- 傳統 DNS 以明文形式發送請求，將您造訪的網域名稱暴露給您的電信業者和第三方。
- DNS over HTTPS (DoH) 會對 HTTPS 內的 DNS 查詢進行加密，讓窺視和操縱流量變得更加困難。
- Windows 11 可讓您使用 Cloudflare、Google 或 Quad9 等相容伺服器，從網路設定中輕鬆啟用 DoH。
- Windows Server 2022 也支援 DoH，在企業環境中可以透過 PowerShell 和群組原則來管理其使用。
如果您越來越擔心他人能看到您的線上活動，Windows 11 提供了一個強大的設置，雖然幾乎沒人使用，但卻能顯著提升您的隱私保護：使用 DNS over HTTPS (DoH) 進行 DNS 加密。只需進行一些簡單的設定更改，您的 DNS 請求將不再以明文形式傳輸，而是透過安全連線進行保護。
在 Windows 11 中啟用 DoH 無需安裝任何特殊程序，也無需成為網路專家；您只需幾分鐘即可透過系統設定完成配置。啟用 DoH 後，您的網路服務供應商、公共網路管理員甚至潛在攻擊者將更難監視您造訪的網站、記錄您的瀏覽習慣或篡改您的連線。接下來，我們將詳細介紹 DoH 的概念、其價值所在、活化步驟以及 Windows 生態系統中提供的進階選項。
什麼是DNS？為什麼它對你的隱私影響如此之大？
當你在瀏覽器中輸入像 adslzone.com 或任何其他網站位址時，你的電腦並不會直接使用該文字進行連線。網路實際識別的是數位 IP 位址，因此在載入網站之前，它必須先查詢 DNS 伺服器以確定該網域託管在哪裡。
DNS 的工作原理就像一本網路電話簿：你輸入一個名稱，它會回傳對應的號碼（IP 位址）。問題在於，在預設配置下，這種查詢是以明文形式傳輸的，未加密。這意味著，你電腦和網路之間的任何裝置——無論是你的網路服務供應商、公共 Wi-Fi 熱點、被入侵的路由器，還是同一網路上的攻擊者——都可以看到你正在解析的位址。
此外，許多服務提供者會利用這種情況，產生您存取所有網站的詳細歷史記錄。這些資訊極為敏感，因為它能讓他們對您進行用戶畫像：您使用哪些服務、您的興趣愛好、您的日程安排等等。這些數據可能被用於廣告宣傳、出售給第三方，或在最糟糕的情況下，落入惡意行為者手中。
值得注意的是，如果沒有加密，某些實體可以在 DNS 層封鎖網站、將網域重新導向到廣告網站，甚至操縱回應以發動攻擊。所有這些都是利用了傳統 DNS 流量以明文形式傳輸且完整性無法保證這一特性。
什麼是基於HTTPS的DNS（DoH）？它有哪些優勢？
DNS over HTTPS（簡稱 DoH）是將傳統 DNS 請求封裝在加密的 HTTPS 連線中的系統。它與您造訪瀏覽器中帶有掛鎖圖示的安全網站時使用的加密類型相同，只是應用於您的電腦用於解析網域的通道。
啟用 DoH 後，DNS 查詢將不再輕易被任何人看到。他們只能看到發送到 DNS 提供者伺服器的加密 HTTPS 流量。他們既無法讀取正在查詢的域名，也無法在不破壞連接安全性的情況下修改回應。
在 Windows 11 中啟用 DNS over HTTPS 的主要優勢有以下幾點：首先，您的網路服務供應商將無法輕易查看或記錄您的完整網域歷史記錄；其次，它大大增加了第三方攔截或篡改請求的難度。此外，在某些情況下，它還可以幫助您繞過某些服務提供者實施的基本 DNS 層封鎖。
值得注意的是，加密會為每個請求增加一個小小的額外步驟，但實際上，效能損失通常微乎其微，大多數用戶甚至感覺不到。作為回報，隱私和安全性的提升卻非常顯著，因此整體而言，啟用加密的益處是顯而易見的。
如何在 Windows 11 中逐步啟用 DNS over HTTPS (DoH)
Windows 11 內建了對 DNS over HTTPS 的支持，因此無需外部程式。整個過程分為兩部分：手動設定 DoH 相容的 DNS 伺服器，然後選擇要用於這些伺服器的加密類型。
1. 存取 Windows 11 網路設置
