DNS over HTTPS 是什么：DoH、DoT 加密 DNS 的设置方法，以及它和 VPN 的关系

你在地址栏输入一个网址，浏览器要先把域名换成 IP 地址才能发请求，这一步叫 DNS 查询。传统 DNS 查询是明文的，走 53 端口，你访问了哪个域名，途经的每一台设备都看得一清二楚，也可以随手改掉答案。DNS over HTTPS（DoH）与 DNS over TLS（DoT）就是为了补这个洞：把 DNS 查询装进加密通道里，前者用 HTTPS 走 443 端口，看起来和普通网页流量没有区别；后者用 TLS 走专用的 853 端口。近几年浏览器和操作系统陆续把它们做成了开关，Chrome 与 Edge 叫“使用安全 DNS”，Firefox 叫“DNS over HTTPS”，安卓叫“私人 DNS”，Windows 11 也在网络设置里加了 DNS 加密选项。

开关多了，困惑也多了。有人以为开了安全 DNS 就等于开了 VPN，其实它只加密了“查地址”这一步，你的真实 IP 和访问目标对网络中间人依然可见；也有人开了之后发现网页反而打不开、酒店的登录页弹不出来、VPN 客户端的智能分流开始乱走。这些现象都有明确的原因：加密 DNS 与 VPN 处理 DNS 的方式在系统里会互相抢位置。这篇先把几种加密 DNS 讲清，再给出各设备的设置步骤，最后说明和 VPN 配合时该怎么选。

几种 DNS 的差别：先分清加密与验证

这张表要分清两件常被混为一谈的事：加密与验证。DoH、DoT 解决的是“别人看不见、改不了”，DNSSEC 解决的是“答案是真的”，两者可以同时用但互不替代。另一个关键差别是 DoT 用专用端口，网络管理者一眼就能认出并拦下；DoH 混在 HTTPS 流量里，拦截它就得拦掉所有网页，所以在受限网络里 DoH 的存活率通常更高。而 VPN 隧道里的 DNS 查询本来就是加密的，这也是后面讨论两者关系的起点。各家浏览器与系统的实现细节会随版本变化，以官方最新说明为准。

各设备开启加密 DNS：分步操作步骤

• 第一步：先把线路准备好，连上刺猬VPN。安装客户端后自定义用户名和密码即可完成匿名注册，不需要邮箱、也不需要手机号，免费节点永久免费、不限流量，注册即用；全程 HTTPS+AES 加密传输。境外 DoH 服务在国内直连时常不可达，先有线路再测试才能分清是设置错了还是服务不可达；
• 第二步：Chrome 与 Edge 在设置的隐私和安全里找到“使用安全 DNS”，可以选“使用当前服务提供商”或自定义一个 DoH 地址，自定义地址要填完整的 https 地址；
• 第三步：Firefox 在隐私与安全里找到 DNS over HTTPS，有默认保护、增强保护、最大保护三档，日常用增强保护即可，最大保护会在 DoH 不可用时直接拒绝解析；
• 第四步：Windows 11 在网络设置的 DNS 服务器分配里改为手动，填入支持 DoH 的服务器地址，再把首选 DNS 加密设为仅加密，Windows 10 没有图形界面选项；
• 第五步：安卓在网络设置里找到私人 DNS，选择“私人 DNS 提供商主机名”并填入服务商域名，这里走的是 DoT，填的是主机名而不是 IP；
• 第六步：iPhone 与 Mac 没有内置开关，需要安装描述文件或使用支持加密 DNS 的应用，中国大陆区 App Store 不提供 VPN 类应用，刺猬VPN 客户端的安装见 iOS 安装教程；
• 第七步：设置完在浏览器里访问服务商提供的检测页，确认解析确实走了加密通道，而不是只看开关状态；
• 第八步：把 VPN 客户端的连接模式记在心里，智能分流状态下先关掉浏览器的 DoH 或改成“使用当前服务提供商”，原因见下文；
• 第九步：出门前把安卓私人 DNS 从主机名模式改回自动，否则连接酒店、机场那种需要网页登录的 WiFi 时，登录页会因为解析被拒而弹不出来。

按现象逐条排查：开了加密 DNS 之后的怪问题

下面按开启加密 DNS 之后常见的现象对应到原因，多数都和“谁来解析”被抢了位置有关。

• 开了之后所有网页都打不开：填的 DoH 或 DoT 服务在当前网络不可达，且选了严格模式拒绝回退，先换成可达的服务或改回自动；
• 网页能开但明显变慢：加密 DNS 服务器离你很远，每次解析多绕一圈，换一家延迟低的服务商；
• 酒店或机场 WiFi 登录页弹不出来：登录页依赖运营方劫持 DNS 把你导到认证页，严格模式下被拒绝，临时改回自动；
• 开着 VPN 时智能分流失灵，国内网站也走了线路：浏览器 DoH 让客户端看不到域名，按域名的分流规则无法匹配，关掉浏览器 DoH；
• 安卓开着私人 DNS 连 VPN 后没网：系统尝试对 VPN 下发的解析器也做 DoT，对方不支持就失败，把私人 DNS 改为自动；
• Firefox 提示无法解析而其他浏览器正常：只有 Firefox 开了最大保护，降到增强保护；
• 检测页显示解析没有加密：浏览器开关开了但被系统或客户端策略接管，看检测页给出的实际解析器；
• 公司网络里加密 DNS 全部失效：企业网络通常禁止绕过内部解析器，这是策略而不是故障，在公司网络里关掉即可；
• 换了 DoH 服务后某些网站被拦：部分服务商自带内容过滤，换成不带过滤的地址。

