Birds – Flying beyond the wall

Windows 11安全DNS怎么设置？从系统开启DoH并完成验证

更新于 2026-11-01 · birds.mom

简答：Windows 11设置安全DNS，最短路径是：设置→网络和 Internet→当前网络→DNS 服务器分配→编辑→手动，填写DNS地址后将“DNS over HTTPS”设为“开（自动模板）”或“开（手动模板）”，保存后再用命令和浏览器测试。系统级设置影响大多数应用；Edge或Chrome里的“安全DNS”只影响对应浏览器。

定义：安全DNS通常指通过DNS over HTTPS（DoH）加密DNS查询，让域名解析请求不再以传统明文DNS方式传输；它不等同于网站本身的HTTPS，也不会自动解决所有网络延迟或丢包问题。

结论速查：先选系统级还是浏览器级设置

如果你希望 Windows 11 中的大多数应用都使用加密DNS，优先设置系统级DNS；如果只有浏览器访问存在问题，或你不想改变其他应用的解析路径，再设置浏览器级安全DNS。Microsoft说明，DoH会把DNS查询封装在HTTPS中传输，主要改善查询传输过程中的保密性、完整性和服务器身份验证，但不改变DNS查询本身的工作方式。详见Microsoft Learn 的DNS over HTTPS说明。

你的目标建议入口设置范围注意事项
让系统和多数应用使用安全DNSWindows 11网络设置系统网络接口需要分别检查IPv4与IPv6；VPN、代理或路由器可能覆盖实际解析路径
只让Edge使用安全DNSEdge→隐私、搜索和服务→安全Edge浏览器不会自动改变其他应用的DNS配置，路径以当前版本界面为准
只让Chrome使用安全DNSChrome→隐私和安全→安全Chrome浏览器Chrome的自动模式可能在异常时回退到未加密解析；自定义服务商时应先确认兼容性
公共网络中优先保证兼容性系统设置中选择自动模板并保留回退系统网络接口兼容性较好，但失败时可能回到未加密DNS
明确要求只使用加密DNS手动模板并关闭回退系统网络接口如果服务商、网络或模板不兼容，可能无法解析域名

先试这一步：打开 Windows 11 的“设置”，进入“网络和 Internet”，选择当前连接的 Wi-Fi 或以太网，在“DNS 服务器分配”旁选择“编辑”。

前置条件：设置前先记录原始配置

  • 确认系统是 Windows 11；Microsoft的支持文档明确指出，Windows 10的网络设置页面不提供同样的DNS over HTTPS选项。
  • 确认你能打开“设置→网络和 Internet”，并知道当前使用的是Wi-Fi还是以太网。
  • 如果电脑由单位管理、加入组织网络、使用家长控制、VPN或代理，先记录当前设置，不要直接关闭企业策略。
  • 建议先打开管理员命令提示符，运行ipconfig /all，记录当前网络适配器、DNS服务器、IPv4地址和IPv6状态。Microsoft的网络排障说明也建议通过该命令查看DNS服务器。
  • 不要把“安全DNS”理解为完整的隐私或安全方案。DoH只保护DNS查询传输过程；网站内容、应用连接、代理规则、终端安全和DNS服务商自身的日志政策仍需单独判断。

如果你只是想换一个普通DNS地址，不一定要开启DoH；如果你的重点是减少明文DNS查询，则应同时配置DNS服务器和DNS over HTTPS选项。

最短流程：在Windows 11中开启安全DNS

  1. 打开设置，选择网络和 Internet。
  2. 选择当前正在使用的连接：Wi-Fi选择当前无线网络，网线连接选择以太网。
  3. 找到DNS 服务器分配，点击编辑。
  4. 将设置方式从自动（DHCP）改为手动。
  5. 打开IPv4，在“首选DNS”和“备用DNS”中填写你确认过的解析服务器地址。
  6. 如果设备启用了IPv6，也打开IPv6并填写对应的IPv6 DNS地址；只填写IPv4并不代表所有应用都会只走IPv4。
  7. 在对应的DNS over HTTPS下拉菜单中选择一种模式：关闭、开（自动模板）或开（手动模板）。Microsoft支持文档对这三种模式及回退行为有明确说明，可参考Windows基本网络设置和任务。
  8. 选择保存，等待网络重新连接。

自动模板：适合先验证兼容性的普通用户。Windows尝试使用已知或可自动识别的DoH模板。

手动模板：适合你已经获得服务商提供的DoH模板，并且需要明确指定解析端点的情况。模板名称、地址格式和可用性应以服务商当前文档为准，本文不把未核实的地址当作固定配置。

