请教自建 DNS 的协议选择 DoH vs DoT vs DoQ vs Raw UDP/TCP

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

For Existing Member Sign In

DNS 参考资料

List of DNS Record Types

dig 使用说明

djbdns

DNS Parameters

dnslib for Python

This topic created in 53 days ago, the information mentioned may be changed or developed.

走 Real-IP 后被 DNS 搞魔怔了。

目前自建了远端 DNS server ，所有的 DNS 请求都会走代理协议。主要走 UDP 代理协议，不稳的时候考虑切 TCP 。

最开始为了最低延迟，选择了用原生 UDP 的 DNS ，也就是 UDP over UDP 的 dns 请求。但是 AI 说如果我哪天切 tcp 的代理协议代理走 udp dns 会存在拥堵算法的问题。Surge 官网也说默认屏蔽 UDP 可以省去很多问题。

后来考虑走 Raw TCP 的 DNS ，也就是 raw TCP over UDP 。但是 AI 又说普通 Infra 对纯 TCP 的 DNS 支持不是那么全面。

现在考虑 DoT 或者 DoH ，但是这两个都走 TLS ，相当于多了一次加密。而且都是走 TCP ，也就是走 quic 的代理要 TLS + TCP over UDP 。不知道这样如何。

还有个新的 DoQ ，可以 QUIC over QUIC 。

UDP vs TCP vs DoT vs DoH vs DoQ 大家都是怎么选择的？

DNS

proxy

Protocol

11 replies 2026-03-10 11:29:25 +08:00

unused

Mar 7 via Android

就 UDP/TCP 53

jqknono

Mar 7 via Android

doh 省心，自动升降级 quic ，加密仅在建连时多一点时间
https://github.com/jqknono/cloudflare-doh 这个不花钱最省心
想折腾可以试试 https://www.nullprivate.com/ ，里边可以配 ECS ，用于将携带的 ip 地理位置最近的服务器 ip 返回，这个配得好延迟低，配不好就延迟高

initd

Mar 7

dnscry.pt

haodingzan

Mar 7

自己有服务器能建，那就 DoH 直连，nginx 反代一下，把/dns-query 换掉，配好 ECS 速度快； DoT 和 DoQ 端口特征明显，容易被干。如果你 DNS 经过代理了，那用什么协议都无所谓了，UDP 仅代理 53 ，直接用 8888 都行。

darksword21

PRO

Mar 7

我选择 doh fakeip dns 和请求走同一个出口（

strobber16

Mar 7

我全都要.jpg

ryd994

Mar 8 via Android

没事找事瞎折腾
“最开始为了最低延迟” 你的服务器又不是 anycast 到你家附近。公网延迟随便哪个都比 DNS 协议这点延迟高多了。
“普通 Infra 对纯 TCP 的 DNS 支持不是那么全面” 有什么必要自建 recursive DNS 服务吗？你都已经过了墙了，直接用当地的 DNS 就好了啊。你的上游 DNS 能支持 TCP 就好了啊。

“相当于多了一次加密。而且都是走 TCP”
DNS 就那点流量，多一次加密怎么了？我们夸张一点算它 1ms 好了，你到你的代理服务器要几 ms ？

“而且都是走 TCP ，也就是走 quic 的代理要 TLS + TCP over UDP”
如果用加密协议，那就根本没必要经过代理。多。
TCP over UDP 和 UDP over TCP 不一样，前者不是问题。因为 UDP 没有队首阻塞问题。TCP 自己有拥塞控制和重传，UDP 不提供就正好。

别瞎 jb 折腾了行不行？经过代理的就纯 TCP 。不经过代理的就 DOH 。

不用 DOT 的原因是协议特征明显。记住，过墙需要的不是加密而是混淆。

bao3

Mar 8

你做 dns 的目的是什么？如果是为了安全，那你只能选择混淆，别无二选。混淆意味着你只能选 Do H 。
如果你是为了速度，那也没得选，只能用默认 udp 53 。剩下的 QUIC 这种只是锦上添花，甚至时时候属于屎上雕花，可有可无。

Michaol

Mar 8

反代就够了，没必要折腾，caddyfile 几行的是事情

yyysuo

Mar 9

回归 fakeip 就好了，没这么多屁事儿。

jackOff

Mar 10

直接代理里代理一下 8888 就行了啊