开启私人DNS后无法上网/断网怎么办？恢复联网的解决步骤

TL;DR：如果你现在正断网，别慌，先做这一步保底——
立即关闭私人 DNS（或删除 DoT 描述文件），恢复明文 DNS，先把网连上。
安卓：设置 → 网络和互联网 → 私人 DNS → 选"关闭"。
iOS：设置 → 通用 → VPN与设备管理 → 删掉你装的 DNS 描述文件。
Windows：设置 → 网络 → DNS 服务器分配 → 改回"自动获取(DHCP)"。
网恢复后，再按本文的原因清单慢慢排查，不要在断网状态下反复试配置。

第一步：先恢复联网（保底操作）

开启私人 DNS 后突然上不了网，是 DoT 严格模式的典型副作用。安卓从 Android 9 开始引入私人 DNS，当你手动指定 hostname 时，系统会进入严格模式（Strict Mode）：所有域名查询都必须通过 DoT 加密通道发给指定服务器，一旦这条通道连不上，系统不会自动回退到明文 DNS——结果就是所有 App 都解析不了域名，表现为"有信号但上不了网"。

这不是你的设备坏了，而是 DoT 严格模式的设计行为：宁可断网也不降级到不安全的明文。理解这一点后，恢复联网的步骤很简单：

安卓

1. 设置 → 网络和互联网 → 私人 DNS
2. 把"私人 DNS 提供程序主机名"改成 "关闭"
3. 保存，等待 5 秒
4. 打开浏览器测试能否上网

iPhone / iPad

1. 设置 → 通用 → VPN与设备管理
2. 在"已下载的描述文件"列表里找到你的 DNS 描述文件
3. 点进去 → 删除描述文件
4. 确认删除，网立刻恢复

Windows 11

1. 设置 → 网络和 Internet → 你正在用的网卡（Wi-Fi 或以太网）
2. DNS 服务器分配 → 点"编辑"
3. 把"手动"改回 "自动获取(DHCP)"
4. 保存

macOS

1. 系统设置 → 网络 → 你的网卡 → 详细信息 → DNS
2. 把"使用加密 DNS"关掉，或直接删掉安装的描述文件
3. 保存

为什么开了私人 DNS 反而断网？四大常见原因

原因一：DoT 服务器根本不可达

你填的 hostname 对应的那台 DoT 服务器可能宕机了、维护了，或者你选的服务商已经停服。在严格模式下，只要这台服务器连不上，所有域名解析就全部瘫痪。

验证方法：关掉私人 DNS 恢复联网后，换一台公共 DoT 服务器的 hostname 试试。常用的公共 DoT 地址可以参考我们整理的免费加密DNS服务：DoH/DoT 地址与一键配置。

解决：换一个稳定的公共 DoT hostname（如 dns.google、one.one.one.one、dns.quad9.net）重新配置，看看是否恢复正常。如果换了就好，说明原来那台服务器有问题。

原因二：853 端口被运营商或网络管理员阻断

DoT 协议规定客户端和服务器之间走 TCP 853 端口（RFC 7858）。但很多运营商、公司 Wi-Fi、校园网会出于各种原因封锁 853 端口——你可能在家 Wi-Fi 下用得好好的，一到公司连 Wi-Fi 就断网，就是这个原因。

验证方法：

1. 关掉私人 DNS，恢复联网
2. 切到手机移动数据（4G/5G）
3. 重新开启私人 DNS，测试能否上网
4. 如果移动数据下正常、Wi-Fi 下断网 → 基本确认是当前 Wi-Fi 网络封了 853 端口

解决：

• 换网络：在封端口的网络下暂时关闭私人 DNS
• 换协议：改用 DoH（DNS over HTTPS，走 443 端口，和普通 HTTPS 一样，几乎不会被封）
• 路由器侧配置：在你自己的路由器上配 DoH/DoT，所有设备自动受益，不用每台设备单独设

原因三：自建服务器宕机或证书过期

如果你是自建的 AdGuard Home 或其他私人 DNS 服务器，断网的原因大概率出在服务器端：

• 服务器宕机：VPS 到期、进程崩溃、防火墙规则改坏了
• 证书过期：Let's Encrypt 证书 90 天有效期，忘了自动续期
• 端口改了：你把 DoT 端口从 853 改成了别的，但客户端还是连 853
• 域名解析失效：你的 DNS 服务器域名本身过期了或解析记录被删了

