DoT использует отдельный транспорт DNS поверх TLS, DoH — обмен через HTTPS и его правила. Выбор резолвера, проверку сервера и требования к приватным именам нужно оценивать в обоих случаях.
DNS и разрешение имён
DNS через TLS — DoT
Определение
DNS через TLS (DoT) — это способ передавать DNS-запросы и ответы внутри TLS-соединения с резолвером, по умолчанию на TCP-порту 853. Строгий профиль требует аутентифицировать сервер, оппортунистический профиль такой гарантии не даёт.
Также ищут: DoT · DNS через TLS · DNS over TLS
Зачем это знать
Шифрование полезно только в понятной модели доверия. Для корпоративного внедрения нужно проверить резолвер, способ его аутентификации и реакцию клиента на ошибку защищённого соединения.
Связи из словаря
Карта понятия
DNS через TLS — DoT
Доказательная часть
Что подтверждено
DoT переносит DNS-сообщения внутри TLS. Строгий профиль требует аутентификации сервера, а оппортунистический профиль не даёт такой же гарантии защищённого и аутентифицированного пути.
Граница применимости: Базовый транспорт RFC 7858 и явные профили применения RFC 8310; одно наличие TLS не подменяет настройку профиля.
Проверенный канал TLS защищает путь до резолвера, а DNSSEC отдельно доказывает происхождение и целостность наборов записей.
Граница применимости: Шифрованный транспорт DNS и проверка данных DNS.
По умолчанию DoT использует TCP-порт 853 и начинает обмен с TLS. Открытый порт сам по себе не подтверждает успешный TLS-сеанс или правильную идентичность резолвера.
Граница применимости: Транспорт DoT по RFC 7858; нестандартный порт требует отдельной договорённости сторон.
Резолвер завершает TLS и получает DNS-вопросы клиента. DoT защищает передачу на этом участке, но не скрывает имена от выбранного оператора резолвера.
Граница применимости: Граница конфиденциальности транспорта RFC 7858; дополнительные схемы сокрытия запросов не предполагаются.
Получение адреса резолвера и подтверждение его личности — разные задачи. Для проверяемого соединения нужно заранее понимать ожидаемую идентичность или иной доверенный параметр выбранного профиля.
Граница применимости: Редакторское сопоставление профилей DNS через TLS и проверки идентификаторов службы; конкретный способ первоначального получения адреса не предписывается.
Строгий профиль требует успешной аутентификации и защищённого соединения. Незаметный переход к обычному незашифрованному DNS при неудаче не сохраняет свойства этого профиля.
Граница применимости: Строгий профиль конфиденциальности RFC 8310; оппортунистический профиль имеет другой договор и не обещает ту же защиту.
DoT предусматривает повторное использование TLS-соединения для нескольких запросов. Нельзя оценивать его стоимость, молча предполагая новый TCP- и TLS-обмен для каждого вопроса.
Граница применимости: Управление соединениями RFC 7858; время ответа зависит от фактического клиента, сети и сервера и не обещается стандартом.
Граница терминов
Не путать
DoT защищает участок передачи к резолверу. DNSSEC проверяет происхождение наборов записей; аутентифицированный DoT-сервер может работать без такой проверки данных.
Перед спецификацией
Что проверить
- Зафиксируйте оператора, адреса и ожидаемую идентичность резолвера.
- Укажите строгий или оппортунистический профиль явно.
- Проверьте доступность нужного TCP-порта и реальный TLS-сеанс.
- Испытайте отказ аутентификации и убедитесь в ожидаемом поведении клиента.
- Уточните повторное использование соединений при оценке задержки.
- Проверьте частные имена, пересылку и DNSSEC у выбранного резолвера отдельно.
- Согласуйте, какие сведения о запросах получает и хранит оператор резолвера.
Открытые основания
Первоисточники
- Usage Profiles for DNS over TLS and DNS over DTLS
Офлайн-очередь 07.09.2026: агент документ не открывал; retrieved_on — дата постановки, не проверки. Сверить заголовок, редакцию и строгий и оппортунистический профили, аутентификация и отказ от защиты.
- DNS Security Introduction and Requirements
Определяет DNSSEC goals, resolver security states, trust anchors и границы защиты.
Утверждения: 02
- Service Identity in TLS
Задаёт construction и verification reference identifiers для TLS services; server identity находится в subjectAltName, не в commonName.
Утверждения: 05
- DNS Queries over HTTPS
Определяет перенос DNS messages через authenticated HTTPS connection и media type application/dns-message.