安卓「私人 DNS」为什么只能填主机名、不能填 IP（附 iOS 描述文件做法）

加密 DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜配置教程｜实时战报

安卓 9 以上的「私人 DNS」只有三个选项：关闭、自动、以及私人 DNS 提供商主机名。很多人第一次配的时候会想当然地填一个 IP，结果要么保存后显示「无法连接」，要么看着像保存成功了、实际上网全挂。

这不是设置藏得深，是协议决定的。下面把原因讲清楚，再给一份安卓和 iOS 都能照抄的配置。

一、安卓的「私人 DNS」是 DoT，不是「换一个 DNS 服务器」

安卓从 9.0 起内置的私人 DNS，走的是 DNS over TLS（DoT），固定 853 端口。它和「把 DNS 换成别人的 IP」是两件不同的事：

你以为在做的	实际在做的
把 DNS 服务器从运营商换成别人的	先和 DNS 服务器建立一条 TLS 加密连接，再在这条连接里查域名
填一个 IP 就行	要校验服务器证书，而证书必须和填写的域名对得上

关键在第二行：TLS 握手要验证服务器证书，验证的前提是「我知道我在连谁」。这个「谁」只能由主机名提供。IP 地址本身不携带任何身份信息，证书也没法证明「8.160.173.68 就是 8.160.173.68」。

所以安卓在这里只接受主机名。填 IP 的后果分两种：

严格的 ROM（原生 Android、Pixel）直接判定配置无效，私人 DNS 那一栏显示「无法连接」，并且所有域名解析都失败——表现就是「开了私人 DNS 之后整个手机没网」；
宽松的 ROM 会把它保存下来，但内部仍然完不成校验，实际静默回退到明文 DNS。你以为开了加密，其实没开。

这也是为什么有些国产 ROM 上「填 IP 好像能用」——那不是能用，是它悄悄没用你的配置。

二、正确填法

设备	填什么	位置
安卓 / 鸿蒙	`dns.23-4.cn`	设置 → 网络和互联网 → 私人 DNS → 私人 DNS 提供商主机名
iPhone / iPad	装描述文件	用 Safari 打开 `https://www.23-4.cn/ios-dns.mobileconfig`

安卓各家入口略有差别（小米在「连接与共享」，华为在「更多连接」，三星在「连接 → 更多连接设置」，OPPO / vivo / 荣耀在「其他网络连接」一类的位置），但填的内容完全一样：只有主机名，没有端口，没有 https://，没有斜杠。

常见错法：

❌ 8.160.173.68 —— IP，安卓不接受
❌ dns.23-4.cn:853 —— 端口是隐含的，写上去会被当成主机名的一部分
❌ https://dns.23-4.cn/dns-query —— 这是 DoH 地址，属于浏览器和 Windows 的填法
✅ dns.23-4.cn

顺带说一句：安卓的私人 DNS 是系统级的，一旦开启，会覆盖路由器通过 DHCP 下发的 DNS。也就是说，路由器没配好也不影响手机——这一点在排查时很有用。

三、iPhone 为什么没有这一栏

iOS 不在设置里开放这个开关，只能用描述文件（mobileconfig）。原理一样，也是 DoT：

<key>DNSSettings</key>
<dict>
  <key>DNSProtocol</key>
  <string>TLS</string>
  <key>ServerName</key>
  <string>dns.23-4.cn</string>
</dict>

用 Safari 打开 https://www.23-4.cn/ios-dns.mobileconfig，系统提示「已下载描述文件」，然后到设置 → 通用 → VPN与设备管理里点安装。想撤销就在同一个地方删除，文件里 PayloadRemovalDisallowed 是 false，不需要密码，也不会锁住设备。

两个容易踩的点：

必须用 Safari 打开。Chrome、微信内置浏览器不会把文件交给系统安装，只会显示一堆 XML；
装完如果没生效，检查设置 → 通用 → VPN与设备管理里描述文件是不是「已安装」状态，而不是只下载了。

四、配完怎么确认真的生效了

安卓私人 DNS 那一栏会显示「已连接」而不是「无法连接」。想更确定，访问 https://1.1.1.1/help，看 DoT 那一行是不是 Yes。

如果显示「无法连接」，按这个顺序查：

主机名有没有拼错、有没有多打空格；
当前网络能不能出 853 端口——部分公司网、校园网会封非 443 端口；
换一个网络（比如切到手机流量）再试，先区分是设备问题还是网络问题；
都不行就先切回「自动」，然后去战报页看有没有你自己的解析记录——有记录说明流量已经走过来了，问题在别处。