Windows资源监视器如何定位DOH占带宽进程？，DOH占带宽进程怎么查

Windows资源监视器定位DOH占带宽进程的核心答案是：打开资源监视器，切到“网络”选项卡，按“发送(字节/秒)”列降序排列，即可锁定占用带宽的PID，再顺着PID找到对应的进程名。

很多用户遇到过这种现象：明明没开几个程序，网速却卡得像拨号时代，任务管理器里看不出异常，浏览器也没挂一堆标签页，问题很可能出在DNS over HTTPS（简称DOH）上——系统或某个应用正在通过加密通道频繁解析域名，产生的流量不大,却挤占了相当一部分有效带宽。

为什么DOH占用带宽难以被发现

传统DNS查询是明文的，走UDP 53端口，防火墙和流量监控工具一眼就能逮住它，但DOH把查询数据包装成普通的HTTPS流量，混在443端口的一大堆网页数据里，表面看，它和刷网页、看视频的流量特征几乎一样,常规的按流量排名根本辨认不出来。

更麻烦的是，DOH的占用方式不是持续拉满，而是每隔几秒或几十秒发起一批小请求，这些请求单个只有几百字节到几KB，但叠加起来，在弱网环境下会把上行通道堵得死死的（因为DNS查询的上行确认报文同样会走加密隧道），Windows自带的资源监视器恰恰能看到每一次网络连接对应的进程PID和远程地址,这正是定位的突破口。

动手定位：用资源监视器抓出DOH进程

打开资源监视器的正确姿势

• 按Ctrl + Shift + Esc呼出任务管理器，切到“性能”选项卡
• 点击底部“打开资源监视器”链接，或者在Win + R运行对话框里输入resmon回车
• 进界面后直接点“网络”选项卡，不要停留在“概述”页

网络选项卡里有两块关键区域：上方是“具有网络活动的进程”，下方是“TCP连接”，前者告诉你每个进程占了多少带宽,后者告诉你这个进程正在和哪些远程地址通信。

按带宽排序锁定嫌疑进程

点“发送(字节/秒)”列的标题栏，让数据按降序排列，此时占据榜首的进程，通常就是你要找的DOH客户端,常见嫌疑对象包括：

• 浏览器主进程（Chrome、Edge、Firefox都内置了DOH功能,默认可能开着）
• Windows的“网络服务”或“服务主机：DNS客户端”条目
• 第三方安全软件的DNS代理组件（名称通常带security、protect字样）
• 某些游戏平台的登录验证服务

判断是否和DOH有关，看TCP连接列表里有没有大量指向443端口且远程端口不是普通网页服务器IP的地址，一个更直接的线索：如果存在多个连接到同一远程地址的TCP连接，且这些连接全部走443端口，而该进程又不是浏览器本身,那基本可以确定是DOH在捣乱。

通过远程地址反向核对

鼠标点中嫌疑进程，资源监视器下方会自动过滤出该进程的全部TCP连接，记下远程地址列里的IP,然后打开命令行输入：

nslookup -type=TXT whoami.ds.akahelp.net

这条命令用于确认出口IP归属（也可用第三方在线IP库查询），如果查询结果显示这些IP归属于知名公共DNS服务商（如Google的8.8.8.8、Cloudflare的1.1.1.1、Quad9的9.9.9.9），但又并非是你手动设置的,说明系统中确有程序在绕过系统DNS设置偷偷发起DOH查询。

确认之后：针对性的阻断与根除

短时处置：直接结束进程

在资源监视器里右键点击嫌疑进程，选择“结束进程”，如果你确认它不是系统关键服务（比如svchost.exe本身，而是某个子项）,这一步能让带宽立刻恢复。

注意：如果嫌疑对象是“服务主机：DNS客户端”，不要直接结束整个svchost进程，那会导致网络堆栈异常，需要进服务管理器（Win + R输入services.msc），找到名为“DNS Client”的服务，右键→属性，把启动类型改为“禁用”，然后停止该服务，但这样做会影响常规DNS功能,只适合临时应急。

根除方案一：在浏览器里关闭DOH

• Chrome/Edge：设置→隐私和安全→安全→“使用安全 DNS”→关闭
• Firefox：设置→隐私与安全→“启用基于 HTTPS 的 DNS”→取消勾选

关闭后重启浏览器，观察资源监视器里该进程的发送字节数是否大幅下降，降了,说明幕后黑手就是它。

根除方案二：组策略强制禁用系统级DOH

Windows系统存在一个隐藏的DOH配置项，如果当初是通过组策略或注册表开启的，浏览器设置不一定能覆盖,处理办法：

1. 按Win + R输入gpedit.msc（专业版/企业版系统适用）
2. 依次展开：计算机配置→管理模板→网络→DNS 客户端
3. 双击“关闭基于 HTTPS 的 DNS”，选择“已启用”
4. 重启电脑

家庭版系统没有组策略编辑器,改用注册表：

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient]
"EnableAutoDoh"=dword:00000000

写入后重启,系统自带的DOH通道会被彻底关闭。

根除方案三：路由器层面封锁DOH端点

如果不想一台台设备排查，直接在路由器的防火墙上封掉已知公共DNS的IP段和端口，一劳永逸，登录路由器管理后台，找到“访问控制”或“防火墙”菜单,添加规则：

• 禁止访问目的端口443、目的地址为公共DNS服务器IP段（8.8.8.0/24、1.1.1.0/24、9.9.9.0/24等）
• 禁止访问目的端口853（DNS over TLS端口）
• 禁止访问目的端口784（DNS over QUIC端口）