第一步是開啟系統設定應用程式。最快捷的方法是同時按下Windows 鍵 + I。您也可以從「開始」功能表打開，但如果您需要多次使用，快捷鍵會更方便。
在「設定」中，前往「網路和 Internet」部分。在那裡，您會看到 Wi-Fi 和乙太網路（有線）連接的選項。選擇您目前使用的連接方式：如果您正在使用 Wi-Fi 瀏覽網頁，請點選「Wi-Fi」；如果您正在使用有線連接，請點選「乙太網路」。
進入相關部分後，找到您目前使用的網路連接，然後點擊「硬體屬性」或顯示網路詳細資料的條目。在這裡，您可以修改該特定介面的 IP 和 DNS 設定。
2. 將 DNS 分配方式變更為手動
在連線屬性中，您會看到一個名為「DNS 伺服器指派」的部分。它通常設定為“自動 (DHCP)”，這意味著您的路由器或網際網路服務供應商會決定您使用哪個 DNS 伺服器以及如何處理這些請求。
點擊該部分的「編輯」按鈕。此時會彈出一個窗口，您需要在設定下拉式選單中選擇“手動”選項。此變更可讓您指定要使用的 DNS 伺服器，而不是接受網路指派的伺服器。
在手動設定中，啟用IPv4開關；如果您的網路支持，也請啟用IPv6開關。大多數家庭網路連線都能完美地使用 IPv4，但 IPv6 越來越普及，因此建議在可用時啟用它，以便也可以使用該協定進行查詢。
3. 選擇與DoH相容的DNS伺服器
啟用手動模式後，您會看到用於輸入 DNS 伺服器 IP 位址的欄位。您需要在此輸入正式支援 DNS over HTTPS 的服務提供者的詳細信息，因為 Windows 11 內建了已知的 DoH 伺服器列表。
以下是一些最常用的加密方式，它們已經包含在 Windows 內部的自動加密配置清單中：
- 的CloudFlare首選 DNS 伺服器位址為 1.1.1.1，備用 DNS 伺服器位址為 1.0.0.1。它們的 IPv6 位址分別為 2606:4700:4700::1111 和 2606:4700:4700::1001。
- 谷歌公共DNS首選伺服器為 8.8.8.8，備用伺服器為 8.8.4.4。在 IPv6 中，它們使用 2001:4860:4860::8888 和 2001:4860:4860::8844。
- Quad99.9.9.9 是首選位址，149.112.112.112 是備用位址。在 IPv6 中，他們還有 2620:fe::fe 和 2620:fe::fe:9 等位址。
例如，在IPv4 的「首選 DNS」和「備用 DNS」欄位中輸入 Google 或 Cloudflare 的位址。如果您也啟用了 IPv6，請在對應的欄位中填寫您選擇的 IPv6 提供者的位址。這樣，Windows 11 就能辨識出這些伺服器支援 DoH，並提供您各種加密選項。
4. 在 Windows 11 中設定 DNS 加密 (DoH)
在每個協定的 DNS 位址下方，您會找到一個或多個與加密相關的選項，具體數量取決於您的 Windows 11 版本和您配置的伺服器類型。您可以在這裡啟用 DNS over HTTPS，並配置您的電腦如何處理這些查詢。
在許多配置中，Windows 會顯示「DNS 加密」或「DNS over HTTPS」選單，用於設定首選和備用 DNS 伺服器。您可能會在這裡找到以下選項：
- 僅加密（基於 HTTPS 的 DNS）客戶端始終會嘗試使用 DoH 協定與該伺服器通訊。如果伺服器或安全連線發生故障，則不會執行明文查詢。
- 建議使用加密，不允許使用加密。 （或類似文字）：首先嘗試使用 DoH，如果 DoH 不可用，則還原不使用加密的經典查詢。
- 僅限未加密：停用該特定伺服器的 DoH，僅使用傳統的明文 DNS。
如果您將隱私放在首位並希望做到萬無一失，請為首選伺服器和備用伺服器都選擇「僅加密（DNS over HTTPS）」。這樣，所有發送到這些伺服器的 DNS 流量都將始終透過 HTTPS 傳輸，而不會以明文形式傳輸。
