加密 DNS 与 VPN：不同的隐私，不同的工具

加密 DNS 实际保护的是什么

DoH 和 DoT 加密的恰好只有一件事：你的机器把域名换成 IP 地址的那一步。没有它，这次查询以明文传输，运营商——或同一网络里的任何人——都能记录你访问的每一个域名，哪怕网站本身用了 HTTPS 也一样。有了它，这些查询通过加密连接发往你选定的解析器，运营商的 DNS 日志就此熄灯。

它不做的是隐藏你的流量。运营商仍然看得到你连接的 IP 地址，SNI 字段仍然广播你打开的每个 HTTPS 站点的主机名，网站也仍然看得到你的真实 IP 和浏览器指纹。加密 DNS 关上的，是一条有好几个漏洞的管道中的一个。值得开启——但它离 VPN 还差得远。

VPN 能做而 DNS 永远做不到的事

VPN 移动的是整条管道：包括 DNS 在内的每个连接都通过加密隧道到达服务商的服务器，你访问的网站看到的是那台服务器的 IP，而不是你的。这正是它在公共 Wi-Fi 上有用、能隐藏位置、能接入你不想暴露家庭 IP 的网络的原因。代价是信任：VPN 服务商会看到你的运营商以前看到的一切——你不是消灭了观察者，而是换了一个。两个工具谁也吞并不了谁：

开着 DoH，运营商仍然看得到目标 IP 和 SNI 主机名——只是看不到 DNS 查询
你的 DNS 服务商看得到你解析的每一个域名，所以请选一家你真正信任其日志政策的服务商
用加密 DNS 时网站看到你的真实 IP；用 VPN 时它们看到的是 VPN 服务器的 IP
VPN 服务商看得到你全部的流量和时间规律——它顶替运营商成为观察者
在公共 Wi-Fi 上，只有 VPN 能防住对连接本身的本地窃听
两者可以叠加：在 VPN 隧道里跑 DoH，能堵上 VPN 自己的明文 DNS 旁路信道

你真正需要的是哪一个

对大多数在家上网的人来说，加密 DNS 是免费的便宜收益：Windows 11 允许在设置 → 网络和 Internet 里按适配器设置 DoH，浏览器也可以各自独立启用。VPN 值回订阅价的地方是敌意网络、你的 IP 本身就是需要隐藏的东西，或者你所在的网络封锁或污染 DNS。如果你的威胁模型是“运营商不该卖我的浏览日志”，那就从 DoH 加上诚实的期待开始。如果是“这个网络里的任何人都不能知道我在干什么”，那是 VPN 的活——而且往往两个一起上。