DNS over QUIC
概述 DNS over QUIC和QUIC流量是加密的，这意味着在流量中没有明文DNS消息或明文SNI或HOST信息。因此，我们需要采用不同的方法来准确地识别这些流量。
DNS over QUIC DNS over QUIC是DNS通过QUIC协议传输的加密版本。由于QUIC本身是基于UDP协议的，所以DNS over QUIC的数据包也是基于UDP协议的。在这种情况下，我们可以根据QUIC协议头部中的版本号（Version）和加密密钥（Key Phase）来识别DNS over QUIC流量。
QUIC协议头部中的Version字段指示了QUIC版本。DNS over QUIC使用的版本号为0xff00001d。因此，我们可以检查流量中QUIC协议头部的Version字段是否为0xff00001d，以确定这是否为DNS over QUIC流量。
另一个识别DNS over QUIC的关键是QUIC协议头部中的Key Phase字段。这个字段指示了加密密钥的版本。对于DNS over QUIC，密钥版本为0。因此，我们可以检查流量中QUIC协议头部的Key Phase字段是否为0，以确定这是否为DNS over QUIC流量。
QUIC QUIC是一种新的协议，它是基于UDP协议的，并且使用了TLS 1.3来加密数据。由于QUIC本身是加密的，所以在流量中没有明文SNI或HOST信息。然而，我们可以通过以下方法来识别QUIC流量：
首先，我们可以检查流量中是否包含QUIC协议头部。QUIC协议头部由公共头（Public Header）和私有头（Private Header）组成。公共头包含了QUIC版本号、连接ID、数据包类型和加密标志等信息。私有头包含了流ID和流类型等信息。因此，如果流量中包含了QUIC协议头部，那么这就是QUIC流量。
其次，我们可以检查QUIC协议头部中的Version字段。与DNS over QUIC类似，QUIC协议头部中的Version字段也指示了QUIC版本。如果Version字段的值不是0xff00001d，那么这就是一个普通的QUIC流量。
最后，我们可以根据QUIC协议头部中的加密标志（Encryption Flag）来识别QUIC流量。加密标志指示了QUIC数据包是否已经被加密。如果加密标志为1，那么这是加密的QUIC流量，否则就是明文的QUIC流量。然而，需要注意的是，即使流量被加密了，也不一定是DNS over QUIC，因为QUIC还被用于其他类型的流量，如HTTP/3等。
当检测QUIC协议时，除了检查版本号和加密标志外，还可以使用以下方法来进一步识别QUIC流量：
检查连接ID 在QUIC协议中，每个连接都有一个唯一的连接ID，它用于标识连接。这个连接ID在QUIC协议头部的公共头（Public Header）中。由于QUIC连接的ID通常是随机生成的，因此可以使用连接ID来进一步确定是否为QUIC流量。
检查流ID 在QUIC协议中，每个连接都可以包含多个流，每个流都有一个唯一的流ID。这个流ID也包含在QUIC协议头部的私有头（Private Header）中。由于QUIC流ID也是随机生成的，因此可以使用流ID来进一步确定是否为QUIC流量。
检查QUIC协议版本 除了版本号外，QUIC协议还有一个魔数（Magic Number），它是用于识别QUIC协议的标志。魔数在QUIC协议头部的公共头中，并且其值为0xff00001c。因此，可以通过检查魔数来确定是否为QUIC流量。
检查QUIC标识 QUIC还有一个特殊的QUIC标识（QUIC Tag），它在QUIC协议头部的公共头中。QUIC标识包含了QUIC流量的相关信息，例如流类型和加密信息等。可以通过检查QUIC标识来进一步确定是否为QUIC流量。
需要注意的是，以上方法并非完美的识别QUIC流量的方法，因为攻击者可以伪造QUIC协议头部。因此，在实际应用中，需要结合多种特征来判断是否为QUIC流量，并且需要对这些特征进行动态更新以适应新的攻击手段。
此外，对于QUIC中的加密数据，我们可以使用TLS 1.3来解密它们。TLS 1.3使用密钥交换协议来协商共享密钥，然后使用这些密钥来加密和解密数据。因此，我们需要在DPI程序中实现TLS 1.3的解密功能，以便在检测QUIC流量时能够解密加密数据，并进一步分析流量的内容。
在QUIC中，每个数据包都有一个公共头（Public Header）和一个私有头（Private Header）。公共头中包含了版本号、连接ID和流ID等信息，私有头中包含了数据流的一些控制信息。QUIC使用了一种称为“比特格式”的头部压缩机制，使得数据包头部尽可能地小。
在识别DNS over QUIC时，需要注意以下几点：
版本号 DNS over QUIC使用的版本号是0x00000001。因此，我们可以通过检查版本号来确定是否为DNS over QUIC流量。
加密密钥版本 在DNS over QUIC中，DNS数据是被加密的。加密密钥版本在QUIC协议头部中。如果加密密钥版本不为0，那么就是加密的DNS over QUIC流量。
SNI和Host信息 DNS over QUIC中的SNI和Host信息是被加密的。因此，在检测DNS over QUIC流量时，我们无法直接从SNI或Host字段中获取信息。相反，我们需要使用TLS 1.3协议来解密加密的DNS数据。TLS 1.3使用DH密钥交换协议来协商共享密钥，然后使用这些密钥来加密和解密数据。因此，我们需要在DPI程序中实现TLS 1.3的解密功能，以便在检测DNS over QUIC流量时能够解密加密数据，并获取SNI和Host信息。
需要注意的是，以上方法并不是完美的识别DNS over QUIC流量的方法，因为攻击者可以伪造QUIC协议头部和加密数据。因此，在实际应用中，需要结合多种特征来判断是否为DNS over QUIC流量，并且需要对这些特征进行动态更新以适应新的攻击手段。
