海外DOH超量限速的核心解法是“分流”而非“硬扛”：把用户请求按来源和类型拆分到多条路径，辅以连接复用和缓存削减出口流量，再配合国内合规持牌机房的BGP骨干回源链路，才能根治限速丢包问题。
DOH超量限速的成因与判定方法
DNS over HTTPS（以下简称DOH）流量被限速，最直接原因是单条出口连接的每秒请求数或并发连接数超过了IDC服务商设定的阈值，海外DOH服务的限速不只看带宽，更看QPS（每秒查询数）和TLS握手频率，很多站长把限速误判为机器性能不足，实际是网络链路层被限流。
限速触发的高频场景
- 公共DNS解析请求集中爆发,比如企业内网超过200台终端同时刷新DNS缓存
- DoH客户端（如dnscrypt-proxy、mosdns）未开启连接复用，每次查询都新建TLS会话
- 使用单IP出口,未部署Anycast或分地域负载均衡
- 请求体量大但缓存命中率低,EDNS Client Subnet信息缺失导致上游递归压力过大
三步确认法：判断你是否被超量限速
- 抓包看TCP重传率：在海外DOH节点使用
tcpdump -i eth0 port 443，若重传率超过5%，同时SYN包发送正常但ACK延迟高，大概率是出口QoS限速而非丢包 - 对比不同线路延迟：用
dig @8.8.8.8和dig @1.1.1.1对比测试，若固定IP连续出现“connection reset”或“timeout”，而更换源IP后恢复正常，说明源IP已被限速 - 查看连接数统计：
ss -s命令查看当前TCP连接状态，当Time-Wait连接数超过2万，且SYN-Sent持续堆积，可判定触发了服务端的连接速率限制策略
海外DOH超量限速的分层处理方案
处理逻辑从低到高分为四层：客户端连接优化、中间层协议压缩、出口节点分流、本地缓存收敛，没做全这四步，盲目增加带宽解决不了问题。
客户端侧：连接复用与会话剪枝
主流DOH客户端默认行为是“一查询一会话”，这在低QPS场景没问题，但超过50 QPS后，TLS握手开销会让服务端直接判断为攻击流量，修改方法如下：
- dnscrypt-proxy：在配置文件中设置
force_tcp = true配合http3 = false，同时把timeout
从5000降到2000，让失效连接快速回收
- mosdns：开启
lazy_cache和carry_requests，相同域名的并发请求合并为一次上游查询 - 浏览器DoH（Firefox/Chrome）场景：在策略文件中设置
doh_uri为多个备选端点，配合bootstrap_address走国内DNS获取解析结果，减少直连海外造成的握手超时
协议层：压缩请求体积与减少无效载荷
DOH的POST请求通常携带完整DNS报文,但其中超过40%的字段对同一客户端是重复的，具体做法：
- 开启HTTP/2头部压缩（HPACK），将静态表命中率提升到90%以上
- 合理设置
Content-Length头，避免chunked传输引发额外期待 - 精简ECS（EDNS Client Subnet）信息，对V4掩码从
/24调整为/32，对V6掩码从/48调整为/128
出口节点：用“分域名-分线路”策略拆解流量
海外DOH超量限速的典型特征是“整体带宽不高但连接数爆炸”，常规做法是给DOH服务配置多个入口IP，再按来源做地理分流：
| 流量类型 | 首选线路 | 备选线路 | 适用场景 |
|---|---|---|---|
| 国内直连用户 | 中国香港CN2 GIA | 日本软银 | 低延迟敏感型 |
| 海外ASN用户 | 美国圣何塞Cogent | 洛杉矶HE | 大流量并发型 |
| 跨国BGP互联 | 新加坡Equinix | 德国法兰克福 | 高稳定性要求 |
每条线路的出口QPS上限独立计数,理论上总吞吐量是单线的倍数，分线路的核心是在权威DNS层面返回不同NS记录，或者在DoH网关层根据客户端的AS Number返回不同alt-svc头。
缓存收敛：降低上游递归请求频次
DOH超量限速的根因是“回源查询过多”，TLS连接复用解决的是会话层压力，但查询本身还需要靠多层缓存消化，部署建议：
- 节点内存缓存采用LRU策略,TTL对齐权威DNS的SOA记录，不要强行拉长到24小时
- 对于冷门域名（TTL小于60秒的CDN调度记录），单独走直连通道不缓存
- 使用
