DNS over HTTPS 改变了什么——又没改变什么
每打开一个网站，Windows 都会请 DNS 服务器把域名换算成 IP 地址——而经典 DNS 走的是明文，跑在 UDP 53 端口上。任何坐在你电脑和解析器之间的人——酒店 Wi-Fi、公司路由器、网络提供商——都能记下你查询过的每一个域名，而这恰好是你一天生活的惊人完整画像。DoH 把同样的提问装进 HTTPS 连接，查询本身在路上就变成了密文。
DoH 带来的不是匿名。你选定的解析器——Cloudflare、Google、Quad9——现在代替你的提供商看到你的查询：你是在转移信任，而不是消灭它。网站仍然看得到你的 IP 地址，而 VPN 加密的内容远远多于 DNS 所能做到的。把 DoH 理解为关上某个恰好大敞着的信箱口，而不是易容伪装。
用已知解析器启用 DoH
打开设置 → 网络和 Internet，点击当前连接（Wi-Fi 或以太网）进入属性页，找到“DNS 服务器分配”并点击“编辑”。在弹窗中把模式从“自动 (DHCP)”改为“手动”，打开 IPv4，把解析器填进“首选 DNS”，然后展开“DNS 加密”并选择“仅加密”。保存后，属性页应该会给服务器标上“已加密”徽章。如果你的网络用 IPv6，就对 IPv6 开关用解析器的 v6 地址重复一遍。
Windows 11 自带大型公共解析器的模板，从中挑一个是零成本路线。实际差别很小：线路健康时速度几乎一样，不同的是日志政策和附加功能。比如 Quad9 在解析之外还过滤已知恶意域名，而 Cloudflare 承诺 24 小时内清除日志。
- Cloudflare——1.1.1.1 和 1.0.0.1，IPv6 2606:4700:4700::1111——日志 24 小时内删除
- Google Public DNS——8.8.8.8 和 8.8.4.4，IPv6 2001:4860:4860::8888
- Quad9——9.9.9.9 和 149.112.112.112——附赠恶意域名拦截
- 你的提供商的 DNS 服务器——通常没有 DoH 模板，加密选项会保持灰色
自定义解析器、验证与几句实话
如果你想用 Windows 不认识的解析器——公司服务器或过滤服务——在教会 Windows 模板之前，加密下拉框会一直停在“仅不加密”。打开管理员终端添加：netsh dns add encryption server=1.2.3.4 dohtemplate=https://dns.example.com/dns-query autoupgrade=yes udpfallback=no——之后该地址也会出现“加密”选项。要验证当前状态，PowerShell 的 Get-DnsClientDohServerAddress 会列出每个服务器及其模板和状态；Cloudflare 的检测页 one.one.one.one/help 在生效时会直白地显示“Using DNS over HTTPS: Yes”。
庆祝之前先听两句实话。在公司网络和 VPN 环境里，别动 DNS——隧道或域策略通常会提供自己的解析器，强行覆盖可能弄坏内部域名解析。另外有些杀毒套件会在本地拦截 DNS 来过滤流量，可能和 DoH 冲突；如果切换开关后网络立刻断掉，重新打开网卡的“编辑”对话框，把模式改回“自动 (DHCP)”即可。什么都不会丢——你离原来的行为只有一个开关的距离。
常见问题与解答
Windows 11 的 DNS over HTTPS 免费吗？
免费。DoH 支持就在 Windows 11 本体里，而主要解析器——Cloudflare、Google、Quad9——都是免费公共服务。没有要买的东西，也没有要装的额外软件。
DNS over HTTPS 会让上网变慢吗？
测不出来。加密握手的成本大约等于打开一次 HTTPS 网站，而 Windows 缓存结果的方式和以前完全一样。在超载的提供商解析器上，大型公共解析器有时反而更快。
DoH 能替代 VPN 吗？
不能。VPN 加密全部流量并对网站隐藏你的 IP；DoH 只加密 DNS 查询，并把查询的知情权从提供商转移到解析器。两者叠加使用效果很好，但它们是不同的工具。
继续阅读
联系我们: [email protected]