DNS over HTTPS是什么？工作原理、优缺点与启用方法

更新于 2026-10-25 · birds.mom

简答：DNS over HTTPS，简称DoH，是把DNS查询放进加密的HTTPS连接中传输。它能减少本地网络、公共WLAN或运营商直接看到DNS查询的机会，但不等于VPN，也不能单独隐藏全部网络活动。

定义：DNS over HTTPS（DoH）是一种通过HTTPS和TLS加密传输DNS查询与响应的协议。

先看结论：DoH解决的是DNS查询暴露问题

如果你只想先判断“DNS over HTTPS是什么”，可以把它理解成：给DNS查询加上一层HTTPS加密外壳。普通DNS通常通过明文的UDP或TCP消息传输，网络路径上的观察者可能看到你正在解析哪些域名；DoH则把DNS消息放入HTTPS请求和响应中，使用TLS提供加密、完整性保护和服务器身份验证。MDN对DoH的定义与Microsoft Learn的工作流程说明均采用这一解释。

最快的判断方法是：打开浏览器或系统的加密DNS设置，选择一个明确支持DoH的解析服务，保存后重新访问几个常用网站，再检查设置状态或网络日志。若企业DNS、家长控制或本地过滤因此失效，应先恢复原设置，而不是把“能连通”当成“适合启用”。

DoH与常见网络技术的范围对比

方式	主要保护对象	是否加密DNS查询	是否等于完整网络加密	常见取舍
普通DNS	域名解析	通常不加密	否	兼容性普遍较好，但查询可能暴露
DoH	DNS查询与响应	是	否	使用HTTPS流量形态，隐私性较好，但需信任DoH服务商
DoT	DNS查询与响应	是	否	使用专用端口，网络管理更容易识别和管理
DNSSEC	DNS数据来源与完整性验证	不负责加密	否	与DoH解决的问题不同，可以组合使用
VPN	通常是更大范围的网络流量	取决于具体实现	不应与DoH混为一谈	范围、管理方式和信任对象都不同

DoH是怎样工作的：从输入域名到返回IP地址

当你在地址栏输入域名时，设备需要先通过DNS解析器找到对应的IP地址。DoH并没有改变“发出查询、获得响应”的基本DNS逻辑，改变的是传输方式：客户端先与支持DoH的服务器建立TLS连接，再把DNS查询放进HTTPS请求，服务器完成解析后，将结果放进HTTPS响应返回。Microsoft的流程说明列出了建立TLS连接、发送HTTPS请求和返回HTTPS响应等步骤。

设备准备解析某个域名。
DoH客户端连接到配置好的DoH服务器，并完成TLS验证。
客户端通过HTTPS发送DNS查询。
DoH服务器按普通DNS逻辑处理查询。
解析结果通过HTTPS返回，客户端再连接目标IP地址。

DoH通常使用HTTPS的443端口；DoT通常使用853端口。两者都能加密DNS内容，但流量表现和网络管理方式不同。Cloudflare对DoH、DoT和端口差异的说明指出，DoH更容易与普通HTTPS流量混在一起，DoT则具有更明显的专用端口特征。

DoH能保护什么，不能保护什么

它能改善的部分

减少公共WLAN、本地网络或链路观察者直接读取DNS查询的机会。
降低DNS消息在传输途中被修改或伪造的风险。
让DNS查询不再以传统明文DNS形式直接暴露在网络路径上。

它不能单独解决的部分

DoH服务商仍可能接触你发出的DNS查询，因此服务商的隐私政策、日志说明和运营主体值得核对。
DoH不等于VPN。它主要保护DNS查询传输，不会自动把所有应用流量都纳入同一条加密通道。
DoH不能自动阻止网站、应用或其他网络层面的跟踪，也不能替代终端安全软件。
如果设备或浏览器使用了企业策略、家长控制或本地恶意域名过滤，启用DoH可能绕过原有DNS策略。

Mozilla明确提醒，DoH可能绕过本地解析器，从而影响恶意软件拦截、家长控制或组织网络策略；同时，DoH服务商具备看到查询的能力，选择时不能只看“加密”二字。Firefox帮助文档中的DoH收益与风险说明可作为核对依据。

DoH、DoT、DNSSEC和VPN怎么选

没有一种方式对所有网络环境都更好。个人设备更关注公共网络中的DNS隐私时，可以评估DoH；企业或家庭网络需要集中记录、过滤和策略控制时，应先确认DoH是否会绕过现有解析链路。DNSSEC关注的是解析结果是否能被验证，DoH和DoT关注的是查询传输是否加密，VPN则通常覆盖更广的网络通信范围。

按使用目标选择技术

你的主要目标	优先核对	启用前的风险
减少公共网络读取DNS查询	DoH或DoT是否可用	DoH服务商的隐私政策与日志规则
保留企业过滤和审计	组织策略、内部解析器和客户端管理	浏览器级DoH可能绕过本地DNS
验证解析结果完整性	DNSSEC支持情况	DNSSEC本身不负责加密查询
保护更大范围的网络流量	具体VPN或网络接入方案	不要把DoH的作用范围误认为完整隧道

