Windows Server 2025 Adds DNS over HTTPS Support

•Windows Server 2025 中的 DNS over HTTPS (DoH) 支援已於 2026 年 6 月 9 日透過累積更新 (KB5094125) 正式推出，其部署需要配置受信任的 TLS 憑證。
•此伺服器端 DoH 功能填補了長達六年的空白，因為 Windows 用戶端作業系統和主流瀏覽器（如 Firefox 和 Chrome）自 2020 年起已支援針對外部解析器的 DoH，但內部企業 DNS 流量仍未加密。
•Microsoft 將此功能定位為其更廣泛的零信任 (Zero Trust) DNS 策略的一部分，旨在透過加密和驗證所有 DNS 通訊，在端點和基礎設施之間建立一致的安全態勢。
•儘管 Windows Server 2025 目前的實作加密了客戶端到解析器之間的通訊，但它不加密 DNS 伺服器與上游解析器（如轉發器或權威伺服器）之間的通訊，Microsoft 計劃在未來更新中擴展此支援。
•DoH 透過標準 HTTPS 埠 443 運作，將 DNS 流量隱藏在常規 HTTPS 流量中，這使得網路層級的過濾和審查更難以阻擋 DNS 請求，但也為企業網路監控帶來了挑戰。

📊 競品分析▸ Show

功能/產品	Windows DNS Server 2025	BIND (Linux)	PowerDNS (Linux)	Unbound (Linux)	CoreDNS (Linux)
DoH 伺服器支援	是 (正式推出)	是 (自 9.18 版起)	是 (原生整合)	是 (原生整合)	是 (透過 http:// 協定)
DoT 伺服器支援	否 (目前未提及)	是 (透過 stunnel 或原生支援)	否 (主要關注 DoH)	是 (原生整合)	是 (透過 tls:// 協定)
加密通訊埠	TCP 443 (DoH)	TCP 443 (DoH), TCP 853 (DoT)	TCP 443 (DoH)	TCP 443 (DoH), TCP 853 (DoT)	TCP 443 (DoH), TCP 853 (DoT)
企業網路可見性	挑戰傳統監控，但支援與現有 DNS 並存	挑戰傳統監控 (DoH)，DoT 較易於管理	挑戰傳統監控 (DoH)	挑戰傳統監控 (DoH)，DoT 較易於管理	挑戰傳統監控 (DoH)
部署複雜度	需要 TLS 憑證、PowerShell 配置	配置彈性高，可能需要額外代理	配置彈性高，支援多種後端	相對簡單，專注於遞迴解析	配置靈活，可作為代理或伺服器
上游加密支援	規劃中，目前僅支援客戶端到解析器	支援 (取決於配置)	支援 (取決於配置)	支援 (內建 DoT)	支援 (可配置上游 DoT)

DNS over HTTPS (DoH) 協定由 IETF 在 RFC 8484 (2018 年 10 月) 中定義，它透過 HTTPS 協定執行遠端域名系統 (DNS) 解析，旨在提高使用者隱私和安全性。
DoH 將 DNS 查詢和回應封裝在 HTTPS 請求中，使用 HTTPS 負載中的 application/dns-message MIME 類型來傳輸線路格式的 DNS 回應資料。
底層的 HTTP 層可以是任何 HTTP 版本，但建議最低使用 HTTP/2，並可支援 HTTP/3。
透過使用傳輸層安全 (TLS) 協定進行加密，DoH 可防止竊聽、中間人攻擊和 DNS 數據篡改。
數位憑證用於驗證 DNS 伺服器的身份，確保客戶端與受信任的來源通訊，從而降低欺騙或冒充攻擊的風險。
Windows Server 2025 中的 DoH 實作在 TCP 埠 443 上運作，這是標準 HTTPS 流量的預設埠，使得 DNS 流量與其他 HTTPS 流量難以區分。
部署 DoH 需要在 DNS 伺服器上配置一個受信任的 TLS 憑證（包含符合 DoH URI 範本的主體別名），透過 PowerShell 啟用 DNS 伺服器服務中的 DoH 功能（目前沒有圖形介面），並配置支援 DoH 的客戶端（例如 Windows 11）使用加密端點。
Windows Server 2025 的 DoH 功能設計為可與傳統的未加密 DNS 流量同時運作，允許組織逐步採用加密 DNS 而不中斷現有工作負載。

DoH的廣泛採用將加速企業網路向零信任安全模型轉型。

Microsoft將Windows Server 2025中的DoH視為其零信任DNS策略的一部分，透過加密和驗證所有DNS通訊來強化網路安全，這將推動企業在整個基礎設施中實施更嚴格的信任驗證。

DoH的普及將對傳統的網路監控和內容過濾工具構成挑戰。

DoH將DNS查詢隱藏在標準HTTPS流量中（使用443埠），使得依賴明文DNS流量進行監控、過濾和威脅檢測的傳統工具難以識別和管理DNS請求。

未來DNS伺服器將需要支援更全面的加密路徑，包括與上游解析器的加密通訊。

儘管Windows Server 2025目前僅支援客戶端到解析器的DoH加密，但Microsoft已規劃在未來更新中擴展對上游DNS解析器加密通訊的支援，這表明業界對端到端DNS加密的需求日益增長。

2018-10

IETF 發布 DNS over HTTPS (DoH) 標準 RFC 8484

2020-02

Mozilla Firefox 在美國預設啟用 DNS over HTTPS

2020-05

Google Chrome 預設啟用 DNS over HTTPS

2022-06

IETF 發布 Oblivious DNS over HTTPS (ODoH) 實驗性標準 RFC 9230

2026-02

Windows Server 2025 的 DoH 伺服器支援作為公開預覽版發布 (KB5075899)

2026-06

Windows Server 2025 的 DoH 伺服器支援透過累積更新 (KB5094125) 正式推出

Windows Server 2025 新增 DNS over HTTPS 支援