DoH 加密 DNS 完全指南：原理一次讲透 + 2026 年国内可用服务商实测清单

一句话结论：截至 2026 年 9 月的实测结果，国内真正能稳定直连、开箱即用的公共 DoH 服务，基本只剩 阿里公共 DNS、腾讯 DNSPod、360 安全 DNS 这三家。网上流传的 dns.qq.com、天地互连 dns.ipv6dns.com、doh.apad.pro、字节 180.184.1.1，以及几乎所有海外 DoH（Cloudflare、Google、Quad9、AdGuard 等），要么已经停服，要么在境内被阻断。本文会把它们逐条点出来，帮你少走弯路。

很多朋友第一次听说 DoH，是因为"网页被运营商插广告""明明输对了网址却跳到奇怪的页面""某些站点怎么都打不开"。这些问题的根源，常常出在域名解析这一环。读完本文，你会明白 DoH 到底解决了什么、不解决什么，以及 2026 年当下到底该填哪个地址。

目录

• 一、先搞懂：DNS 是什么，为什么它需要"加密"
• 二、DoH、DoT、DoQ 到底差在哪
• 三、本文的测试方法与可信度说明
• 四、2026 实测可用清单（推荐收藏）
• 五、已失效、已停服、不建议使用的服务（避坑清单）
• 六、全平台配置教程（Windows / 安卓 / iOS / 浏览器 / 路由器）
• 七、怎么确认 DoH 真的生效了
• 八、常见问题 FAQ
• 九、一页速查小结

一、先搞懂：DNS 是什么，为什么它需要"加密"

1.1 互联网的"电话簿"

你输入 www.example.com，计算机并不认识这串字母，它只认识 IP 地址（比如 93.184.216.34）。DNS（域名系统）就是那本"电话簿"，负责把你输入的域名翻译成机器能懂的 IP。

这个过程发生在你敲下回车之后、网页加载之前，快到你几乎感觉不到——它默认只花几十毫秒。

1.2 明文 DNS 的三大风险

问题在于：这本"电话簿"的查询，传统上是用明文、走 53 端口发出的。它就像一张没封口的明信片，路上任何一个"邮局"都能看、能改。具体带来三类麻烦：

• 被偷看（隐私泄露）：你查询了哪些域名，网络路径上的每一台设备理论上都看得到。把这些记录拼起来，就基本是完整的浏览画像。
• 被篡改（DNS 劫持）：攻击者或不良运营商不需要动你的网页，只要改一句 DNS 应答，就能把"银行官网"解析到钓鱼 IP。页面可以 1:1 仿造，普通人根本看不出。
• 被污染（返回错误结果）：某些域名被返回错误的 IP，导致网站"明明存在却打不开"，或者反复超时。

这也是为什么很多人换了公共 DNS 后，会觉得"网页不再莫名跳转了""广告少了"——不是网速变快了，而是解析这一环干净了。

1.3 DoH：把 DNS 查询装进 HTTPS 信封

DoH（DNS over HTTPS） 的思路非常朴素：不再用独立的 53 端口发明文查询，而是把 DNS 报文封装进标准的 HTTPS 请求里，通过 443 端口发出去。

打个比方：

• 传统 DNS 像举着喇叭在街上喊地址，谁路过都听得见、都能替你改；
• DoH 像把地址写进一个密封的、只有收件人能拆的信封，再混进每天海量的普通 HTTPS 流量里寄出去。

它带来的好处很直接：

• 保密：中间设备看不到你在查哪些域名；
• 完整：TLS 保证数据在传输途中不被修改；
• 易穿透：用的是 443 端口，和普通网页流量没有区别，网络设备通常懒得对它动手；
• 可验证身份：客户端可以用标准的 HTTPS 证书来确认对面是不是真的那台 DNS 服务器。

DoH 不是某个厂商的私有发明，它有正式的国际标准——IETF RFC 8484（2018 年 10 月定稿）。协议上支持 GET 和 POST 两种方式，媒体类型固定为 application/dns-message。

1.4 说清楚边界：DoH 不解决什么

这一点特别重要，很多人对它期待过高：

• DoH 只保护"你到解析服务器"这一段路。如果你把 DoH 指向一个不靠谱的服务商，那对方能看到你全部的查询记录，隐私反而更集中地暴露。
• DoH 不负责拦截恶意域名。想拦截，得选带安全过滤的上游（比如 360 安全 DNS 内置威胁情报）。
• DoH 不处理本地 hosts 文件被改、不处理电脑中毒这类问题。
• DoH 不等于"科学上网"。它的定位是防劫持、防污染、保护隐私，并不能让你访问本来就被网络策略限制的站点。这一点务必分清。

