的 DNS 解析器使用，而不是直接整合到 Web 瀏覽器中。

DoH 被更廣泛採用的兩個主要原因是它更容易整合到目前的 Web 瀏覽器中，更重要的是，它與常規 Web 流量無縫融合，使得阻止變得更加困難。

4. 基於 QUIC 的 DNS

與此清單中的其他 DNS 加密協定相比，DNS-over-QUIC (DoQ) 相對較新。這是一種新興的安全協議，透過 QUIC（快速 UDP 網際網路連線）傳輸協定發送 DNS 查詢和回應。

如今，大多數 Internet 流量都是基於傳輸控制協定 (TCP) 或使用者資料封包協定 (UDP)，其中 DNS 查詢通常會透過 UDP 傳送。然而，QUIC協定的誕生就是為了克服TCP/UDP的一些缺點，有助於減少延遲並提高安全性。

QUIC 是Google開發的一種相對較新的傳輸協議 ，旨在提供比 TCP 和 TLS 等傳統協定更好的效能、安全性和可靠性。 QUIC 結合了 TCP 和 UDP 的特性，並具有類似於 TLS 的內建加密。

由於 DoQ 較新，因此與上述協議相比具有多種優勢。對於初學者來說，DoQ 提供更快的效能、減少整體延遲並縮短連線時間。這會導致更快的 DNS 解析（DNS 解析 IP 位址的時間）。最終，這意味著可以更快地為您提供網站服務。

更重要的是，與 TCP 和 UDP 相比，DoQ 更能抵抗資料遺失，因為與基於 TCP 的協定不同，它可以從遺失的資料包中恢復而無需完全重傳。

此外，使用 QUIC 遷移連線也更加容易。 QUIC將多個執行緒封裝在單一連線中，減少了連線所需的循環次數，從而提高了效能。當在 WiFi 和行動網路之間切換時，這也很有用。

與其他協定相比，QUIC 仍然沒有被廣泛採用。但蘋果、谷歌和 Meta 等公司已經在使用 QUIC，並且經常創建自己的版本（微軟將 MsQUIC 用於其所有 SMB 流量），這對未來來說是個好兆頭。

新興技術有望從根本上改變我們存取網路的方式。例如，許多公司現在正在利用區塊鏈技術來提供更安全的網域命名協議，例如 HNS 和 Unstoppable Domains。