和 VPN 怎么配合：三种组合的取舍

结论很直接：开着 VPN 时，DNS 查询本来就在隧道里加密，浏览器或系统层再叠一层 DoH 多数时候没有额外收益，反而会和客户端的分流机制抢位置。刺猬VPN 的智能分流按目标域名与 IP 规则决定走不走线路，前提是客户端能看到你要访问的域名；浏览器一旦自己用 DoH 解析，客户端看到的只剩 IP，规则就匹配不上了。所以智能分流下建议关闭浏览器 DoH，全局模式下开不开都可以。免费节点永久免费、不限流量、注册即用，时长套餐期间不限流量、不限速，会员节点覆盖 20 多个国家、100 多台服务器，一个账号支持多设备同时在线，连接期间全部流量走 HTTPS+AES 加密。实际可用性取决于当前网络环境。

选哪家加密 DNS：境外与国内服务商

加密 DNS 的效果很大程度上取决于你选的服务商。国际上常见的公共服务有 Cloudflare、Google、Quad9 与 AdGuard，都同时提供 DoH 和 DoT，隐私政策各有侧重，Quad9 与 AdGuard 还自带恶意域名或广告过滤；国内则有阿里公共 DNS 与 DNSPod 提供 DoH 与 DoT 服务，直连时延迟低、解析国内域名准确。选择的原则是按使用场景匹配：不开 VPN 时用国内服务商，解析快也不会因为境外服务不可达而断网；开着 VPN 走全局模式时用境外服务商，让解析结果与出口地区一致，避免出现“人在线路上、解析却指回国内节点”的错位。

各家公共 DNS 的基本情况与选择逻辑见 8.8.8.8 是什么？公共 DNS 的作用与选择。要提醒的是，加密 DNS 只保护查询不被看见，你连到目标网站时的 TLS 握手仍会明文带上域名，这一段的保护要靠 ECH，详见 SNI 是什么？ECH 加密 SNI 对科学上网意味着什么；而 VPN 连接期间 DNS 查询是否真的走了隧道、有没有从别的口漏出去，检测方法见 DNS 泄漏是什么。三篇连起来读，DNS、SNI、隧道这三层各管什么就清楚了。

常见报错速查表

高频问答

• 问：开了 DoH 是不是就不用 VPN 了？答：不是。DoH 只加密域名查询，你的真实 IP、访问目标与内容对网络中间人依然可见，也无法访问被拦的网站；
• 问：DoH 和 DoT 选哪个？答：受限网络里 DoH 更难被单独拦截；安卓私人 DNS 只支持 DoT，按设备能力选即可；
• 问：开着 VPN 还要不要开浏览器的安全 DNS？答：智能分流下关掉，否则分流规则失效；全局模式下开不开都可以，收益不大；
• 问：为什么开了加密 DNS 后酒店 WiFi 连不上？答：登录页靠劫持 DNS 把你导向认证页，严格模式拒绝了这个劫持，临时改回自动即可；
• 问：国内能用境外的 DoH 服务吗？答：直连时常不可达或很慢，不开 VPN 就用国内服务商，开着全局模式再用境外服务商；
• 问：DNSSEC 和 DoH 有什么区别？答：DNSSEC 验证答案是否被伪造但不加密，DoH 加密查询但不验证真伪，两者互补而不是替代。

让解析这一层各归其位：长期做法

DNS over HTTPS 是什么、DoH 与 DoT 怎么设置、开了之后为什么网页打不开或者分流失效，这些问题拆开看只有一条主线：系统里同时有多个角色想接管解析，浏览器、操作系统、VPN 客户端各自都有一套。长期做法是让它们各归其位——不开 VPN 时由系统或浏览器用一家国内的加密 DNS，防篡改、解析快；开着 VPN 时把解析交给隧道，智能分流下关掉浏览器 DoH，安卓私人 DNS 保持自动。

还有一个习惯值得建立：每次换了 DNS 设置都去检测页看一眼实际生效的解析器，而不是只看开关是否打开。刺猬VPN 采用 HTTPS+AES 加密传输，支持自定义用户名和密码匿名注册，不需要邮箱和手机号；免费节点永久免费、不限流量、注册即用，连接期间 DNS 查询随全部流量一起进入隧道，时长套餐按周月年计费、期间不限流量不限速，会员节点覆盖 20 多个国家，客户端提供全局与智能分流两种连接模式，一个账号支持多设备同时在线。各浏览器与系统的加密 DNS 实现会随版本变化，以官方最新说明为准，实际可用性取决于当前网络环境。