二、DoH、DoT、DoQ 到底差在哪

这三个都是"加密 DNS"，经常被混为一谈，其实只是封装的壳不同：

结论：对普通国内用户来说，DoH 通用性最好，因为 443 端口几乎不会被特意封，所以本文重点只讲 DoH。

小提醒：安卓系统里那个"私人 DNS（Private DNS）"功能，填的是主机名，它走的其实是 DoT（853 端口），不是 DoH。别把它和本文的 DoH 混在一起——这也是很多人配置失败的隐藏原因。

三、本文的测试方法与可信度说明

网上的"DoH 大全"很多是多年互相抄来抄去的，地址早就失效了还在流传。为了不给你埋坑，本文没有照抄，而是做了一轮真实实测：

• 测试时间：2026 年 9 月 29 日
• 测试对象：网上流传的主流国内外 DoH 端点

• 三重校验：

  1. 连通性：TCP 443 能否建立连接；
  2. 协议层：HTTPS 请求返回的状态码是否为 200；
  3. 内容层：返回的字节流是不是合法的 DNS 应答报文（而不是某个错误页面或跳转）；
• 附加校验：抽查 DoH 端点域名的 TLS 证书归属，确认没有被"山寨镜像站"冒充。

两点诚实说明：

• 结果会因地区、运营商、时段而不同。本文结论是基于固定测试环境得出的，建议你按第七节的方法自己再复测一次。
• 唯一 100% 稳的 DNS 不存在。任何商用 DNS 都可能抽风，所以正确姿势是"主用一个、备用一个"。

四、2026 实测可用清单（推荐收藏）

下面是本次实测全部返回 200 且响应报文合法的 DoH 端点。可以放心作为主用/备用。

4.1 阿里公共 DNS —— 通用首选

• DoH 地址：https://dns.alidns.com/dns-query
• IP 版：https://223.5.5.5/dns-query、https://223.6.6.6/dns-query
• 传统 IP：223.5.5.5、223.6.6.6；IPv6 为 2400:3200::1、2400:3200:baba::1
• 实测：三个端点均在 0.2 秒左右返回 200，TLS 证书归属为阿里巴巴，报文标准。
• 特点：全国节点密，国内各类 CDN 调度相对准，日常体验最稳。当前主推。
• 注意：免费版有单 IP 20 QPS 的限速（2024 年 9 月起），个人日常使用完全够，但不要拿它扛高并发。

4.2 腾讯 DNSPod（Public DNS）—— 游戏、视频党友好

• DoH 地址：https://doh.pub/dns-query（等价：https://dns.pub/dns-query）
• IP 版：https://1.12.12.12/dns-query、https://120.53.53.53/dns-query
• 国密版：https://sm2.doh.pub/dns-query
• 传统 IP：119.29.29.29、182.254.116.116；IPv6 为 2402:4e00::
• 实测：全部返回 200，TLS 证书归属为腾讯（深圳），报文标准。
• 特点：对腾讯系（微信、腾讯视频、王者等）线路优化好，丢包率低、抖动小。
• 注意：免费版同样有单域名 20 QPS 限制，且官方明确不承诺可用性 SLA。

4.3 360 安全 DNS —— 想防钓鱼、拦恶意域名

• DoH 地址：https://doh.360.cn/dns-query
• 传统 IP：电信/移动/铁通 101.226.4.6、218.30.118.6；联通 123.125.81.6、140.207.198.6
• 实测：返回 200，证书归属 WoTrus 签发给 doh.360.cn，报文标准。
• 特点：内置威胁情报，会主动拦截已知恶意域名（可能返回空解析）。家里有老人小孩、想顺手加一道"网络防火墙"的，可优先考虑。
• 注意：因为有拦截能力，个别正常但被误判的域名可能解析异常，遇到时可临时切回阿里或腾讯。

推荐组合（懒人版）：主用 阿里 https://dns.alidns.com/dns-query，备用 腾讯 https://doh.pub/dns-query。一稳一快，互为兜底。

