如何将Windows 11设备的所有DNS流量默认设置为TLS 1.3？

嘿，我懂你现在的困扰——明明已经在Internet选项里把TLS 1.3和1.2都勾上了，但Windows 11和Google DNS（那个IPv6地址2001:4860:4860::8844）握手的时候，还是默认用TLS 1.2，哪怕双方都支持TLS 1.3的加密套件对吧？别急，下面几个方法应该能帮你搞定：

• 修改注册表调整TLS版本优先级
  有时候光靠Internet选项的勾选不够，Windows需要更明确的注册表配置来指定TLS版本的优先级。操作步骤如下：

  1. 按下Win + R组合键，输入regedit回车打开注册表编辑器
  2. 导航到路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
  3. 如果没有TLS 1.3这个项，右键点击Protocols选择「新建」->「项」，命名为TLS 1.3；接着在它下面再新建两个子项，分别命名为Client和Server
  4. 进入TLS 1.3\Client路径，右键空白处选择「新建」->「DWORD(32位)值」，命名为DisabledByDefault，设置数值数据为0；再新建一个DWORD值，命名为Enabled，设置数值数据为1
  5. 同样去TLS 1.2\Client路径下，确保DisabledByDefault是0，Enabled是1——这样当TLS 1.3不可用时，系统会自动降级到TLS 1.2
  6. 完成后重启电脑，让注册表设置生效

• 确认DNS over TLS（DoT）的专属配置
  Google DNS的那个IPv6地址支持DoT，但Windows可能需要你明确开启DoT并确保它优先使用TLS 1.3：

  1. 打开Windows设置，进入「网络和Internet」，根据你的网络类型选择「Wi-Fi」或「以太网」，点击当前连接的网络的「属性」
  2. 找到「DNS服务器分配」，选择「手动」，添加IPv6地址2001:4860:4860::8844，然后开启「DNS over TLS」，选择「仅使用加密的DNS (严格)」选项
  3. 保存设置后，你可以在命令提示符里输入netsh interface ip reset重置网络适配器，然后重启电脑让配置生效

• 排查第三方软件的干扰
  如果你试过上面两个方法还是没用，得检查一下有没有第三方安全软件（比如杀毒软件、防火墙、VPN工具）在搞事情——这类软件有时候会强制系统使用特定的TLS版本，或者拦截DoT流量。你可以暂时禁用这类软件，然后用Wireshark再次抓包测试，看看TLS 1.3是否正常启用。

• 验证TLS连接状态
  最后可以用curl命令快速验证系统的TLS 1.3是否可用：打开命令提示符，输入curl -v --tls1.3 https://dns.google，如果返回的日志里显示成功建立TLS 1.3连接，说明系统层面的TLS 1.3是正常的；如果DNS流量还是用TLS 1.2，可能需要再检查DNS的DoT配置是否正确。

备注：内容来源于stack exchange，提问作者Dan