DNS劫持导致网页慢、跳转异常或无法访问，需五步修复：一、设置中配1.1.1.1/223.5.5.5并禁用DHCP；二、适配器属性设三级DNS并手动排序；三、管理员终端执行ipconfig /flushdns、netsh清ARP、nslookup双验；四、重置Winsock与TCP/IP后重启；五、组策略禁用QoS带宽保留及数据包计划程序。
如果您在使用 Windows 11 时发现网页打开缓慢、跳转至异常页面或部分网站完全无法访问，则很可能是系统正遭受 DNS 劫持——即本地域名请求被中间设备或 ISP 恶意篡改，返回虚假 IP 或强制重定向。此类劫持会直接破坏解析链路的完整性与响应时效性，导致浏览器长时间等待或连接错误。以下是多种可独立执行、互不依赖的全局 DNS 解析优化方法：
一、通过“设置”应用强制启用抗劫持 DNS 并禁用 DHCP 推送
该方式利用 Windows 11 原生图形界面覆盖当前活动网络的 DNS 分配策略，主动关闭由 DHCP 自动分发的不可信 DNS 地址，确保所有解析请求均路由至已知可信、低延迟且具备抗污染能力的公共服务器，适用于家庭及非域控办公环境，无需重启即可生效。
1、按下Win + I组合键,打开“设置”应用。
2、在左侧菜单中点击“网络和 Internet”,再根据实际连接类型点击“Wi-Fi”或“以太网”。
3、在右侧已连接的网络列表中,点击您正在使用的具体网络名称(例如“Home-WiFi”或“以太网 2”)。
4、向下滚动至“IP 设置”区域,点击“编辑”按钮。
5、将“IP 分配”下拉菜单从“自动 (DHCP)”更改为“手动”,并确保“IPv4”开关处于开启状态。
6、继续向下滚动至“DNS 设置”区域,点击其旁的“编辑”按钮。
7、将 DNS 配置类型由“自动 (DHCP)”切换为“手动”。
8、在“首选DNS”输入框中填入1.1.1.1,在“备用DNS”输入框中填入223.5.5.5。
9、如需启用 IPv6 解析,同步开启“IPv6”开关,并填入2001:4860:4860::8888与2400:3200::1。
10、全部填写完毕后,点击“保存”按钮,新配置立即生效。
二、通过网络适配器属性注入三级 DNS 并手动排序优先级
该方式绕过“设置”应用的抽象层，直接写入网络接口 TCP/IPv4 协议栈底层参数，支持添加三个及以上 DNS 条目，并通过上下箭头精确控制查询顺序，确保在首级 DNS 被劫持或超时时，系统能自动降级至次级可信节点，避免单点失效引发全局解析失败，适用于 DNS 选项在“设置”中灰显、受组策略限制或需强抗劫持能力的场景。
1、按下Win + R打开“运行”对话框,输入ncpa.cpl并按回车,调出“网络连接”窗口。
2、在列表中找到您当前启用的网络连接(如“WLAN”或“以太网”),右键单击它。
3、在右键菜单中选择“属性”。
4、在“网络”选项卡下,双击“Internet 协议版本 4 (TCP/IPv4)”。
5、勾选“使用下面的 DNS 服务器地址”单选框。
6、在“首选DNS 服务器”栏输入223.5.5.5,在“备用DNS 服务器”栏输入114.114.114.114。
7、点击“高级”按钮,切换至“DNS”选项卡,点击“添加”按钮追加第三 DNS 条目：1.1.1.1。
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
8、使用“上移”箭头将223.5.5.5置于首位,确保其始终优先参与解析。
9、确认无误后,依次点击“确定”关闭所有窗口。
三、通过管理员终端强制刷新 DNS 缓存并验证劫持是否解除
DNS 劫持常伴随本地缓存污染，即使更换了 DNS 服务器，系统仍可能沿用被篡改过的旧解析记录，导致新配置未即时体现。执行强制刷新并配合 nslookup 实时验证，可确认当前解析路径是否已脱离劫持链路，确保解析结果真实可信。
1、右键点击“开始”按钮,选择“Windows 终端(管理员)”。
2、在终端中输入命令：ipconfig /flushdns 并按回车。
3、继续输入命令：netsh interface ip delete arpcache 并按回车。
4、输入命令：nslookup www.baidu.com 1.1.1.1 并按回车,观察返回的 IP 是否为百度官方地址。
5、再次输入命令：nslookup www.baidu.com 223.5.5.5 并按回车,比对两次结果是否一致且无重定向迹象。
四、重置 Winsock 与 TCP/IP 协议栈清除劫持残留注册项
DNS 劫持可能深度嵌入 Winsock 目录或协议栈注册表项中，造成系统级解析行为异常，表现为随机域名解析失败或固定网站跳转异常。执行重置操作将彻底重建通信基础结构，清除被恶意注入的 DLL 或协议处理程序，恢复原始解析逻辑。
1、右键点击“开始”按钮,选择“Windows 终端(管理员)”。
2、依次执行以下命令，每条后按回车：netsh winsock reset。
3、继续执行：netsh int ip reset。
4、执行完成后关闭终端窗口。
5、立即重启计算机，使重置结果完全加载。
五、禁用 QoS 数据包标记与带宽保留机制防止劫持协同干扰
部分 DNS 劫持行为会与 QoS（服务质量）策略协同运作，通过标记特定流量并限制其带宽或优先级，间接延长解析等待时间或诱导客户端转向劫持服务器。禁用系统默认的 QoS 数据包计划程序，可消除该类隐性干扰源，保障 DNS 查询报文获得平等传输机会。
1、按下Win + R打开“运行”对话框,输入gpedit.msc并按回车（仅限专业版/企业版）。
2、导航至：计算机配置 → 管理模板 → 网络 → QoS 数据包计划程序。
3、双击“限制可保留带宽”策略，将其设为“已启用”，并将“带宽限制(%)”设为0。
4、双击“关闭 QoS 数据包计划程序”策略，将其设为“已启用”。
5、关闭组策略编辑器，重启网络服务或重启计算机。