五、已失效、已停服、不建议使用的服务（避坑清单）

下面这些，是网上被大量转载、但实测已经不通的地址。"过滤失效方案"正是本文的写作重点，请务必别照抄老教程。

5.1 腾讯 dns.qq.com —— 已无法正常提供 DoH

• 地址：https://dns.qq.com/dns-query
• 实测：域名能解析（指向腾讯 IP），TCP 能连上，但 TLS 阶段中断，拿不到任何 DNS 应答。
• 结论：不要使用。腾讯官方目前对外公开的 DoH 入口是 doh.pub / dns.pub 与 IP 版 1.12.12.12、120.53.53.53。

5.2 天地互连 dns.ipv6dns.com —— 域名已无法解析

• 地址：https://dns.ipv6dns.com/dns-query
• 实测：域名本身解析失败，连接无法建立。
• 结论：已不可用，请从收藏夹里删掉。

5.3 doh.apad.pro —— 非官方服务，实测被拦

• 地址：https://doh.apad.pro/dns-query
• 实测：返回 403，无法正常查询。
• 结论：这是网友自建的第三方服务，稳定性毫无保障，不建议依赖。

5.4 字节 / 火山引擎 180.184.1.1 —— 没有公开 DoH 入口

• 常被误传的地址：https://180.184.1.1/dns-query
• 实测：无法建立连接。
• 真相：字节这篇"公共 DNS（火山引擎 TrafficRoute）"只有 IPv4 明文地址【180.184.1.1（主）、180.184.2.2（备）】，DoH/DoT/DoQ 一直只停留在"规划支持"阶段，且需要在控制台完成实名认证开通才涉及相关能力。它不是一个可以随手填的公共 DoH 端点。

5.5 高校 DoH（中科大、南大等）—— 目前没有公开 DoH

• 网上常见说法：中科大提供"防污染 DNS"。
• 实测：doh.ustc.edu.cn、dns.ustc.edu.cn、dns.nju.edu.cn 等域名均无法解析，不存在可用的公开 DoH 端点。
• 真相：高校 DNS 确实有，但基本只提供明文 IP（例如中科大对电信/移动/教育网的几组 IP），不在公网开放标准 DoH 接口。请不要把高校 IP 当成 DoH 地址填。

5.6 只提供明文、根本没有 DoH 的"老牌子"

下面这些常在"DNS 大全"里出现，但只支持传统明文 DNS（53 端口），不提供公共 DoH，别把它们填进 DoH 输入框：

• 114 DNS（114.114.114.114）：老牌保底，但无公开 DoH；
• 百度 DNS（180.76.76.76）：仅明文；
• CNNIC SDNS（1.2.4.8、210.2.4.8）：仅明文；
• OneDNS（117.50.x.x）：以明文/DoT 为主，公开 DoH 不稳定。

它们作为传统 DNS 依然有用，但不是 DoH。概念别混淆。

5.7 海外 DoH —— 境内普遍不可用

特别提醒一个坑：Cloudflare 的 cloudflare-dns.com 在境内往往"能连上 TCP 443，却拿不到数据"。这正是典型的 SNI 阻断——握手刚开头就被切断了。所以"能 ping 通""端口能连上"不等于能用，这也是为什么本文坚持用"看是否返回合法 DNS 报文"来做最终判据。

5.8 Mullvad DNS —— 已宣布关停

• 以隐私著称的 Mullvad 已宣布关停其公共加密 DNS 服务，相关地址在 2026 年 11 月 2 日之后将彻底失效。
• 如果你曾手动填过它的地址，请提前迁移到本文第四节的可用清单。DNS 一旦失效，最直观的表现就是"网页频繁报错"，排查起来还很费劲。

六、全平台配置教程

通用原则：

1. 优先填域名形式的 DoH 地址（如 https://doh.pub/dns-query）；
2. 主备各配一个，别只填一个；
3. 配置完重启网络或重连 Wi-Fi 才生效。

6.1 Windows 11

系统默认只认"内置白名单"里的 DoH 服务器，所以国内地址（如阿里、腾讯）需要先用命令注册，加密选项才不会变灰。

第一步：以管理员身份打开终端，注册 DoH 服务器

netsh dns add encryption 223.5.5.5 "https://dns.alidns.com/dns-query" no no
netsh dns add encryption 119.29.29.29 "https://doh.pub/dns-query" no no
netsh dns show encryption