回退到纯文本：打开时，如果DoH失败，DNS查询可以改用未加密方式继续解析；关闭时，DoH无法使用就不会发送这次查询。前者兼容性更好，后者更符合“只使用加密DNS”的目标，但失败时更容易表现为网页打不开。

DNS服务怎么选：速度、隐私、拦截与兼容性

Windows 11本身不会替你判断哪个DNS在你的网络中最快。没有本站实测时，不应把某个服务商写成固定最快；更稳妥的做法是先选择有明确DoH支持、与你所在网络兼容的服务，再在同一时间段、同一网络下复测解析和网页打开情况。

选择角度重点看什么设置建议
兼容性优先是否支持Windows自动模板、IPv4和IPv6，是否允许正常回退先用自动模板，遇到解析失败再恢复自动获取
隐私优先DoH支持、日志政策、服务条款和所在地规则查看服务商公开说明，不只看宣传语；必要时关闭纯文本回退
恶意域名拦截服务是否提供拦截策略，误拦截如何处理先确认是否会影响办公系统、企业域名和内部服务
速度优先本地网络到解析节点的延迟、失败率和缓存命中情况在实际办公网络中比较，不要把DNS延迟等同于网页整体速度

Microsoft公开列出的Windows已知DoH服务示例包括Cloudflare、Google和Quad9的部分IPv4与IPv6地址，但你仍应以当前系统列表和服务商公开文档为准，不要因为地址能填写就推断当前网络一定可用。相关示例可在Microsoft Learn 的DoH客户端说明中核对。

系统级安全DNS与Edge、Chrome设置有什么区别

系统级设置作用于Windows网络接口，通常会影响系统组件和未自带DNS覆盖的应用。它适合希望统一处理DNS的场景，但VPN、代理客户端、企业策略、路由器DHCP和部分应用可能改变实际查询路径。

Edge安全DNS只在Edge中生效。当前微软支持路径是：打开Edge设置，进入隐私、搜索和服务，找到安全，打开使用安全 DNS。微软说明该功能通过加密DNS查询帮助防范网络钓鱼和恶意软件，具体入口可参考Microsoft Edge安全浏览说明。

Chrome安全DNS只在Chrome中生效。Google说明，Chrome默认可使用自动模式；在自动模式解析异常时，可能改用未加密方式。如果选择自定义服务商，Chrome不会默认回退到未加密模式，但设备受管理或启用家长控制时，该功能可能不可用。设置路径是Chrome设置→隐私和安全→安全→使用安全DNS，具体以Google Chrome安全设置说明为准。

如果系统级DoH与浏览器级DoH同时开启，浏览器可能优先使用自己的解析设置。排查时不要同时修改多个层级：先只测试系统级，再关闭或记录浏览器覆盖项，避免无法判断到底是哪一层生效。

设置后怎么验证：地址、解析与故障范围三步检查

  1. 确认配置是否保存：回到当前网络的DNS编辑页面，检查IPv4、IPv6、DoH模式和回退选项是否仍保持预期值。
  2. 确认系统看到的DNS：打开命令提示符，运行ipconfig /all，查看当前适配器的DNS Servers。该命令只能帮助确认地址，不单凭它证明查询一定通过DoH。
  3. 确认解析是否正常：运行nslookup example.com或PowerShell命令Resolve-DnsName example.com。如果能返回地址，说明基本解析可用；如果超时、返回服务器失败或只有部分域名失败，再进入分层排错。
  4. 对比浏览器：分别用Edge、Chrome和其他应用访问同一域名。如果只有一个浏览器失败，优先检查该浏览器的安全DNS、扩展、代理和缓存；如果所有应用都失败，优先检查系统DNS、VPN、路由器和网络本身。
  5. 检查DoH是否被覆盖：Windows命令和普通解析结果通常不能单独证明HTTPS加密已生效。需要结合系统设置、服务商支持情况、浏览器设置以及网络抓包或管理员侧日志进行核验；没有这些证据时，应写成“已配置DoH”，不要写成“已确认所有查询均通过DoH”。

成功标准是：设置可以保存；当前适配器显示预期DNS；普通域名能够稳定解析；办公内网、打印机、企业域名等原有服务仍可访问；切换网络后没有出现大范围解析失败。

分层排错：无法保存、无法联网或速度变慢怎么办

1. 设置无法保存

  • 确认首选和备用DNS格式正确，IPv4不要混入IPv6格式，IPv6地址不要省略必要的冒号。
  • 先关闭手动设置，改回自动（DHCP）并保存，再重新进入编辑页面设置。
  • 如果设备由组织管理，策略可能限制DNS修改；不要通过删除策略或修改注册表绕过管理。