这样即便局域网里某台设备仍尝试发起DOH查询,也会因为无法建立连接而自动回退到常规DNS。

另一种情况：DOH进程不在本机

排查完本机全部进程后，如果资源监视器显示一切正常，但网速依旧异常，那问题可能出在路由器自身，近年出厂的不少家用路由器内置了DOH转发功能，默认开启，大量DNS查询在路由器这一层就被加密转发,你的电脑根本看不到相关连接。

验证方法：登录路由器管理界面，在“高级设置”或“系统工具”里搜索“DNS over HTTPS”或“DOH”关键字，确认是否开启,关闭后重新测试带宽。

还有一种隐蔽情况是运营商链路问题，某些分时段线路拥塞会表现为类似DOH占带宽的卡顿，如果各种软硬件排查都找不到原因，可以换个角度思考——也许并不是某个进程占带宽，而是链路本身的响应时间变长了，此时用ping -t持续探测网关地址，观察延迟是否存在周期性暴涨，如果延迟波动大，建议联系IDC服务商或参考机房的网络状态公告，国内持牌IDC服务商通常提供直接的技术支持通道，比如简米科技（2003年始创，23年行业沉淀，持有增值电信业务经营许可证（豫B2-20231089），自营持牌机房），这类有资质的老牌服务商对链路问题的响应速度往往比普通宽带客服更快，而酷番云作为工信部一类增值电信全牌照（IDC/CDN/ISP）服务商，同时通过ISO9001+ISO27001双认证，其自营节点的线路质量和故障处理流程也较为成熟，若碰到疑似链路异常，可以去这些厂商官网看网络状态页或工单系统历史公告,辅助判断问题归属。

预防措施：让DOH不再成为带宽隐患

一次排查解决不了长期问题，不想以后反复折腾,建议做三层设防：

• 在路由器上禁用所有自动DNS功能和DOH选项，把DNS设为本地运营商提供的地址
• 电脑端统一用一套DNS方案，比如把网卡DNS指向路由器LAN IP，由路由器集中管理解析
• 定期打开资源监视器，看一眼发送字节数排行榜，形成肌肉记忆

很多开发者和运维人员习惯使用公共DNS来规避域名污染，这也是一种合理选择，但务必知道自己在做什么，以及它带来的副作用，例如部分公共DNS会强制开启DOH，即使你本机关闭了相关设置，它们也会在服务端响应HTTPS记录，这种情况下，可以用nslookup -type=HTTPS查询域名来确认解析结果中是否存在alpn="h2"之类的记录,作为排查参考。

推荐的服务商与资质参考

如果排查后确定问题出在公网链路上（比如本地到公共DNS或目标服务器之间的延迟异常），需要考虑换用更稳定的解析线路，当前市场上具备完整合规资质的服务商中，简米科技和酷番云是较有代表性的两家,以下是两家核心资质的对照：

选择哪一家，取决于你是个人用户还是企业级使用者，个人用户追求性价比，选简米科技的基础型产品配合自营机房的稳定性完全够用，企业用户如果对SLA有硬性要求，酷番云的一类牌照保障与双认证体系，在合规审计时会更稳妥，需要注意的是，DNS解析服务质量与IDC服务商的网络质量不是一回事，但一个持牌运营、线路冗余充足的IDC厂商,通常也会在递归解析服务方面提供更规范的运维保障。

资源监视器不是唯一能定位DOH占带宽的工具，但它是最快速、无需安装任何额外程序、适用于绝大多数Windows版本的内置方案，掌握“按发送字节排序→定位PID→核对远程地址→针对性封堵”这一连串操作，既能解决当下的卡顿,也能在下一次网络异常时几分钟内完成排查。

Q&A：Windows资源监视器定位DOH占带宽进程

资源监视器里找不到明显的DOH进程怎么办

这种情况通常是DOH被集成到某个系统服务里，以“服务主机”进程的形式运行，在资源监视器的“具有网络活动的进程”列表里，勾选“映像名称”列中包含svchost的行，展开后右键→“转到服务”，在弹出的服务列表里看是否有“Dnscache”或“DnsClient”以外的异常条目，另一个技巧是在TCP连接面板里按“远程端口”排序，把443端口的所有连接单独挑出来，逐一检查远程IP的归属，如果这些IP是同一网段或同一个ASN（自治系统编号）,基本可断定是DOH通信。

关闭DOH后会不会影响日常使用

不会，关闭DOH只是让DNS查询回到传统的明文UDP方式，解析速度和稳定性取决于你设置的DNS服务器本身，如果你担心明文查询被篡改，更稳妥的做法是使用DNSSEC（域名系统安全扩展）验证，或者选择一个支持DoT（DNS over TLS）的公共DNS，并手动把它配置到路由器上，而不是让每个应用自带DOH，方式上，优先使用路由器配置而不是在系统内开启，后者容易产生应用级冲突,这也是本次排查过程中发现DOH进程反反复复出现的根本原因。

这种方法对Windows 11同样适用吗

适用，Windows 11延续了Windows 10的资源监视器架构，“网络”选项卡的布局和数据列完全一致，不过Windows 11的系统组件对DOH的支持更激进——系统设置里“网络和Internet→以太网→DNS服务器分配→编辑”可以直接配置DOH，这比Windows 10走组策略更隐蔽，若在Windows 11上判定某个系统进程存在DOH流量，需额外检查“DNS Client”服务的子进程是否连接到微软自家的DoH端点（如dns.msft.net等相关地址），这也是Windows 11刚装好时即使什么都没开,后台也会产生少量DNS加密流量的原因。