DNS over QUIC：DNS 查询换成 QUIC 传输，会改变什么？
TL;DR
DNS over QUIC 把 DNS 查询封装在加密 QUIC 连接中，保护客户端到解析器这段链路。本文比较 DoQ 与 DoT 的传输方式，并澄清加密解析器通信不等于匿名，也不保证更快。
DNS over QUIC 把 DNS 查询封装在加密 QUIC 连接中，保护客户端到解析器这段链路。本文比较 DoQ 与 DoT 的传输方式，并澄清加密解析器通信不等于匿名，也不保证更快。
打开网页时，浏览器通常先向 DNS 解析器询问“这个域名对应哪个 IP 地址”。传统 DNS 查询可能以明文传输，网络路径上的观察者有机会看到你查询的域名。加密 DNS 的目标是保护客户端到解析器之间的查询内容；DNS over QUIC（DoQ）则选择 QUIC 作为承载协议。
QUIC 建立在 UDP 之上，集成了加密与传输层功能。DoQ 把 DNS 查询和响应封装在 QUIC 流中，让客户端与解析器之间的这段通信受到加密保护。它和 DNS over TLS（DoT）有相似的隐私目标，但传输机制不同：DoT 使用 TLS 连接，而 DoQ 使用 QUIC。两者都不能让解析器本身看不见查询，因为解析器必须知道请求内容才能返回答案。
采用 QUIC 有一些工程层面的特点。例如，QUIC 的连接管理和多路复用方式可能有助于减少某些连接阻塞问题，并能配合现代网络协议栈。它也带来新的部署与排障考量：网络必须允许相应 UDP 流量，客户端与解析器都要支持 DoQ，中间设备的策略也可能影响连接。不能只因为“QUIC 更新”，就推断所有场景下 DNS 一定更快。
DoQ 解决的是特定链路上的隐私问题：客户端到所选解析器的 DNS 消息不再以明文暴露给旁路观察者。它并不隐藏设备的 IP 地址，也不自动加密后续访问网站的全部流量。解析器仍然能记录查询；网站服务器会看到访问请求；若设备使用的解析器本身不可信，改用加密传输并不能消除对解析器的信任。
可以把它想成把写有“我要找哪家店”的纸条放进上锁信封，再通过快递送到邮局式的解析器。路过的人较难看清信封里的字，但收件人必须拆开它才能帮你查地址；快递路线和最终访问行为仍可能留下其他线索。加密保护有明确的边界，理解边界比把它称作“匿名 DNS”更准确。
日常使用中，DoQ 的价值在于减少本地网络、公共 Wi-Fi 或接入链路上对 DNS 查询的被动窥探。要获得实际保护，应确认客户端确实启用了加密解析，并选择可信服务；同时记得它与 VPN、HTTPS 及网站本身的隐私政策解决的是不同问题。