在某些介面文字中，您可能還會看到「已啟用（自動範本） 」選項。這表示 Windows 11 已將該伺服器識別為其已知 DoH 解析器清單的一部分，並自動使用對應的 HTTPS 範本傳送加密請求，而無需您手動指定。
5. 使用衛生部手動模板，並指定供應商
對於某些伺服器，或者如果您需要更精細的控制，您可以使用基於 HTTPS 的手動 DNS 範本。這樣，您可以直接指定服務提供者用於其 DoH 服務的 URL。
例如，在某些進階 Quad9 配置中，您可以指定一個包含 ECS（EDNS 客戶端子網）等選項的特定模板，以便從您最近的資料中心處理解析。在該範本欄位中，您可以輸入類似服務提供者文件中列出的 DoH 端點 URL 的內容。
如果您選擇手動範本選項，請務必完全按照 DNS 服務官方文件中提供的地址進行複製。任何拼字錯誤都可能導致加密失敗，甚至完全阻止網域解析。
如何檢查 DNS over HTTPS 是否正常運作
儲存連線設定變更後，DNS 請求通常應該會被加密。即便如此，最好還是做一些檢查，確保所有設定都已正確應用，並且您沒有在不知不覺中仍然以明文形式瀏覽網頁。
從 Windows 設定中進行驗證
傳回「設定」>「網路和 Internet」>「Wi-Fi」或「乙太網路」（取決於您正在使用哪種連線方式），再次存取連線的硬體屬性。向下捲動到顯示您剛剛配置的 DNS 伺服器位址的部分。
如果一切正常，您應該在每個 DNS 伺服器 IP 位址旁邊看到類似「（已加密）」或類似文字的標籤。此標籤是確認 Windows 已識別該伺服器符合 DoH 標準並正在加密查詢的最快捷方式。
使用 PowerShell 檢查 DoH
另一個非常可靠的檢查 DNS over HTTPS 狀態的方法是使用PowerShell，也就是 Windows 的高階控制台。為此，請開啟“開始”選單，搜尋“PowerShell ”，右鍵單擊，然後選擇“以管理員身份執行”以取得必要的權限。
在開啟的視窗中，輸入以下命令並按Enter 鍵：
Get-DnsClientDohServerAddress
此命令的輸出將顯示Windows DNS 用戶端已知的 DoH 伺服器列表，包括您已設定的伺服器。您將看到它們的 IP 位址和狀態指示器。如果已設定的 DNS 伺服器顯示“已啟用”，則表示您的電腦正在使用 DoH 連線這些伺服器。
使用線上測試來確認加密情況
作為額外的檢查手段，您可以使用一些 DNS 提供者提供的測試頁面。例如，Cloudflare 提供線上工具，可以幫助您查看瀏覽器使用的是基於 HTTPS 的 DNS 還是基於 TLS 的 DNS。只需使用您常用的瀏覽器存取這些頁面之一，然後按照說明操作即可。
雖然這些測試專注於瀏覽器，但它們可以很好地補充您在 Windows 設定和 PowerShell 中看到的內容，確認查詢已從您的系統中加密發出。
Windows Server 2022 中的 DNS over HTTPS 與群組原則
除了 Windows 11 之外，微軟也從 Windows Server 2022 版本開始，在 Windows Server中加入了對 DNS over HTTPS 的支援。在這些系統中，DNS 用戶端可以使用 HTTPS 與其已知 DoH 解析器清單中的伺服器建立加密連接，類似於在桌面環境中的工作方式。
在具有桌面體驗的 Windows Server 中，基本配置是在「設定」>「網路和 Internet」>「乙太網路」面板中完成的。選擇要配置的網路接口，進入其網路螢幕，向下捲動到“DNS 設定”，然後按一下“編輯”將模式從自動變更為手動，就像在 Windows 11 中一樣。
接下來，您可以輸入已知 DoH 伺服器清單中的 DNS 伺服器。如果清單中包含這些伺服器，「首選 DNS 加密」下拉式選單將會啟用，您可以從中選擇幾種不同的加密方式：
