加密DNS与DNSSEC：解析隐私和结果验证有何区别

摘要：从查询传输、数据签名和浏览器保护模式入手，区分DoH与DNSSEC的作用及排查方法。

代理客户端与浏览器经常出现“安全DNS”“加密解析”“DNSSEC”等选项。它们都与域名查询有关，作用却各有范围。遇到网站打不开或担心查询暴露时，先区分传输是否加密、返回数据能否验证，再决定检查哪个环节，可以减少盲目改设置。

DoH将DNS查询与响应放进HTTPS通信，协议说明规定了这一交换方式。正确验证服务器证书时，链路上的旁观者难以直接读取这段查询内容，也更难在途中随意修改它。

但解析服务仍需要收到查询才能回答。把通信加密，并没有让解析器失去处理域名的能力；选择服务方时，仍应了解它的隐私政策和日志规则。加密查询也不会自动替整台设备更换出口，DoH请求走哪条连接路径，需要结合应用和代理设置判断。

DNSSEC使用数字签名验证DNS数据的来源与完整性。RFC4033明确说明，它不提供查询内容的保密。可以把两者理解为不同层面的保护：一项保护查询通道，一项帮助检查有签名的数据是否可信地来自对应区域。

验证还需要域名区域签名、可验证的信任链和执行验证的解析器。不是每条DNS结果都有这种证明，启用一个开关也不能替未签名的区域生成签名。签名验证通过，只涉及解析数据，不是对网页内容或网站经营者的信誉认证。

两种机制可以同时使用。不要因为已经选择HTTPS解析，就跳过对DNS数据验证能力的了解；也不要把“支持DNSSEC”的介绍当作查询已经加密的证据。

浏览器选择了安全DNS，实际状态也值得检查。例如Firefox文档说明，默认保护遇到问题可回退到默认解析器；VPN、企业策略等环境也可能影响DoH是否启用。设置页面的开关与当前使用状态，应分别查看。

排查时先记下原设置，检查解析器地址和连通情况，再对少量公开域名比较结果。一次只调整一个位置，记录发生在浏览器、系统还是代理客户端；不要同时更换节点、解析器和规则，免得无法判断哪项起效。