如何在火狐浏览器中配置DNS over HTTPS以防止网络DNS劫持？

火狐浏览器配置DNS over HTTPS（DoH）防DNS劫持需三步：一、在about:preferences#privacy中启用并选“增强保护”，自定义填入https://dns.alidns.com/dns-query；二、通过about:config设network.trr.mode=2、network.trr.uri为该地址、network.trr.bootstrapAddress=223.5.5.5；三、访问about:networking#dns确认TRR状态为active且Protocol显示HTTPS。

要在火狐浏览器中配置DNS over HTTPS（DoH）以防止网络DNS劫持，必须绕过运营商或局域网设备对明文DNS查询（UDP 53端口）的篡改与重定向，将所有域名解析请求强制走加密HTTPS通道，确保返回的IP地址真实可信，不被中间节点替换或污染。

通过隐私与安全设置启用增强保护模式

该方式适用于绝大多数桌面版用户，利用火狐内置的策略回退机制，在阿里云、Cloudflare等DoH服务不可达时自动切回系统DNS，兼顾稳定性与抗劫持能力。

1、在地址栏输入 about:preferences#privacy 并按回车，进入隐私与安全设置页。

2、向下滚动至“基于 HTTPS 的 DNS”区域，勾选“启用 DNS over HTTPS”复选框。

3、在“保护级别”下拉菜单中选择【增强保护】——此模式会始终优先使用你指定的DoH服务商，仅在其完全失效时才降级到本地DNS，有效规避静默劫持。

4、点击“使用以下提供程序”旁的“自定义”按钮，在弹出框中粘贴阿里云DoH地址：https://dns.alidns.com/dns-query。

5、点击“保存更改”，等待状态显示“成功”后关闭页面。此时新标签页发起的DNS查询已默认加密传输。

通过about:config强制锁定DoH端点

当图形界面设置未生效、或遇到企业网络策略屏蔽了DoH自动协商逻辑时，必须直接修改底层参数，确保浏览器跳过所有试探性连接，直连指定加密DNS。

方法一：基础强制配置

1、地址栏输入 about:config → 回车 → 点击“我接受风险并继续”。

2、搜索 network.trr.mode，双击将其值改为 2（表示严格优先使用DoH，失败才回退）。

3、搜索 network.trr.uri，双击编辑，填入：https://dns.alidns.com/dns-query。

方法二：补全引导地址防启动失败

1、继续搜索 network.trr.bootstrapAddress，双击设为 223.5.5.5——这是阿里云DNS的已知IPv4地址，【缺少这一步可能导致首次启动时因无法解析DoH域名而降级为明文DNS】。

2、关闭 about:config 标签页，重启火狐浏览器使全部参数立即加载。

验证DoH是否真实生效

配置完成后必须验证，因为部分网络环境会通过拦截443端口或伪造证书等方式干扰DoH连接，导致看似启用实则降级。

1、新开标签页，访问 about:networking#dns。

2、查看 TRR Status 行，确认状态为 active；若显示 disabled 或 failed，说明配置未触发或被系统策略覆盖。

3、滚动至下方 DNS Queries 表格，观察 Recent Queries 列表中的 Protocol 字段——出现大量 HTTPS 条目即表示加密解析正在运行；若仍为 UDP，需检查防火墙、代理或杀毒软件是否拦截了HTTPS DNS请求。