常见的加密DNS查询方式
平时上网时，我们输入的网址比如“www.知用网.com”会被转换成IP地址，这个过程叫DNS解析。传统的DNS查询是明文传输的，相当于寄信不封口，别人能偷看你在访问什么网站。为了解决这个问题，加密DNS技术应运而生，让网络请求更私密、更安全。
DNS over HTTPS（DoH）
DoH 是把DNS查询请求嵌入到HTTPS流量中，和网页加密传输使用同样的机制。因为HTTPS本身是加密的，所以DNS请求也就被保护起来了。浏览器像Firefox和Chrome已经支持DoH，默认会连接像Cloudflare或Google提供的公共加密DNS服务。
举个例子，你在咖啡馆连Wi-Fi，开启DoH后，即使有人监听网络，也看不到你具体访问了哪些网站，只能看到你在和某个加密服务器通信。
配置方式通常是在系统或浏览器设置里手动开启，比如在Firefox中可以进入设置 → 网络设置 → 启用“通过HTTPS使用DNS”。
DNS over TLS（DoT）
DoT 和 DoH 类似，也是加密DNS查询，但它使用的是TLS协议，在专门的端口（通常是853）上传输。与DoH不同，DoT工作在网络层，更像是底层的加密通道，适合在路由器或操作系统层面部署。
比如你家里的智能设备多，可以在路由器上配置DoT，所有连接Wi-Fi的设备自动走加密DNS，省得一个个设置。
安卓10以上系统原生支持DoT，进入“网络与互联网”→“私人DNS”就可以填写服务器地址，像dns.google或one.one.one.one。
DNSCrypt
DNSCrypt 是较早出现的DNS加密方案，虽然现在不如DoH和DoT普及，但仍有部分用户在用。它通过自定义协议加密DNS流量，需要客户端和服务器同时支持。
一些第三方工具如Simple DNSCrypt可以让Windows用户轻松启用该功能，适合对隐私要求高又想自己掌控设置的人。
使用示例：配置DoT在安卓设备
打开手机“设置”→“网络与互联网”→“私人DNS”，输入：
one.one.one.one保存后，设备就会通过Cloudflare的加密DNS服务解析域名，不再使用运营商默认的明文DNS。
公共加密DNS服务推荐
多个机构提供免费的加密DNS服务，常见地址包括：
- Cloudflare:
1.1.1.1（支持DoH和DoT） - Google:
8.8.8.8（支持DoH/DoT） - OpenDNS: 提供家庭过滤版加密DNS
这些服务不仅能加密查询，有的还内置恶意网站拦截功能，提升上网安全性。
选择哪种加密方式，取决于你的设备支持情况和使用习惯。浏览器环境优先考虑DoH，移动设备或家庭网络可选DoT，追求高度自定义也可以尝试DNSCrypt。