2. 设置后所有网页打不开

  • 立即把DNS服务器和DoH改回自动获取，保存后断开并重新连接网络。
  • 运行ipconfig /flushdns清除本地DNS缓存，再测试一个常见域名。
  • 如果仍失败，暂时关闭VPN、代理或浏览器自定义安全DNS，确定是否存在覆盖冲突。
  • 确认问题是DNS还是链路：如果能访问已知IP但不能解析域名，优先检查DNS；如果连IP也无法访问，继续检查Wi-Fi、网关、丢包和防火墙。

3. 只有部分域名打不开

  • 检查是否启用了恶意域名拦截或家长控制类解析策略。
  • 检查企业内网域名是否必须使用公司DNS；公共DNS可能无法解析内部区域。
  • 在同一网络用自动DNS测试。如果自动DNS正常、手动DNS失败，说明服务商兼容性或策略匹配需要进一步核验。

4. 设置后感觉变慢

  • 不要只凭网页首屏判断DNS速度，网页速度还受连接建立、CDN、丢包、MTU、服务器负载和应用代理影响。
  • 在同一地点、同一网络、相近时间段，分别测试解析成功率、解析耗时和网页打开情况。
  • 如果VPN或代理开启后才变慢，先对比关闭代理时的系统DNS路径；代理连接成功并不代表DNS路径一定按预期工作。

Microsoft的Windows网络排障建议在有效IP存在但DNS服务不可用时检查当前DNS服务器，并在必要时更换后重新测试。可参考Windows Wi-Fi连接问题排查说明。

边界与延伸：安全DNS不能替代网络排障

DoH解决的是DNS查询传输的加密问题，不等于线路加速，也不等于解决跨境办公中的高延迟、丢包、MTU不匹配或代理规则错误。若DNS已经稳定解析，但网页仍然超时，应把问题转到网络连接层：检查默认网关、路径延迟、丢包、IPv4/IPv6差异、VPN或代理覆盖范围，以及目标服务是否只允许特定网络入口。

完成Windows 11安全DNS设置后，建议保留一份变更记录：网络名称、IPv4和IPv6 DNS、DoH模式、是否允许回退、设置时间、验证域名和恢复结果。这样在公共Wi-Fi、家庭路由器、公司网络之间切换时，可以快速判断是DNS配置变化还是线路本身变化。

本文截至2026-11-01整理。Windows菜单名称、浏览器选项和服务商模板可能随系统或软件版本变化；无法在当前页面核实的地址、版本、性能和隐私承诺，不应直接当作固定结论。

常见问题

Windows 11安全DNS和普通DNS有什么区别？

普通DNS通常以传统方式发送查询；安全DNS一般指使用DoH等加密传输方式。DoH主要保护DNS查询在网络传输中的保密性和完整性，不会自动加密所有网页流量，也不会直接降低所有网络延迟。

Windows 11只设置IPv4安全DNS可以吗？

可以作为初步测试，但如果当前网络和应用启用了IPv6，部分查询可能仍使用IPv6路径。更稳妥的做法是查看ipconfig /all，再决定是否同步配置IPv6；没有可用IPv6服务时不要随意填写未核实地址。

DNS over HTTPS应该选择自动模板还是手动模板？

首次设置建议先用自动模板验证兼容性。只有在你已确认服务商提供的DoH模板、DNS地址和网络支持情况时，才使用手动模板。手动模板填写错误可能导致域名无法解析。

开启安全DNS后无法联网怎么办？

先把DNS服务器和DoH改回自动获取，保存并重新连接网络；再运行ipconfig /flushdns测试。若恢复正常，再单独测试DNS地址、DoH模式、VPN或浏览器安全DNS，不要一次修改多个层级。

Edge或Chrome里的安全DNS还需要开启吗？

不一定。系统级DoH适合统一处理多数应用；浏览器级安全DNS只影响对应浏览器。两者同时开启时，浏览器可能覆盖系统解析路径，排错时应分别记录并逐项测试。

开启安全DNS能解决网页打开慢吗？

不一定。它可能改善DNS查询隐私或某些解析异常，但网页速度还受延迟、丢包、MTU、路由、服务器和代理影响。没有实测数据时，不能把开启DoH写成固定加速方案。

相关阅读

参考资料

  1. Microsoft Support：Windows中的基本网络设置和任务
  2. Microsoft Learn：DNS Encryption using DNS over HTTPS
  3. Microsoft Learn：Secure DNS Client over HTTPS（DoH）
  4. Microsoft Support：在Microsoft Edge中安全浏览Web
  5. Google Chrome帮助：管理Chrome安全设置
  6. Microsoft Support：修复Windows中的网络连接问题