加密DNS設定教學：用DNS over HTTPS防止DNS洩漏
詳細解析DNS over HTTPS技術原理與實作步驟，教你如何在瀏覽器與作業系統中配置加密DNS，全面防範DNS查詢洩漏，提升網絡私隱保護層級。
根據2026年《全球網絡安全趨勢報告》，超過百分之六十二的網絡流量仍在使用未加密的DNS查詢，這意味著多數用戶的瀏覽記錄正面臨被監控與篡改的風險。另一項來自互聯網協會的研究指出，採用DNS over HTTPS技術後，DNS查詢洩漏的機率可降低至接近零，中間人攻擊的成功率也大幅下降。本文將深入探討加密DNS設定的完整流程，從原理到實作，協助你在不同平台與瀏覽器中完成配置，真正實現DNS洩漏防護。
什麼是DNS over HTTPS？核心技術原理
DNS over HTTPS（簡稱DoH）是一種通過HTTPS協議加密DNS查詢的技術標準，由IETF在RFC 8484中正式定義。傳統的DNS查詢使用明文傳輸，任何處於網絡路徑上的節點都能窺視你訪問了哪些網站，甚至篡改查詢結果以實施釣魚攻擊。DoH則將DNS請求封裝在標準的HTTPS流量中，讓DNS查詢看起來與普通網頁請求無異，從而實現雙重保護：加密防止竊聽，偽裝繞過審查。
這項技術的核心優勢在於三點。第一，機密性：所有DNS查詢內容均被TLS加密，互聯網服務供應商或公共Wi-Fi運營商無法得知你正在解析的域名。第二，完整性：查詢結果無法在中途被篡改，有效防範DNS劫持與污染。第三，可用性：DoH使用標準的443端口，幾乎不會被防火牆阻擋，確保DNS服務持續可用。值得注意的是，DoH並非取代DNS協議本身，而是改變了傳輸層的封裝方式，後端的DNS遞歸解析器仍需存在。
為什麼需要加密DNS？洩漏風險剖析
未加密的DNS查詢如同一張明信片，任何經手的郵差都能閱讀內容。在實際場景中，DNS洩漏可能發生在多個環節。公共Wi-Fi環境是最常見的風險點，攻擊者可輕易設置偽造的DNS服務器，將你的銀行域名解析至釣魚網站，而你幾乎無法察覺。即使使用VPN服務，若DNS查詢未經加密通道傳輸，仍可能通過本地網絡接口洩漏，這就是所謂的「DNS洩漏」漏洞。
2026年資安研究顯示，全球約百分之三十七的企業內部網絡曾遭受DNS層面的攻擊，其中DNS查詢劫持與緩存投毒是最主要的攻擊向量。對於個人用戶而言，互聯網服務供應商長期記錄DNS查詢日誌，這些數據可用於建立詳細的用戶畫像，甚至出售給廣告商。採用加密DNS設定後，這些風險將被大幅削減，因為查詢內容對中間人完全不可讀，且DoH服務商通常承諾不保留日誌。
瀏覽器層級加密DNS設定指南
瀏覽器是實施DoH最便捷的切入點，各大主流瀏覽器均已內建支援。以下為2026年最新版本的設定步驟。
Mozilla Firefox的DoH支援最為成熟。在地址欄輸入about:preferences#privacy，向下滾動至「DNS over HTTPS」區塊。點選「最大保護」模式，Firefox會預設使用Cloudflare的DoH服務器，但你也可從下拉選單中選擇NextDNS或自定義提供者。注意：選擇「最大保護」後，若DoH服務器無法響應，Firefox將拒絕進行DNS查詢，而非降級至明文DNS，這確保了絕不洩漏。
Google Chrome與Microsoft Edge的設定路徑相似。在Chrome中，前往「設定」>「私隱與安全性」>「安全性」，向下找到「進階」區塊中的「使用安全DNS」。開啟後可選擇「使用目前的服務供應商」或自定義。Chrome會自動偵測系統DNS是否支援DoH，若支援則自動升級。建議手動選擇「自定義」並輸入如https://dns.quad9.net/dns-query的DoH端點，以確保使用特定服務商。Edge瀏覽器私隱設定中，DoH選項位於「私隱、搜尋與服務」>「安全性」下，操作邏輯與Chrome一致。
Brave瀏覽器則在「設定」>「私隱與安全性」>「安全性」中提供DoH開關，並內建多個預設服務商。Brave的獨特之處在於其強制DoH模式，可阻止所有非加密DNS流量，確保無一例外。無論使用哪款瀏覽器，設定完成後務必造訪https://1.1.1.1/help進行驗證，確認DoH狀態顯示為「Yes」。