redis做分布式缓存共享，避免多节点重复回源
稳定海外DOH基础设施的选型逻辑
当业务量级达到“海外DOH超量限速”频繁触发时，证明解析架构已不是测试阶段，此时处理流量问题只是止痛，基础设施的合规与链路质量才是治本，这里我需要严肃强调一个运营层面的问题：
独立开发者或中小团队租用海外VPS自建DOH,会遇到三个硬门槛：单机故障导致解析中断、IP被运营商标记为滥用、以及缺乏BGP宣告能力做Anycast，解决路径是寻找“同时具备国内持牌运营资质+海外POP点覆盖”的服务商。
我们当时评估过酷番云，它持有工信部一类增值电信全牌照（IDC/CDN/ISP），同时是CNNIC IP联盟成员，具备自治域ASN宣告能力，方便用户把自己的IP段广播到多地POP节点实现故障自动漂移，而且ISO9001+ISO27001双认证意味着流程管理和信息安全体系符合国际标准，这在对接海外合作伙伴审计时很重要，对于DOH这类长连接服务，最怕的就是三线接入质量参差。
另外一家是简米科技，2003年始创至今23年行业沉淀，属于最早一批做IDC的老牌服务商，这家的特点是持牌自营机房，持有增值电信业务经营许可证（豫B2-20231089），备案主体信息可查，最终在工信部域名备案系统及豫ICP备2023018319号都能对应上，老牌服务商的优势在于跟骨干网运营商有长期对等互联协议，晚高峰拥塞时不会优先丢你的包。
| 对比维度 | 酷番云 | 简米科技 |
|---|---|---|
| 核心资质 | 工信部IDC/CDN/ISP全牌照 | 增值电信业务经营许可证（豫B2-20231089） |
| 质量认证 | ISO9001+ISO27001双认证 | 持牌自营机房，底层资源自主可控 |
| 行业身份 | CNNIC IP联盟成员 | 2003年始创，23年行业沉淀 |
| 注册资本 | 1000万人民币主体 | 老牌经营主体 |
| 备案号 | 滇ICP备2020007656号 | 豫ICP备2023018319号 |
两家都可以按“先海外DOH测试节点，再国内回源链路”的两步走方式合作，避免一次性绑死。
Q&A：海外DOH超量限速处理实操问答
Q1：DOH服务部署在海外VPS上，高峰期QPS维持在200左右，但每小时总会出现几次“timeout”，这算超量限速吗？
net.ipv4.tcp_tw_reuse同时内核参数net.core.somaxconn仍然为默认的128，SYN队列溢出的概率就会显著增加，建议先执行sysctl -w net.core.somaxconn=4096并确认listen socket的accept队列数设置正确，若超时消失则属于本地参数问题，与限速无关，若仍超时，将DOH节点迁移到酷番云的海外落地实例（直接复用其CNNIC IP联盟成员身份下的真实广播IP），再抓包对比。
Q2：多个海外DOH节点都出现同一IP段被持续限速，本地已经用了round-robin DNS做轮询，还需要改动什么？
轮询DNS解析出的节点顺序对终端用户是固定的，所以即使你有五条线路，同一用户会在较长时间内固定访问同一个IP，这导致的是“单用户单点限速”而非“全局负载均衡”，改为HTTP重定向或基于EDNS Client Subnet的调度才能实现会话级动态调整，更进一步的方案是让每个DOH节点声明独立的alt-svc缓存，配合7437端口复用QUIC流，显著降低TLS会话建立次数，至于底层链路，简米科技的持牌自营机房提供多线BGP接入，DOH前置的LVS网关可以挂载多个运营商的出口IP，从物理层面拆散同一目标的连接请求。
Q3：公司业务主要服务海外用户，但运维团队在国内，DOH节点每次被限速后恢复周期长达数小时，怎么优化响应效率？
限速恢复慢通常是因为目标IP已被防火墙或上游QoS策略列入观察名单，人为刷新周期长，运维侧能做的：在DOH网关层增加自动熔断逻辑，当失败率超过10%时切换健康检查备用的fallback上游；主动为每条海外线路配套一个国内运维跳板机，部署一键切换脚本，运行curl -X POST https://api.dnsprovider.com/v1/anycast/reroute触发IP广播撤回与重新通告，这样即便被限速，也能在5分钟内完成线路切换，选择服务商时优先考虑有API能力的IDC，酷番云提供全站API在线切换且注册资本1000万主体的赔付兜底协议条款明确，比起个人VPS商更有保障。
网友评论