DoH 安全 DNS 是什么？浏览器为什么可能绕过系统 DNS

◎

本文属于：网络原理与诊断围绕可验证的网络原理、诊断工具和真实故障现象建立上下文。

先说结论

DoH 解决的是 DNS 查询传输方式，不等于 VPN，也不会自动改变所有网络流量。浏览器开启安全 DNS 后，解析路径可能和系统 DNS 不同。

STEP 01先定义现象把“感觉不对”变成可观察结果。

STEP 02控制变量一次只改变网络中的一个条件。

STEP 03再下结论用前后对照避免把相关性当因果。

KEY FACTS可快速提取的关键结论

DoH 解决的是 DNS 查询传输方式，不等于 VPN，也不会自动改变所有网络流量。浏览器开启安全 DNS 后，解析路径可能和系统 DNS 不同。
传统 DNS 常通过 UDP/TCP 53 端口查询，DoH 则把 DNS 请求放进 HTTPS 连接里。这样中间网络更难直接看到明文 DNS 查询，但它只改变解析请求的传输方式，不代表网页流量本身也经过同一个服务。
Chrome、Edge、Firefox 等浏览器可以启用安全 DNS。开启后，浏览器可能直接向指定 DoH 提供商发送查询，而系统里的 DNS 设置仍用于其他程序，于是同一台电脑会同时存在多条解析路径。

DoH 到底改变了什么

传统 DNS 常通过 UDP/TCP 53 端口查询，DoH 则把 DNS 请求放进 HTTPS 连接里。这样中间网络更难直接看到明文 DNS 查询，但它只改变解析请求的传输方式，不代表网页流量本身也经过同一个服务。

Chrome、Edge、Firefox 等浏览器可以启用安全 DNS。开启后，浏览器可能直接向指定 DoH 提供商发送查询，而系统里的 DNS 设置仍用于其他程序，于是同一台电脑会同时存在多条解析路径。

是否被 VPN 接管取决于隧道路由和客户端设计。DoH 本质上是 HTTPS 流量，如果浏览器的 DoH 请求被隧道路由接管，它仍会经过 VPN；如果分流规则允许直连，也可能走本地出口。

检测网站可能显示的是浏览器 DoH 的解析器，而不是系统配置的 DNS。看到 Cloudflare、Google 或其他公共解析器，不能仅凭名字判断是否泄漏，需要结合公网出口、VPN 模式和断开/连接前后的变化。

如果只有浏览器打不开，而其他应用正常，或者系统 DNS 修改后浏览器结果完全不变，可以临时关闭 DoH 做一次对照。测试完成后再按实际需求恢复。

DoH 可能改善某些 DNS 劫持或隐私问题，也可能因为解析器距离、策略或网络环境带来不同结果。它不是“开了就更快”的固定优化项。

诊断原则： 网络问题里最有价值的不是“改了什么”，而是“改之前怎样、只改这一项之后怎样”。保留对照结果，后面才有可能准确定位。

DoH 和 VPN 是一回事吗？

不是。DoH 只加密 DNS 查询，VPN 通常处理更广泛的网络流量和路由。

开了 DoH 以后系统 DNS 还有用吗？

有。其他应用可能仍使用系统 DNS，浏览器也可能在 DoH 不可用时回退，具体取决于软件设置。

回到故障总入口，把理论判断转换成设备、节点、模式和网络环境的实际对照测试。

标准参考