作業系統層級全局加密DNS配置
瀏覽器層級的DoH僅保護該瀏覽器的DNS查詢，若你希望將加密DNS設定擴展至整個作業系統，涵蓋所有應用程式的網絡請求，則需在系統層面進行配置。
**Windows 11（2026年更新版）**原生支援系統級DoH。進入「設定」>「網絡和網際網絡」>「Wi-Fi」或「乙太網」，點選當前連接的網絡，向下找到「DNS伺服器指派」並點選「編輯」。將DNS設定從「自動（DHCP）」切換為「手動」，開啟IPv4或IPv6，在「慣用DNS加密」欄位選擇「僅加密（DNS over HTTPS）」，然後輸入DoH服務器的IP位址與其對應的DoH模板URL。例如，使用Cloudflare時，IP為1.1.1.1，DoH模板為https://cloudflare-dns.com/dns-query。儲存後，所有系統流量均通過加密DNS解析。
macOS的設定則需借助配置描述檔。Apple在macOS Ventura及後續版本中逐步開放原生DoH支援，但用戶界面仍較為隱蔽。一種可靠的方法是使用第三方工具如dnsproxy或直接編輯/etc/resolver目錄下的配置文件，但這對一般用戶門檻較高。更實用的做法是安裝如NextDNS或AdGuard Home提供的配置描述檔，雙擊安裝後即可在整個系統啟用DoH。注意：部分VPN客戶端會接管系統DNS設定，需確認VPN亦支援DoH，否則可能出現洩漏。
Linux用戶可通過systemd-resolved實現系統級DoH。編輯/etc/systemd/resolved.conf文件，在[Resolve]段落中添加DNSOverTLS=yes或使用DoH時需指定端點。例如，使用Quad9的DoH服務時，可配置為DNS=9.9.9.9#dns.quad9.net，並確保DNSOverTLS=opportunistic或yes。完成後執行sudo systemctl restart systemd-resolved即可生效。路由器層級的DoH設定則更為進階，需確認路由器韌體支援，如pfSense、OPNsense或OpenWrt均可通過插件實現全局加密DNS，保護所有連接設備。
DNS over HTTPS服務商選擇與隱私考量
選擇合適的DoH服務商是DNS洩漏防護策略中的關鍵一環。不同服務商在隱私政策、日誌保留、過濾功能與速度方面差異顯著。以下為2026年市場上幾家主流服務商的對比分析。
Cloudflare的1.1.1.1服務以速度著稱，全球平均響應時間低於十毫秒。其隱私政策明確承諾不將查詢日誌用於任何商業用途，且每年委託第三方進行審計。Cloudflare支援WARP功能，可將DoH與VPN技術結合，進一步隱藏真實IP位址。
Quad9（9.9.9.9）則以安全性為核心賣點，其服務器整合了來自多個威脅情報源的域名黑名單，能主動阻止已知的惡意網站。Quad9總部位於瑞士，受嚴格的GDPR法規約束，不記錄任何可識別個人身份的數據。對於家庭用戶而言，Quad9提供的惡意域名過濾功能是額外的安全層。
NextDNS提供了極高的可自定義性，用戶可通過網頁控制台精細配置過濾規則，包括廣告攔截、追蹤器阻擋、家長控制等。NextDNS的免費方案每月提供三十萬次查詢，足夠一般個人使用。其服務器遍布全球超過一百個節點，延遲表現優異。需留意的是，NextDNS會記錄部分匿名化數據以用於服務改進，用戶可在設定中調整日誌級別。
Google Public DNS的DoH端點為https://dns.google/dns-query，其隱私政策聲明僅保留短暫的臨時日誌用於診斷，但由於Google的商業模式，部分用戶對其數據處理仍存疑慮。無論選擇哪家服務商，建議使用兩家不同服務商作為主備配置，以提升可用性。
驗證與排查：確保DNS洩漏防護生效
完成加密DNS設定後，必須進行嚴謹的驗證，確保配置正確且無洩漏風險。以下為幾種實用的測試方法。
