windows 10中通过设置启用加密dns（doh）需满足build 19628+且安装最新累积更新，路径为“设置→网络和internet→wlan/以太网→已连接网络→ip设置→编辑→手动→开启ipv4/ipv6→dns设置→手动输入支持doh的dns地址（如1.1.1.1）→开启‘加密’开关”，未预置服务器需用netsh命令添加信任条目。
在Windows 10中通过系统设置启用加密DNS（DoH），能有效防止运营商劫持、DNS污染和域名解析过程中的隐私泄露，尤其适用于使用公共Wi-Fi或对网络隐私有明确要求的场景。
确认系统版本是否支持
加密DNS功能仅在Windows 10 build 19628及以上版本中可用，低于此版本的系统无法在“设置”界面启用DoH。打开“设置→系统→关于”，查看“版本”号和“OS内部版本”。若显示为19041、19042、19043等（即20H1/20H2版本），基本满足；若为18363（19H2）或更低，请先升级系统或改用PowerShell命令方式配置。
【必须确保已安装最新累积更新，否则即使版本达标，“编辑DNS设置”中也不会出现“加密”开关】
进入网络适配器的DNS手动配置页
打开“设置→网络和Internet→WLAN”（如使用无线）或“以太网”（如有线）→点击当前已连接的网络名称→向下滚动至“IP设置”区域→点击“编辑”→将“IP分配”改为“手动”→开启IPv4开关→填写IP地址、子网掩码、默认网关（可先保留自动获取的值，仅用于触发DNS编辑入口）→向下滚动到“DNS设置”→点击右侧“编辑”按钮。
这一步不是为了设静态IP，而是绕过系统限制，强制唤出可编辑DNS的完整界面——若直接从“自动(DHCP)”进入DNS设置，将无法看到“加密”相关选项。
启用DoH并填写加密DNS地址
在DNS设置页中，将“DNS服务器分配”设为“手动”，然后开启“IPv4”和“IPv6”开关（二者需同时开启才能激活加密选项）。
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
在“首选DNS服务器”栏输入支持DoH的地址，例如：
Cloudflare：1.1.1.1
Google：8.8.8.8
OpenDNS：208.67.222.222
此时页面下方会出现“加密”开关，将其打开。系统会自动尝试匹配该IP对应的DoH URL，例如1.1.1.1 → https://1.1.1.1/dns-query。若自动填充失败，可手动在“加密”开关旁点击“自定义”链接，填入完整URL。
注意：国内部分宽带（如四川电信、湖北联通某些节点）会拦截DoH的HTTPS请求，导致网页打不开。若启用后无法上网，立即关闭“加密”开关测试是否为DoH兼容性问题。
添加未预置的DoH服务器到信任列表
Windows默认只信任极少数DNS服务商的证书和URL，像AdGuard DNS（94.140.14.14）、DNS.WATCH（84.200.69.80）等不会被自动识别。必须通过管理员终端补录：
① 按 Win + X，选择“Windows终端（管理员）”
② 输入命令（以AdGuard为例）：
netsh dns add encryption 94.140.14.14 "https://dns.adguard.com/dns-query" no no
③ 回车执行，无报错即成功
④ 返回设置页，在DNS手动配置中输入94.140.14.14，开启加密开关即可生效
每台设备最多可添加10个自定义DoH条目，重复添加同IP会报错，无需重复执行。