第二步（可选）：用 PowerShell 一步搞定

Add-DnsClientDohServerAddress -ServerAddress "223.5.5.5" -DohTemplate "https://dns.alidns.com/dns-query" -AllowFallbackToUdp $false -AutoUpgrade $true
Add-DnsClientDohServerAddress -ServerAddress "119.29.29.29" -DohTemplate "https://doh.pub/dns-query" -AllowFallbackToUdp $false -AutoUpgrade $true
Get-DnsClientDohServerAddress

第三步：图形界面启用加密

进入 设置 → 网络和 Internet → Wi-Fi（或以太网） → 硬件属性 → DNS 服务器分配 → 编辑，把"自动（DHCP）"改为"手动"，打开 IPv4 开关，首选填 223.5.5.5、备用填 119.29.29.29，然后把右侧的"首选/备用 DNS 加密"下拉框都选成"仅加密（DNS over HTTPS）"，保存即可。

如果下拉框是灰色的，说明第一步的注册没成功，或填的地址不在白名单里——回到第一步重做。

6.2 安卓（Android 9 及以上）

注意：安卓这个开关叫"私人 DNS"，走的是 DoT，填的是主机名，不要带 https:// 和 /dns-query。

进入 设置 → 网络和互联网 → 私人 DNS（部分机型在"连接 → 更多连接设置"里） → 选择"私人 DNS 提供商主机名"，填入：

doh.pub

或

dns.alidns.com

保存后状态显示为"已连接"即生效。如果你确实需要手机走纯 DoH，可借助支持 DoH 的本地 App（如各类基于 AdGuard Home / 本地代理的客户端），或改用下面第七节的自测方法确认。

6.3 iOS / macOS

两者都不直接在 Wi-Fi 设置里给 DoH 开关，需要安装一个 .mobileconfig 描述文件（由你信任的来源提供，内部写明 DoH 服务器地址），安装后在 设置 → 通用 → VPN与设备管理 里启用；macOS 则可通过描述文件或支持加密 DNS 的客户端软件来实现。核心就一句话：把 DoH 地址填成第四节的可用清单即可，地址本身是通用的。

6.4 Chrome / Edge（图形界面，最省事）

1. Chrome 进 设置 → 隐私和安全 → 安全（地址栏直接输 chrome://settings/security）；Edge 进 设置 → 隐私、搜索和服务。
2. 找到"使用安全 DNS"开关并打开。
3. 选择"自定义"，把 DoH 地址粘进去，例如 https://doh.pub/dns-query。
4. 重启浏览器。

6.5 Firefox

Firefox 底层有三个关键参数，用 about:config 配置最稳（在地址栏输入 about:config 回车，搜索对应项后双击修改）：

network.trr.mode = 2
network.trr.uri = https://doh.pub/dns-query
network.trr.bootstrapAddress = 119.29.29.29

• network.trr.mode：2 表示"优先用 DoH，失败时回退到系统 DNS"；3 表示"只用 DoH"（更激进，不推荐新手）；
• network.trr.uri：填你的 DoH 地址；
• network.trr.bootstrapAddress：填该 DoH 服务商对应的 IP（腾讯填 119.29.29.29，阿里填 223.5.5.5），用来解决"解析 DoH 域名自身"的循环依赖。

改完重启浏览器。也可以在 设置 → 隐私与安全 → 基于 HTTPS 的 DNS 里图形化开启，效果等价。

6.6 路由器（一劳永逸，全屋生效）

以 OpenWrt + AdGuard Home 为例，在 AdGuardHome.yaml 里把上游 DNS 改成 DoH：

upstream_dns:
  - https://dns.alidns.com/dns-query
  - https://doh.pub/dns-query

保存后重启 AdGuard Home 服务即可。这样家里所有设备（含电视盒子、智能家居）都自动走加密 DNS，不用一台台去改。

七、怎么确认 DoH 真的生效了？

最可靠的方法：命令行实测。 直接看某个 DoH 端点能不能返回合法应答。

curl --doh-url https://doh.pub/dns-query -s -o /dev/null -w "%{http_code}\n" https://www.example.com

