在Windows上部署DNSCrypt-proxy，核心思路是让本地代理监听127.0.0.1的53端口，再把网卡DNS指向这个本地地址。整个过程不需要编译源码，官方发布页提供编译好的Windows可执行文件，解压后修改TOML配置，手动跑通后再注册成系统服务即可长期运行。
一、下载并解压预编译包
DNSCrypt-proxy针对Windows平台提供了免安装的zip压缩包，可以直接从项目仓库的Releases页面获取。下载时需要选择带win64标识的文件，例如dnscrypt-proxy-win64开头的zip。下载完成后建议放到一个固定的工作目录，本文统一使用C:\dnscrypt-proxy作为安装根目录。不要把程序放在带空格或中文的路径下，否则后续注册服务时容易出现可执行文件路径解析失败的问题。
解压出来的目录里包含dnscrypt-proxy.exe主程序、example-dnscrypt-proxy.toml配置模板、public-resolvers.md公共解析器列表，以及license和说明文档。其中example-dnscrypt-proxy.toml是配置起点，后续要把它复制成dnscrypt-proxy.toml才能被程序默认读取。如果下载压缩包后解压出的是带版本号的目录，可以手动重命名，示例命令如下：
Expand-Archive -Path 'C:\Users\你的用户名\Downloads\dnscrypt-proxy-win64.zip' -DestinationPath 'C:\' Rename-Item -Path 'C:\dnscrypt-proxy-win64' -NewName 'C:\dnscrypt-proxy'
执行完这两条命令后，C:\dnscrypt-proxy目录下就应该能看到主程序。建议在文件资源管理器里确认dnscrypt-proxy.exe存在，再进入下一步配置。如果目录结构中缺少public-resolvers.md，不影响核心运行，但在挑选上游服务器时可能需要手动到项目页面查看可用名称。
二、修改配置文件监听本地端口
配置文件的准备分两步：先把example-dnscrypt-proxy.toml复制为dnscrypt-proxy.toml，再用文本编辑器打开。复制操作可以使用Windows资源管理器，也可以用PowerShell执行Copy-Item。程序默认只会读取当前工作目录下的dnscrypt-proxy.toml，因此文件名必须准确，不能保留example前缀。
打开配置文件后，需要重点关注listen_addresses和server_names。listen_addresses决定代理监听在哪些地址和端口，推荐只监听本机回环地址，避免局域网其他设备误用。server_names用来选择上游加密DNS服务器，名称必须与public-resolvers.md中列出的标识一致，例如cloudflare、google、quad9-dnscrypt-ip4-filter-pri都是常见选项。如果所在网络环境对部分公共DNS有干扰，可以多配置几个名称，程序会按照顺序尝试。
listen_addresses = ['127.0.0.1:53'] server_names = ['cloudflare', 'google'] max_clients = 250 log_level = 2 log_file = 'C:\dnscrypt-proxy\dnscrypt-proxy.log' use_syslog = false ipv4_servers = true ipv6_servers = false
上面的配置片段中，log_file写入了完整路径C:\dnscrypt-proxy\dnscrypt-proxy.log，这样日志会集中存放在安装目录，方便排查问题。ipv6_servers设为false可以减少本地IPv6环境下的超时等待。max_clients控制并发连接数，家用或单机使用默认250已经足够。保存配置后建议先不要急着注册服务，而是从前台运行开始验证。
如果系统已经安装了其他DNS代理或本地DNS服务，53端口可能被占用。此时可以先用命令netstat -ano | findstr :53查看占用情况，或者把listen_addresses改成其他端口测试。正式部署时最终还是要改回53端口，因为系统DNS通常只能指向固定DNS端口。
三、前台运行测试并注册为系统服务
进入C:\dnscrypt-proxy目录，在PowerShell中运行.\dnscrypt-proxy.exe，程序会读取配置文件并开始监听。正常启动时控制台会输出加载的上游服务器信息和监听地址。如果配置文件有语法错误，程序会立即报错并退出，此时需要根据提示检查TOML文件。首次运行建议保持窗口打开，同时新开一个PowerShell窗口执行解析测试。
测试命令可以使用nslookup ipipp.com 127.0.0.1，如果返回了IP地址，说明本地代理已经能够处理DNS查询。若表现为超时或无响应，先检查代理窗口是否报错，再看Windows防火墙是否阻止了dnscrypt-proxy.exe。由于监听的是127.0.0.1回环地址，通常不会触发防火墙入站规则，但某些安全软件可能拦截本地端口访问。
确认前台运行和解析测试都通过后，按Ctrl+C停止程序。随后以管理员身份打开PowerShell，进入C:\dnscrypt-proxy目录，执行服务安装和启动命令。dnscrypt-proxy自带服务管理功能，不需要手动编写serviceWrapper。
cd C:\dnscrypt-proxy .\dnscrypt-proxy.exe -service install .\dnscrypt-proxy.exe -service start Get-Service dnscrypt-proxy
执行install命令后，程序会在Windows服务列表中创建名为dnscrypt-proxy的服务。start命令用于启动该服务，Get-Service可以查看当前运行状态。服务默认以本地系统账户运行，开机自动启动。以后需要停止或卸载时，分别使用.\dnscrypt-proxy.exe -service stop和.\dnscrypt-proxy.exe -service uninstall即可。
四、切换系统DNS并验证加密效果
服务启动后，代理只监听在127.0.0.1上，还需要把Windows网卡的DNS服务器地址指向这个本地地址。可以打开控制面板中的网络和共享中心，进入当前活动网卡的IPv4属性，将首选DNS服务器修改为127.0.0.1，备用DNS服务器留空。如果喜欢用命令行，也可以使用PowerShell一键切换。
Get-NetAdapter | Where-Object Status -eq 'Up' Set-DnsClientServerAddress -InterfaceIndex 12 -ServerAddresses 127.0.0.1
上面命令中的InterfaceIndex需要根据Get-NetAdapter输出结果替换成实际网卡索引。设置完成后，系统所有常规DNS查询都会先发送到本机53端口，由dnscrypt-proxy加密后转发给上游服务器，从而避免运营商DNS劫持和明文查询泄露。
验证加密效果最直接的方法是查看日志文件C:\dnscrypt-proxy\dnscrypt-proxy.log。当日志中出现与上游服务器建立连接、证书验证通过、查询转发成功的记录时，说明加密链路已经生效。另一个办法是使用nslookup查询一些特殊域名，如果返回的IP与未加密时完全不同，也能侧面说明查询走了新的上游。若测试过程中发现问题需要回滚，先把网卡DNS改回自动获取，再以管理员身份执行.\dnscrypt-proxy.exe -service stop停止服务。整个安装过程不修改系统内核网络栈，回滚后不会留下残留影响。
DNSCrypt-proxyWindows安装加密DNS修改时间：2026-09-24 22:46:10