DoT
DNS over TLS — DNS поверх шифрованного TLS-соединения TCP, порт 853. RFC 7858 (2016), старше DoH. Предприятиям проще контролировать: у порта 853 единственное назначение. В Android 9+ включён по умолчанию («Частный DNS»).
От DoH отличается отдельным портом, поэтому при желании его легко заблокировать на файрволе. DoH делит порт 443 с обычным веб-трафиком, и заблокировать его, не сломав веб, невозможно. По производительности: DoT чуть быстрее при промахе кэша (меньше накладных расходов HTTP). Конкуренты: DNSCrypt (не стал стандартом IETF) и DoQ (DNS over QUIC, RFC 9250 — современная альтернатива). Частный DNS в Android: указываете dns.cloudflare.com — и DoT работает из коробки; на iOS для DoT на уровне системы нужен конфигурационный профиль. Для Mac и Windows есть пользовательские решения: проект DNSPrivacy и Stubby.