windows 11启用doh需先用netsh命令将阿里、腾讯等dns添加至系统白名单，再通过设置手动配置“开(手动模板)”加密选项，否则dns加密项呈灰色不可选。
为防止运营商在DNS解析环节劫持你的访问请求、篡改跳转或插入广告，必须让域名查询过程全程加密——Windows 11 原生支持 DNS over HTTPS（DoH），无需第三方软件，但配置前需确认 DNS 服务器已列入系统白名单，否则“DNS 加密”选项将灰色不可选。
确认系统是否支持并查看当前DoH白名单
右键「开始」→选择「终端（管理员）」，执行命令：
netsh dns show encryption
该命令会列出所有已注册的 DoH 模板。若输出为空或仅含 Cloudflare、Google 等境外地址，说明阿里、腾讯等国内常用 DNS 尚未注册，后续手动填写模板时会失败。
添加国内主流DoH服务商到系统白名单
方法一：添加阿里 DNS（推荐首选）
在管理员终端中逐行执行：
netsh dns add encryption server=223.5.5.5 dohtemplate=https://dns.alidns.com/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=223.6.6.6 dohtemplate=https://dns.alidns.com/dns-query autoupgrade=yes udpfallback=no
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
方法二：添加腾讯 DNSPod
执行：
netsh dns add encryption server=119.29.29.29 dohtemplate=https://doh.pub/dns-query autoupgrade=yes udpfallback=no
【注意】必须用管理员权限运行终端，否则命令静默失败且无提示；每条命令执行后无回显即为成功。
在网卡设置中启用DoH加密
第一步：打开「设置」→「网络和 Internet」→ 根据连接方式点击「WLAN」或「以太网」
第二步：WLAN 用户需先点进「硬件属性」；有线用户可直接在「属性」页找到「DNS 服务器分配」右侧的「编辑」
第三步：点击「编辑」→ 将「自动」改为「手动」→ 打开 IPv4 开关
第四步：填写 DNS 地址与加密设置：
首选 DNS：223.5.5.5
DNS over HTTPS：开(手动模板)
DNS over HTTPS 模板：https://dns.alidns.com/dns-query
备用 DNS：119.29.29.29
DNS over HTTPS：开(手动模板)
DNS over HTTPS 模板：https://doh.pub/dns-query
第五步：关闭「回退到纯文本」开关 → 点击「保存」
这一步操作起来很简单，但若之前未执行 netsh 注册命令，此处「DNS over HTTPS」下拉菜单会缺失「开(手动模板)」选项，只能看到「关」或「仅加密」且无法激活。