验证方法：在能联网的状态下，用 dig 或在线工具测试你的自建 DNS 域名是否能正常解析、853 端口是否通。

解决：

• 登录服务器重启 DoT 服务
• 检查证书有效期，必要时重新签发
• 确认域名解析正常、端口开放

原因四：hostname 本身的"鸡生蛋"问题

这是最隐蔽的一个原因。安卓私人 DNS 的工作流程是这样的：

1. 你填了 hostname，比如 myserver.example.com
2. 安卓需要先把 myserver.example.com 解析成 IP 地址，才能连上去
3. 但这个初始解析，用的是你当前网络的默认明文 DNS
4. 如果你的默认 DNS（运营商 DNS）把 myserver.example.com 污染了或解析错了，安卓就拿不到正确的 IP，DoT 自然连不上

典型场景：你用的是国内运营商网络，而你的 DoT 服务器域名在境外，运营商 DNS 对这个域名解析不准确或被污染，导致安卓拿不到正确 IP。

验证方法：关掉私人 DNS，在浏览器里直接访问你的 DoT 服务器域名，看能不能正常打开（如果是 DoH 的话会返回 HTTP 错误码而不是打不开）。

解决：

• 确认你的 DoT 服务器域名在当前网络下能被正常解析
• 如果域名本身被污染，考虑换一个更容易解析的域名
• 或者直接在路由器层面配置，绕过终端的 hostname 解析问题

换用公共 DoT hostname 测试的完整步骤

如果你怀疑是自己配置的服务器有问题，最干净的测试方法是换成一个稳定的公共 DoT 服务：

1. 先关闭私人 DNS，恢复联网
2. 设置 → 网络和互联网 → 私人 DNS → 选"私人 DNS 提供程序主机名"

3. 填入一个公共 DoT 地址，比如：

   • Google：dns.google
   • Cloudflare：one.one.one.one
   • Quad9：dns.quad9.net
4. 保存
5. 等待 10 秒，打开浏览器测试
6. 如果能正常上网 → 说明是你原来那台服务器的问题
7. 如果还是断网 → 说明是你的网络环境封了 853 端口，或设备本身有其他问题

更多公共 DoH/DoT 地址和一键配置方式，请看免费加密DNS服务：DoH/DoT 地址与一键配置。

FAQ

Q：关闭私人 DNS 后网还是上不了，怎么办？
A：那问题不在私人 DNS。先检查 Wi-Fi/移动数据是否正常连接，试试其他 App 能不能用。如果所有 App 都上不了网，重启一下路由器或手机。如果只是个别 App 不行，可能是 App 本身的问题。

Q：为什么我在家 Wi-Fi 下私人 DNS 正常，到公司就断网？
A：公司网络很可能封了 853 端口。DoT 走 TCP 853，很多企业网络出于安全或管理目的封锁这个端口。在公司网络下暂时关闭私人 DNS，或者改用 DoH（走 443 端口，和普通网页一样）。

Q：私人 DNS 严格模式和自动模式有什么区别？
A："自动"模式是机会主义——能连 DoT 就连，连不上就静默回退明文，不会断网；"指定 hostname"模式是严格模式——必须连上 DoT 才解析，连不上就全部瘫痪。断网的人基本都是后者。

Q：我自建的 DNS 突然就不行了，最可能是什么原因？
A：按概率排：① Let's Encrypt 证书过期（最常见，90天有效期）；② 服务器到期或进程挂了；③ 域名解析记录被删或过期；④ 防火墙规则误改封了 853 端口。

参考来源

1. RFC 7858: Specification for DNS over TLS — IETF Datatracker — 支撑 DoT 使用 TCP 853 端口、严格证书校验等协议规范。
2. Google Public DNS: DNS-over-TLS — 支撑 Google DoT 服务配置方式、RFC 7858 实现细节。
3. Android Developers: What's new for enterprise in Android 10 — 支撑安卓私人 DNS（Private DNS）API、严格模式行为等官方事实。
4. Microsoft Support: Essential network settings and tasks in Windows — 支撑 Windows 11 DNS 服务器分配、DoH 自动/手动模板等操作路径。