DoH和DoT是用于加密DNS查询的两种技术标准，它们的核心目标相同：保护你的上网隐私，防止DNS查询被窃听或篡改。它们都基于TLS加密协议，只是“包装”和“运输”数据的方式不同。

下面这个表格能帮你快速看清它们的关键区别：

| 特性对比 | **DoH (DNS over HTTPS)** | **DoT (DNS over TLS)** |
| :--- | :--- | :--- |
| **加密原理** | 将DNS查询包装在常规的HTTPS流量中。 | 为DNS查询建立专用的TLS加密通道。 |
| **默认端口** | 443 (与普通网页浏览无异)。 | 853 (专用端口)。 |
| **流量伪装** | **高**。DNS查询看起来和浏览网站流量完全一样，难以被单独识别和拦截。 | **低**。使用独立端口，网络管理者可以识别并可能屏蔽此端口。 |
| **主要适用场景** | 浏览器（如Chrome、Firefox）、注重隐私的个人用户。 | 操作系统全局设置（如安卓的“私人DNS”）、企业网络。 |

### 🛡️ 它们解决了什么问题
传统DNS查询像发送明信片，内容一目了然，存在三大风险：
*   **隐私泄露**：你的互联网服务提供商（ISP）或公共Wi-Fi网络中的恶意攻击者可以轻易知道你访问了哪些网站。
*   **DNS劫持**：查询结果可能在传输中被篡改，将你引向钓鱼网站。
*   **中间干扰**：防火墙或网络设备可能基于域名进行干扰或过滤。

DoH和DoT就像是给明信片加上了只有收件人能打开的密封信封，有效解决了上述问题。

### 🔧 如何选择使用
如果你：
*   **想在浏览器中提升隐私**：直接在**Chrome或Firefox的设置中启用DoH**，并选择一个可信的提供商（如Cloudflare、Google等）。
*   **想在手机上全局加密DNS**：在**安卓系统的网络设置中，启用“私人DNS”并填入域名**（如 `dns.google`），这通常使用的是DoT。
*   **是企业网络管理员**：可能更倾向于部署**DoT**，因为它使用专用端口，更容易在网络层面进行统一管理和监控。

> **重要提示**：启用加密DNS后，你的DNS查询将绕过本地网络（如公司或学校）指定的服务器，这意味着网络管理员可能无法再进行基于域名的内容过滤。这在公共网络提升了你的隐私，但也可能违反某些机构的使用政策。

总的来说，DoH因其隐蔽性，更适合个人用户在日常浏览中使用；而DoT因便于管理，更受企业和系统级部署的青睐。

如果你对某个特定平台（比如Windows或iOS）的设置方法感兴趣，我可以提供更详细的步骤。