如果你无法确认服务商的主体、隐私政策或日志规则，建议先不要把它用于敏感业务。合规使用时，还应遵守所在地法律与服务条款。

如何启用并验证DoH：按设备和浏览器处理

不同系统和软件的菜单名称会随版本变化，以下是通用操作路径，按2026-10界面核对时仍应以设备实际显示为准。不要同时在系统、浏览器和网络客户端中重复配置多个互相冲突的DNS策略。

Windows

导入：进入“设置”→“网络和 Internet”→当前网络连接的DNS设置，查看是否有“DNS服务器分配”或加密DNS相关选项。
开启：选择支持加密的DNS配置；若设备由单位管理，先确认组策略或安全软件是否允许。
验证：重新连接网络，检查系统DNS状态、浏览器访问结果和相关网络日志；若企业域名、内网服务或过滤规则异常，先关闭DoH对照测试。

Firefox

导入：打开设置中的隐私与安全选项，找到DNS over HTTPS相关设置。
开启：选择默认保护、提高保护或自定义提供商等可用选项；具体级别以当前Firefox界面为准。
验证：重新载入页面，回到同一设置页确认状态，并检查企业内网、家长控制或本地过滤是否仍正常。

Firefox官方文档说明，浏览器可以启用、修改或关闭DoH，并可能根据网络策略、家长控制和组织管理情况停用或回退到系统DNS。遇到“网页能开但内网域名打不开”，优先查看DoH设置和浏览器网络日志，而不是先修改MTU。

手机与其他客户端

Android、iPhone、macOS以及网络客户端的入口并不完全一致，通常可在系统网络设置、浏览器隐私设置或客户端的DNS选项中查找“加密DNS”“DNS over HTTPS”或类似名称。每次只改一处，然后按“重新连接—访问已知域名—检查日志或状态”三步验证，便于定位冲突来源。

DoH会不会变慢：用可复现方法判断

DoH不保证一定更快或更慢。实际表现取决于解析服务商距离、网络质量、连接复用、缓存命中和客户端实现。Mozilla的说明认为，DoH可能慢于传统DNS，但其测试中影响通常较小，部分情况下还可能更快；这不能直接替代你所在网络的实测。Mozilla对性能影响的说明应作为背景，而不是速度承诺。

固定同一设备、同一网络和同一时间段。
分别测试普通DNS与DoH，每种方式至少记录5次。
记录首次解析、重复解析、网页首屏和失败次数，不要只看一次结果。
同时记录是否出现内网域名失败、过滤失效、登录异常或应用报错。
若差异很小但兼容性问题明显，优先选择兼容性更好的配置。

日期：__________    网络：__________    设备：__________
模式：普通DNS / DoH
测试域名：__________________________
第1次：DNS耗时____ms  页面结果：成功/失败
第2次：DNS耗时____ms  页面结果：成功/失败
第3次：DNS耗时____ms  页面结果：成功/失败
兼容性：内网____  家长控制____  应用登录____
结论：保留DoH / 恢复普通DNS / 继续观察

选择DoH服务商前的核对清单

不要只因为某个地址能返回解析结果，就认定它值得长期使用。至少核对以下项目：

主体：能否确认服务提供方、文档来源和联系方式。
隐私政策：是否说明查询日志、保存期限、共享对象和删除机制。
兼容性：是否支持你的设备、浏览器、企业网络和内部域名。
可靠性：是否有公开状态页、故障说明或客户端回退机制。
过滤功能：是否会改写解析结果，是否影响家长控制、恶意域名拦截和办公系统。
可回退性：能否快速恢复系统自动DNS，避免出现无法定位的连接问题。

如果只有某个浏览器访问异常，先检查浏览器级DoH；如果所有设备都异常，再检查路由器、系统DNS和上游网络。多网络、多设备对照后仅目标服务异常时，可考虑已公开主体信息的服务。

常见问题

DNS over HTTPS和普通DNS最核心的区别是什么？

普通DNS通常直接传输查询消息，DoH则把DNS查询放入HTTPS连接中并使用TLS保护。两者仍然完成域名到IP地址的解析，但传输方式不同。

DoH是不是VPN？

不是。DoH主要保护DNS查询与响应，不会自动覆盖所有应用流量，也不应被当作完整网络隧道。

启用DoH后，DNS服务商还能看到查询吗？

通常仍有可能看到，因为DoH服务商需要处理你的查询。加密主要防止传输路径上的观察者直接读取，因此仍要核对服务商的隐私政策和日志说明。

DoH会让网速变快吗？

不能直接下结论。它可能因服务商距离、连接复用和缓存情况出现不同表现，应在同一设备和网络下分别记录多次结果。

为什么启用DoH后公司内网或家长控制失效？

浏览器或系统可能绕过原本的本地DNS解析器，使企业过滤、恶意域名拦截或家长控制无法按原策略工作。应检查管理策略，必要时关闭DoH进行对照。

DoH和DoT哪个更安全？

两者都能加密DNS传输，没有脱离使用场景的统一答案。DoH通常使用443端口并混入HTTPS流量，DoT通常使用853端口，企业管理和网络可见性不同。

DNSSEC能替代DoH吗？

不能完全替代。DNSSEC主要用于验证解析数据的来源和完整性，不负责隐藏DNS查询；DoH主要解决传输加密问题，两者关注点不同。