DoH 和 DoT 只保护 DNS 这一步
DoH 把 DNS 查询放进 HTTPS，DoT 则使用专门的 TLS 连接。两者都可以减少本地网络直接看到明文 DNS 查询的机会，但它们不会自动把所有网页、应用流量都变成 VPN 隧道。
为什么浏览器和系统设置可能不一致
有些浏览器自带 DoH，可以覆盖系统的普通 DNS；企业网络也可能通过策略指定解析方式。排查时要分别看浏览器、操作系统和路由器，而不是只改一处。
什么时候适合开启
公共网络、希望减少本地 DNS 明文暴露时很实用。公司网络、家长控制或依赖内部域名的环境，则应先确认管理员要求，避免绕过必要的内部解析。
怎样确认加密 DNS 是否真正启用
- 先确定要在浏览器还是整个操作系统中启用。仅启用浏览器 DoH，不代表所有应用的 DNS 都经过加密。
- 选择支持加密 DNS 的解析器，按浏览器或系统官方设置步骤启用。
- 打开解析器提供的连接诊断页，或结合网络抓包验证实际使用的解析通道。普通 IP 查询页面不能单独证明 DoH 已生效。
- 如果内网域名突然不能解析，先检查企业 DNS 策略与分流设置，不要盲目关闭系统安全功能。
加密 DNS、VPN、HTTPS 的边界
DoH 和 DoT 主要保护域名解析请求在传输中的机密性；它们并不隐藏所有连接目的地，也不替你加密其他应用数据。网站内容的传输安全还依赖 HTTPS，网络出口的变化则是另一个问题。
怀疑解析请求走错了服务商？可以参考DNS 泄漏测试与解读。如果在挑选解析器，先看稳定性和隐私取舍。
DNS 加密设置后如何排查网页打不开
如果开启 DoH 后只有公司内部域名或某些家庭设备名称不能解析，先在允许的范围内暂时恢复系统默认 DNS 测试：恢复后正常，说明问题可能与浏览器 DoH 绕过本地解析有关。不要据此推断加密 DNS 本身有故障；企业网络通常有自己的解析策略。
还可以参考 DNS 查询路径对照，但注意 DNS 泄漏测试出现某个解析器，并不足以单独证明 DNS 请求是否经过 TLS 加密。