Um túnel DNS é uma forma de contornar a censura da rede. O propósito de um resolvedor DNS recursivo é receber pacotes e encaminhá-los para outro lugar – na verdade, funcionando como uma espécie de proxy de rede. Os túneis DNS sobre UDP de texto simples são geralmente considerados fáceis de detectar devido às mensagens DNS incomuns que usam. No entanto, DoH e DoT são criptografados – um observador externo pode ver que você está se comunicando com um resolvedor público, mas não pode descriptografar as mensagens DNS brutas para ver se elas incorporam um protocolo de túnel. (O próprio resolvedor ainda pode dizer facilmente que você está usando um túnel.)
O dnstt usa criptografia e autenticação ponta a ponta entre o cliente do túnel e o servidor do túnel por padrão. Seu design de protocolo permite maior desempenho do que outros túneis DNS.