Windows 11 原生 DoH（加密 DNS）怎么设置？
TL;DR：打开 设置 → 网络和 Internet → 以太网（Wi-Fi 则选 WLAN → 管理已知网络）→ 找到「DNS 服务器分配」点「编辑」→ 把「自动(DHCP)」改成「手动」→ 打开 IPv4 → 填首选 DNS 的 IP → 在「首选 DNS 加密」里选「仅加密(DNS over HTTPS)」→ 填 DoH 模板
https://dns.23-4.cn/dns-query → 保存。该功能为 Windows 11 原生支持，Windows 10 无此图形入口。
Windows 11 DoH 是什么？为什么用它？
DNS over HTTPS（DoH）把域名查询封装进 HTTPS 连接，和你访问普通网页走同一条 443 通道。系统级 DoH 开启后，整台电脑所有程序的 DNS 查询都被加密，路由器、运营商和公共 Wi-Fi 无法直接看到你访问了哪些域名，也较难做 DNS 劫持/篡改。微软在 Windows 11 的网络设置中提供了原生图形开关。
| 加密选项 | 行为 |
|---|---|
| 仅未加密 | 走传统明文 DNS（UDP 53），默认状态 |
| 仅加密（DNS over HTTPS） | 强制只走 DoH；加密服务器不可用时解析失败 |
| 首选加密，仅未加密 | 优先 DoH，失败才回退明文，兼容性最好 |
有线网络（以太网）设置步骤
1
进入网络设置按
Win + i 打开设置，左侧选「网络和 Internet」，右侧点「以太网」（当前正在用的网卡）。2
编辑 DNS 服务器分配找到「DNS 服务器分配」一行，点右侧「编辑」。默认是「自动(DHCP)」。
3
改为手动并打开 IPv4下拉把「自动(DHCP)」切换为「手动」，打开 IPv4 开关。
4
填 DNS 与加密方式首选 DNS 填
8.8.8.8（或你要用的解析器 IP）；「首选 DNS 加密」选「仅加密(DNS over HTTPS)」；Windows 会为已知服务商自动补全 DoH 模板。5
保存并验证点「保存」。回到网卡页应看到「DNS 服务器：已加密」字样。
Wi-Fi 用户路径略不同：设置 → 网络和 Internet → WLAN → 管理已知网络 → 点你连的 Wi-Fi → DNS 服务器分配 → 编辑，后续步骤相同。具体菜单名以你的 Windows 11 实际版本（22H2/23H2/24H2）为准。
为什么填了自建 DoH 却没有「加密」选项？
Windows 的图形界面只为它内置认识的解析器（如 Cloudflare 1.1.1.1、Google 8.8.8.8、Quad9 9.9.9.9）自动下发 DoH 模板。要把自建的 dns.23-4.cn（服务器 IP 8.210.55.60）也纳入加密，需先用管理员 PowerShell 注册该 IP 与 DoH 模板的对应关系：
Set-DnsClientDohServerAddress -ServerAddress 8.210.55.60 ` -DohTemplate "https://dns.23-4.cn/dns-query" -AutoUpgrade $true -AllowFallback $false
执行后回到网卡设置，把首选 DNS 填 8.210.55.60，「首选 DNS 加密」下拉即可选 DoH。该命令需要管理员权限的 PowerShell；命令参数与可用的加密模式以当前系统版本为准。
不熟悉命令行的用户，更省事的做法是直接把首选 DNS 填
1.1.1.1 或 8.8.8.8，让 Windows 自动补全官方 DoH 模板；自建 DoH 适合进阶用户。Windows 11 用哪个 DoH 地址？
| 服务 | DNS IP | DoH 模板 URL | 特点 |
|---|---|---|---|
| 23-4.cn 加密DNS | 8.210.55.60 | https://dns.23-4.cn/dns-query | 自建、零日志、免费 |
| Cloudflare | 1.1.1.1 | https://cloudflare-dns.com/dns-query | 低延迟、隐私友好 |
| 8.8.8.8 | https://dns.google/dns-query | 稳定、全球节点多 |
234 加密DNS 服务地址
https://dns.23-4.cn/dns-querytls://dns.23-4.cndns.23-4.cnWindows 11 系统级 DoH 用第一个（DoH 模板）；DoT 走 853 端口由路由器/第三方客户端使用。
设置后怎么确认加密生效？
最直接：网卡页看到「DNS 服务器：已加密」即说明系统在用 DoH。进一步可用 验证私人 DNS 是否生效的 5 种方法（含浏览器泄漏测试与命令行探测）核对出口解析器。
常见问题
Windows 11 的 DoH 在哪个菜单设置？+
设置 → 网络和 Internet → 以太网（或 WLAN→管理已知网络）→ DNS 服务器分配 → 编辑，把自动(DHCP)改成手动，打开 IPv4 后填入 DNS 服务器 IP，并在「首选 DNS 加密」下拉里选择加密方式。Windows 10 没有这个图形入口。
为什么我选了手动却没有「首选DNS加密」选项？+
Windows 只对它认识的加密解析器开放 DoH 模板。Cloudflare(1.1.1.1)、Google(8.8.8.8) 等已知服务商模板会自动填好；自建或自定义 DoH 需要先用 PowerShell
Set-DnsClientDohServerAddress 注册该 IP 对应的 DoH 模板地址，加密选项才会出现。Windows 11 系统级 DoH 和浏览器安全 DNS 有什么区别？+
系统级 DoH 加密整台电脑所有程序的 DNS 查询（含其他软件），浏览器安全 DNS 只加密浏览器自己的查询。两者可以同时开、互不冲突；只开浏览器时系统其余流量仍是明文 DNS。
设置 DoH 后上不了网怎么办？+
把「DNS 服务器分配」改回自动(DHCP)即可立即恢复；再检查 DoH 模板 URL 是否完整（以 /dns-query 结尾）、该服务器在你的网络是否可达、系统时间是否准确（TLS 校验依赖时间）。更多排查见 不生效排查清单。
信息来源
- Microsoft Support：Windows 中的基本网络设置和任务（含 DNS over HTTPS 选项说明）
- Cloudflare：在浏览器上配置 DoH
- RFC 7858：DNS over TLS 规范（IETF）
最后更新：2026-10-01 · © 234实验室