DoH — DNS روی HTTPS
همان پیام DNS، این بار داخل HTTPS. ناظر شبکه نمی‌بیند چه نامی پرسیده شده و نمی‌تواند پاسخ را جعل کند.
- لایهٔ OSI: 7 (کاربرد)
- انتقال: TCP (یا QUIC)
- پورت: 443
- استاندارد: RFC 8484
- سطح: متوسط · حدود 5 دقیقه
نکته‌های کلیدی
- DoH پرسش‌های DNS را داخل HTTPS پنهان می‌کند.
- DoT (پورت ۸۵۳) همین کار را روی TLS خام و DoQ روی QUIC انجام می‌دهد.
- در شبکهٔ سازمانی، DoH می‌تواند سیاست فیلترینگ DNS را دور بزند.
مراحل شبیه‌سازی (4 بسته)
- DNS معمولی: در DNS سنتی پرسش روی UDP 53 بدون رمز است و هر ناظری در مسیر نام سایت را می‌بیند یا حتی پاسخ را جعل می‌کند.
- POST /dns-query: در DoH همان پیام دودویی DNS در بدنهٔ درخواست HTTPS قرار می‌گیرد. شناسهٔ تراکنش صفر است تا پاسخ قابل کش باشد.
- روی سیم: آنچه ISP واقعاً می‌بیند: یک رکورد TLS به مقصد 1.1.1.1:443، مثل باز کردن هر سایت دیگر.
- پاسخ: پاسخ با همان قالب DNS در بدنهٔ HTTP می‌آید و مدت کش از TTL رکورد گرفته می‌شود.