返回 200 说明这条路是通的。

如果你装了 Knot 的 kdig 工具（原生支持 DoH，比 dig 更专业），可以这样测：

kdig +https @doh.pub www.example.com
kdig +https @dns.alidns.com www.example.com

想一次性把本文推荐的三个端点全测一遍，可以直接跑下面这段脚本（Windows 用户可在 Git Bash / WSL 中运行）：

for u in https://dns.alidns.com/dns-query https://doh.pub/dns-query https://doh.360.cn/dns-query
do
  code=$(curl -s -o /dev/null -w "%{http_code}" -H "accept: application/dns-message" "${u}?dns=AAABAAABAAAAAAAAA3d3dwdleGFtcGxlA2NvbQAAAQAB")
  echo "${u}  →  ${code}"
done

三个都输出 200，就代表当前网络环境下它们都能正常用。

其他辅助判断：

• 浏览器按 F12 打开开发者工具的 Network 面板，刷新页面，看有没有发往你的 DoH 端点（如 doh.pub）的 HTTPS 请求；
• 访问支持加密 DNS 检测的在线页面（如通用的 DNS 泄漏/加密检测工具），看是否显示已加密。

再次强调："能连通"不等于"能用"。要看的是"有没有返回合法的 DNS 应答"，这和本文的判据一致。

八、常见问题 FAQ

开了 DoH，上网会变慢吗？

几乎不会。DoH 首次连接多一次 TLS 握手，之后靠连接复用基本抵消了开销，非首次查询与明文 DNS 时延接近。真正的时延差异，主要来自你选的 DNS 服务商节点离你多远——所以选阿里、腾讯、360 这类国内节点密集的服务商就好。

用了 DoH，还需要改 hosts 吗？

两回事。hosts 是本地强制指定某个域名的 IP，优先级高于 DNS；DoH 优化的是查询过程。若你用 hosts 绕过解析问题，那 DoH 不会冲突，但也不会替代 hosts。不过不建议长期手工维护 hosts，IP 一变就失效，远不如用可靠的 DoH 省心。

国内 DoH 能不能让我访问本来打不开的网站？

不能。 DoH 的作用是防劫持、防污染、保护隐私，它只改变"域名怎么解析"，不改变"能不能连上"。把它当成"科学上网工具"是误解。

为什么我填了 223.5.5.5 做 DoH 却提示失败？

223.5.5.5 是 IP 形式，某些系统需要你同时知道它的 DoH 路径（https://223.5.5.5/dns-query），并且要先解决"证书校验"。浏览器里建议优先填域名形式 https://dns.alidns.com/dns-query，兼容性最好。

主用和备用 DNS 该用同一家吗？

不建议。最好用两家（例如阿里 + 腾讯），这样某一家抽风时还能兜底。同一家的主备往往一起出问题。

安卓"私人 DNS"填了 doh.pub 的 URL 为什么报错？

因为它要的是主机名，不是 URL。应填 doh.pub。而且要清楚：安卓"私人 DNS"走的是 DoT，不是 DoH。

为什么老教程里的地址我一填就报错？

大概率是地址已失效。DNS 服务商会调整、停服、换域名，而很多"DNS 大全"文章是互相抄的、多年没更新。本文第五节专门列了这类已失效地址，对照排查即可。

九、一页速查小结

• 原理一句话：DoH 就是把明文 DNS 查询装进 HTTPS 信封、走 443 端口发出去，用来防偷看、防篡改、防污染。
• 国内实测可用（2026-09）：阿里 https://dns.alidns.com/dns-query；腾讯 https://doh.pub/dns-query（IP 版 https://1.12.12.12/dns-query）；360 https://doh.360.cn/dns-query。
• 推荐组合：主用阿里、备用腾讯，互为兜底。
• 已失效/别填：dns.qq.com、dns.ipv6dns.com、doh.apad.pro、180.184.1.1、各高校 DoH、以及全部海外 DoH（Cloudflare / Google / Quad9 / AdGuard 等）；Mullvad DNS 将于 2026-11-02 后失效。
• 三个易错点：① 安卓"私人 DNS"是 DoT、填主机名；② Windows 填国内地址前要先 netsh 注册；③ "能 ping 通"不等于"能用"，要看是否返回合法 DNS 报文。
• 一条铁律：没有 100% 稳的 DNS，永远配置主备两家。

本文所列地址均经 2026 年 9 月 29 日实测核验；由于网络环境存在地区、运营商差异，实际使用前建议按第七节方法自行复测一次。

延伸阅读

• 2026 最新可用公共 DNS 大全：一份亲手实测、剔除失效地址的清单
• 远程办公离不开的 VPN，到底是什么？——原理、选型与排障一篇讲透