TL;DR：一句话结论
90%的普通用户，直接用免费公共DNS（阿里223.5.5.5、腾讯119.29.29.29）就够了——零成本、零运维、速度快。只有当你同时满足"有域名+懂基础Linux+在意隐私或需要自定义广告过滤规则"这三个条件时，自建DNS服务器（比如AdGuard Home）才值得投入。
搜"私人DNS"的人很多都会纠结一个问题：我是直接填个公共DNS地址就完事，还是花心思自己搭一个？这篇文章把两条路的成本、隐私、可控性、运维门槛彻底掰开揉碎，帮你判断自己属于哪一类。
免费公共DNS vs 自建DNS：核心维度对比
| 对比维度 | 免费公共DNS（阿里/腾讯/Cloudflare等） | 自建DNS服务器（AdGuard Home/Unbound等） |
|---|---|---|
| 直接成本 | 完全免费 | VPS每月约30-80元（最低配）；家用旧设备则电费忽略 |
| 隐私程度 | 信任第三方服务商的日志政策 | 数据完全自持，查询记录只存在你自己的机器上 |
| 广告拦截 | 基础版基本没有；Cloudflare Families拦恶意网站 | 完全自定义，可挂任意过滤规则列表，拦广告拦跟踪 |
| 速度与稳定性 | 大厂节点多，国内延迟10-30ms，SLA有保障 | 取决于你买的VPS线路；家用宽带上行小，稳定性一般 |
| 运维门槛 | 填个地址就能用，零维护 | 需要安装软件、配证书、更新系统、监控可用性 |
| 故障影响面 | 服务商挂了不是你的锅，换一个就行 | 你自己的DNS挂了，全家断网，得自己修 |
| 适合人群 | 绝大多数普通用户、手机用户、不想折腾的人 | 技术爱好者、有服务器闲置、对隐私/过滤有强需求的人 |
具体的免费加密DNS地址清单，可以看本站免费加密DNS服务：DoH/DoT 地址与一键配置，这里不重复列。
成本对比：自建到底要花多少钱
免费公共DNS：0元
你只需要在手机或路由器设置里填两个IP地址或一个DoT主机名，就完事了。没有任何费用，没有任何续费，服务商靠自己的商业模式养活这个服务。
自建DNS服务器：从0元到每月上百元
自建有两条路线，成本差别很大：
路线一：家用旧设备/树莓派（接近0元）
如果你家里有闲置的旧电脑、树莓派、甚至刷了OpenWrt的路由器，直接在上面装AdGuard Home或Unbound，硬件成本为零，电费每月几块钱。但缺点是家用宽带上行带宽小、公网IP不稳定，只能服务家里局域网内的设备，出门在外用不了。
路线二：VPS云服务器（每月30-80元）
买一台最低配的云服务器（1核1G带宽1M起步就够跑DNS），国内大厂价格大概每月30-60元，按需计费可能更便宜。好处是有公网IP、99.9%在线率，手机在外也能连。坏处是DNS查询要绕到你的VPS再出去，速度取决于VPS线路——如果你买的是国际VPS，国内访问反而可能比直接用公共DNS还慢。
关键算账：一个月30元，一年就是360元。这笔钱够你买好几年的付费VPN或付费去广告服务了。自建DNS的价值不在于"省钱"，而在于"完全可控"。
隐私对比：你到底信谁
这是自建派最常提的理由："公共DNS会记录我的查询记录。"
事实是：
- Cloudflare 1.1.1.1 有明确的零日志承诺，且经过独立第三方审计，非身份查询数据仅存25小时。隐私透明度在公共DNS里算顶级。
- Google Public DNS 临时日志24-48小时，城市级位置数据保留更久，不算零日志。
- 国内三家（阿里、腾讯、114） 受国内网络安全法规约束，日志留存策略与海外服务商不同，公开透明度较低。
自建的好处是：所有查询记录只存在你自己的硬盘上，没有第三方能看到你访问了哪些域名。如果你对"被监控"这件事极其敏感，自建确实是物理意义上最干净的方案。
但要注意一个现实问题：自建DNS并不等于匿名。你的DNS查询仍然要通过你的宽带运营商出口发出去，运营商仍然能看到你和哪个IP通信。自建解决的是"DNS服务商那边记录"的问题，解决不了"运营商这边记录"的问题。真要匿名，得叠加DoH/DoT加密 + VPN。