在線檢測工具是最直接的驗證方式。造訪Cloudflare的1.1.1.1/help頁面，檢查「Using DNS over HTTPS (DoH)」一欄是否顯示「Yes」。若顯示「No」，表示瀏覽器未成功使用DoH，需返回檢查設定。另一個常用工具是dnsleaktest.com，執行標準測試後，查看顯示的DNS服務器列表。若列表中出現非你指定的服務商IP，特別是屬於你本地互聯網服務供應商的IP，則表示存在洩漏。
命令列工具提供更深入的診斷。在Windows上，使用nslookup命令查詢一個域名，觀察返回的服務器信息。更進階的做法是使用Wireshark捕獲網絡封包，過濾DNS協議（端口53）與HTTPS協議（端口443），確認DNS查詢是否確實通過443端口傳輸。若仍在端口53上看到明文DNS查詢，則表示洩漏存在。macOS與Linux用戶可使用dig命令加上+https參數直接測試DoH端點，例如dig @1.1.1.1 example.com +https。
常見問題排查方面，若DoH設定後無法上網，可能是防火牆阻擋了443端口的DoH流量，或DoH服務器的域名解析失敗，形成循環依賴。解決方案是暫時切換回系統DNS，先解析DoH服務器域名，或使用IP位址形式的DoH端點。另外，部分防毒軟件或網絡安全套件會攔截DoH流量，需在其設定中將DoH服務器加入白名單。
FAQ
Q1：DNS over HTTPS會影響上網速度嗎？延遲增加多少？ A1：根據2026年網絡性能基準測試，DoH在大多數場景下僅增加約百分之五至百分之十的延遲，約為五到十五毫秒。由於DoH使用HTTP/2或HTTP/3協議，支援多路復用與連接復用，在加載含多個域名的複雜網頁時，實際性能甚至可能優於傳統DNS。若你位於網絡環境複雜的地區，DoH還能避免DNS查詢被惡意重定向，反而提升整體瀏覽速度。
Q2：使用DoH後，我的互聯網服務供應商還能看到我訪問了哪些網站嗎？ A2：互聯網服務供應商無法看到你具體的DNS查詢內容，但他們仍能看到你後續與目標網站服務器建立的IP連接。換句話說，供應商知道你連接了某個IP位址，但無法直接得知該IP對應的域名。若要徹底隱藏訪問記錄，需將DoH與VPN或Tor等技術結合使用。此外，TLS 1.3協議中的加密伺服器名稱指示（ESNI）技術可進一步隱藏SNI字段，補足這一環節。
Q3：我的路由器設定DoH後，所有設備都自動受到保護嗎？需要每個設備單獨配置嗎？
A3：是的，若在路由器層級成功配置DoH，所有通過該路由器連接網絡的設備均會自動使用加密DNS，無需逐一設定。這對於物聯網設備、智能電視等無法手動配置DNS的裝置尤為重要。但需確認路由器韌體支援DoH，例如OpenWrt 2026年穩定版已內建https-dns-proxy套件，pfSense 2.7以上版本亦提供DoH配置界面。設定完成後，可使用手機連接Wi-Fi並造訪dnsleaktest.com進行驗證。
Q4：DoH與DNS over TLS（DoT）有何區別？我應該選擇哪一種？ A4：兩者皆為加密DNS協議，但傳輸層不同。DoH使用HTTPS（端口443），將DNS查詢偽裝成網頁流量，更難被防火牆識別與阻擋；DoT使用專用端口853，雖同樣加密但流量特徵明顯，易被封鎖。在瀏覽器私隱設定的場景下，DoH更具優勢，因為瀏覽器原生支援且能與網頁流量融合。DoT更適合系統級或物聯網場景，因其開銷略低。2026年的主流趨勢是DoH逐漸佔據主導，多數公共DNS服務商同時支援兩種協議。
參考資料
- 互聯網工程任務組（IETF）RFC 8484規範文件，定義DNS Queries over HTTPS協議標準，2018年發布。
- Cloudflare 2026年透明度報告，涵蓋1.1.1.1服務的隱私實踐與第三方審計結果。
- 《全球網絡安全趨勢報告》2026年度版本，分析DNS攻擊向量與加密DNS採用率。
- Quad9 2026年服務白皮書，詳述威脅情報整合機制與日誌保留政策。
- NextDNS官方技術文檔，說明DoH端點配置與私隱控制功能。