- 僅加密（DNS over HTTPS）所有 DNS 查詢均嘗試使用 DoH。如果伺服器不支援 DoH 或 HTTPS 連線失敗，解析也會失敗。
- 支援首選和未加密的密碼套件。DoH 是優先使用的，但如果由於某種原因無法使用 DoH，則會回退到未加密的明文 DNS 查詢。
- 僅限未加密該伺服器已停用 DoH，僅使用傳統 DNS。
當您使用 PowerShell 和 cmdlet 設定 Windows Server DNS 位址時 Set-DnsClientServerAddress衛生部的行為取決於這些地址是否有效。 它們是否出現在已知 DoH 伺服器的內部表中，取決於具體情況。目前，該特定衛生部配置仍無法進行調整。 Windows管理中心 也沒有使用類似這樣的工具 sconfig.cmd 在 Server 2022 上。
使用群組原則配置 DoH
Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS
啟用此原則後，您可以選擇 DNS 用戶端的三種主要行為：
- 允許 DoH當設定的 DNS 伺服器支援時，將使用基於 HTTPS 的 DNS 查詢。如果不支持，則將使用未加密的查詢。
- 班多：阻止使用基於 HTTPS 的 DNS，始終強制使用傳統的明文 DNS。
- 需要 DoH：強制所有查詢都使用 DoH；如果伺服器不接受，名稱解析將失敗。
對於已加入網域的計算機，謹慎使用「要求 DoH」選項至關重要，因為 Active Directory 服務嚴重依賴傳統 DNS，而 Windows DNS 伺服器角色本身並不支援 DoH 查詢。在這些類型的網路中，如果想要保護內部 DNS 流量，通常最好使用基於IPsec 的連線安全規則等解決方案來加密用戶端和伺服器之間的流量。
Windows 系統上已知的 DoH 伺服器列表
Windows 11 和 Windows Server 都內建了支援 DoH 的 DNS 伺服器清單。此清單允許系統自動為這些特定伺服器啟用加密選項和自動模板。
若要查看清單包含哪些伺服器，可以使用 cmdlet Get-DnsClientDohServerAddress 在 PowerShell 中。最常見的供應商包括 Cloudflare、Google 和 Quad9，以及它們最知名的 IPv4 和 IPv6 位址，例如前面提到的 1.1.1.1、8.8.8.8 或 9.9.9.9 及其替代方案。
如果您想要在已知伺服器表中新增伺服器，例如您自己的解析器或來自專業第三方的解析器，可以使用下列命令。 Add-DnsClientDohServerAddress 指定伺服器 IP 位址、DoH 模板，以及是否允許在故障時回退到 UDP：
Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True
這樣，Windows 就知道伺服器支援 DoH，並且會始終嘗試安全地使用它，並且根據所選選項，盡可能避免傳回未加密的查詢。
將 NRPT（名稱解析策略表）與 DoH 結合使用
在複雜的企業網路或混合配置等進階場景中，您可以使用名稱解析原則表 (NRPT)將特定網域的查詢轉送到指定的 DNS 伺服器。如果這些伺服器支援基於網域的 DNS (DoH) 並且已註冊為 DoH，則對這些命名空間的查詢將使用基於 HTTPS 的 DNS 進行。
例如，這樣就可以始終透過啟用了 DoH 的受信任解析器來解析某些關鍵或特別敏感的域名，而其餘的 DNS 流量可以遵循不同的策略或使用不同的伺服器。
在 Windows 11 中啟用並利用 DNS over HTTPS（在適用情況下，也可在 Windows Server 2022 中啟用）是一種相當簡單的方法，可以在不大幅改變電腦使用方式的前提下，提高日常瀏覽的隱私和安全性。只需幾個配置步驟和一些額外的檢查，您的 DNS 查詢將不再是任何人都能以明文形式看到的脆弱點，而是會在加密連接中受到保護地傳輸，這更符合當今安全連接的預期。