可控性对比：为什么那么多人自建是为了拦广告
这才是自建DNS的真正杀手锏。
免费公共DNS里，只有Cloudflare Families提供了基础的恶意网站拦截，Google和国内三家的免费版都不做内容过滤。你没法自定义"我要拦掉某个广告域名"或"我要加一个中文广告过滤列表"。
而自建AdGuard Home的话，你可以：
- 挂载任意过滤规则列表（EasyList中文版、乘风规则、AdGuard官方规则等）
- 自定义黑白名单，想拦谁拦谁
- 看到家里所有设备的DNS查询统计
- 给不同设备分配不同的过滤策略
这种掌控感，是公共DNS给不了的。本站后续会有专门的自建AdGuard Home教程和AdGuard Home规则订阅文章，这里先不展开。
运维门槛：自建不是装完就完事
很多人以为自建DNS就是docker install adguardhome一行命令，其实那只是开始。长期运维你要处理这些事：
- 软件更新：AdGuard Home、Unbound都会持续发安全补丁，得定期更新
- 证书维护：如果你要开DoH/DoT，需要SSL证书，Let's Encrypt证书三个月要续一次
- 故障排查：哪天突然打不开网页了，是DNS挂了？还是上游挂了？还是证书过期了？得自己查
- 性能调优：缓存大小怎么设？用哪个上游公共DNS做forwarder？都要试
如果你连"SSH登录服务器"和"改配置文件"都没干过，自建DNS的学习曲线会让你很痛苦。
决策清单：你适合自建吗？
满足以下任意三条以上 → 可以考虑自建
- 有自己的域名（用来配DoT/DoH证书）
- 会基础Linux操作（SSH、改配置、systemctl重启服务）
- 家里有闲置设备或已经买了VPS（不为DNS专门花钱）
- 强烈需要自定义广告过滤/隐私保护规则
- 喜欢折腾，享受自己搭东西的过程
- 有多设备家庭，想统一管理全家上网
满足以下任意一条 → 别自建，用公共DNS就好
- 只是想让手机上网快一点、防劫持
- 不会用命令行，也不想学
- 预算有限，每月多花几十块有压力
- 家里只有自己一个人用
- 追求稳定性，不想自己当运维
常见问题
Q1：自建DNS是不是一定比公共DNS快？
不一定。自建DNS的速度取决于你的VPS线路质量和你离VPS的距离。如果你买了个国内VPS做forwarder，延迟可能和公共DNS差不多；如果你买了个海外VPS，国内访问反而更慢。自建的优势主要在"可控"和"过滤"，不在"更快"。
Q2：我用了自建DNS，是不是就不需要开VPN了？
不是一回事。DNS负责域名解析，VPN负责流量加密和路由。自建DNS拦广告、保护查询记录，但不加密你的网页流量。两者解决的问题不同，可以叠加使用。
Q3：AdGuard Home和Unbound有什么区别？选哪个？
AdGuard Home主打"带过滤的DNS"，自带广告拦截、统计看板、Web管理界面，适合家庭用户。Unbound是纯递归解析器，没有过滤功能，性能强但配置全靠改文本文件，适合技术用户。新手建议直接上AdGuard Home。
Q4：自建DNS会不会被运营商劫持？
如果你只用53端口明文，理论上运营商仍然可能在中间做手脚。正确做法是自建DNS本身用DoH/DoT连接上游公共DNS，同时给你自己的客户端也提供DoT/DoH服务。这样从客户端到你的服务器，再从你的服务器到上游，全程加密。
参考来源
- Cloudflare 1.1.1.1 隐私承诺 — 支撑文中Cloudflare零日志政策、25小时数据留存等事实，用于对比公共DNS隐私维度。
- Google Public DNS 隐私页面 — 支撑文中Google临时日志政策，用于对比公共DNS隐私维度。
- 阿里云公共DNS官网 — 支撑文中国内公共DNS免费、支持DoT/DoH、企业版有过滤能力等事实。
- AdGuard Home 官方产品介绍 — 支撑文中AdGuard Home功能描述（网络级广告拦截、全设备覆盖、无需客户端软件），用于说明自建DNS的可控性优势。