加密 DNS 主机名：dns.23-4.cn｜ DoH 地址：https://dns.23-4.cn/dns-query｜ 配置教程 ｜ 实时战报
关于私人 DNS，网上有两种极端说法：一种是「装上就隐身了」，另一种是「毫无用处，智商税」。两种都不对。
这篇不推销任何服务，只把「它到底做了什么」拆开，然后给一份可以直接对照自己情况的判断清单。
一、DNS 在做什么，加密的又是什么
你每次访问一个网站，第一件事是把域名翻译成 IP。这一步就是 DNS。
加密 DNS（DoT / DoH）只做一件事：把「翻译」这个过程加密，让链路上的中间人看不到你查了哪些域名、也没法篡改返回的结果。
它不做的事，列清楚：
| 常见误解 | 实际情况 |
|---|---|
| 「用了私人 DNS 就没人知道我上什么网」 | 你的运营商仍然能看到你连了哪些 IP。加密的是「域名→IP」这一步，不是流量本身 |
| 「等于 VPN」 | 完全不是。它不改变你的出口 IP，不加密网页内容，不隐藏你访问的目标 |
| 「能翻墙」 | 不能。它只是把域名解析得更准、更安全 |
| 「能加速」 | 通常不能。唯一的例外是「原来的解析结果本身是错的或被劫持」，修正后你连到了正确节点 |
| 「能防病毒」 | 只能拦掉已知恶意域名这一层，挡不住挂马页面本身 |
一句话：加密 DNS 保护的是「你在查什么」这一步的隐私和完整性，不是你的整个上网行为。
二、它真正能解决的问题
如果你的日常里出现过下面任意一条，加密 DNS 是有实际收益的：
- 运营商 DNS 劫持：输错一个域名，被跳到运营商的广告导航页；
- 明文 DNS 被篡改：某些域名解析到奇怪的 IP，页面被插入广告；
- 想去掉网页和 App 里的部分广告：DNS 层拦截可以在请求发出前就掐断广告域名，比在页面上拦更干净，也不占手机性能；
- 公共 Wi-Fi 上的解析安全：连酒店、机场 Wi-Fi 时，你不知道那台路由器把你的查询送到哪里去了；
- 不想让解析方拿你的查询记录做用户画像：前提是你选的服务确实不记录、或至少不对外提供。
三、它解决不了的问题
- 想让运营商完全看不到你访问了什么 → 需要 VPN 或 Tor，DNS 加密做不到；
- 想访问本来访问不了的站点 → DNS 只能给一个正确的 IP，能不能连通取决于线路；
- 要求 99.99% 可用性 → 个人自建服务做不到多地冗余，重要场景请用大厂公共 DNS；
- 公司/学校统一管理的设备 → 通常不允许改，改了也会被策略覆盖。
四、怎么选：自建、公共、还是不用
| 你的情况 | 建议 |
|---|---|
| 只是想少看点广告，不想折腾 | 用现成的免费加密 DNS（DoT 填主机名 / DoH 填 URL），两分钟配好 |
| 在意「解析方会不会记录我」 | 优先选明确写清日志策略的服务，或者自建 |
| 家里设备多、有电视盒子音箱这类改不了设置的 | 在路由器上配一次，全家生效 |
| 有闲置的小服务器，愿意维护 | 自建 AdGuard Home，规则、日志、白名单全部自己掌控 |
| 只是好奇，没遇到过劫持也没被广告烦到 | 可以先不开。它不是必需品 |
自建的门槛和代价要说清楚：你需要一台常年开机的服务器、要自己维护规则更新、要自己处理证书续期、要自己应对「解析挂了全家断网」。省心程度远不如用现成的，换来的是完全的控制权和透明度。
五、这台站提供的服务，定位在哪
站内这套 dns.23-4.cn 属于上面表格里的第一行：一个免费、加密、带广告过滤的解析服务，不用注册，DoT 填主机名、DoH 填 URL 就能用。
它不是这个站点存在的理由，只是这里长期在做的一个项目。它有明确的能力边界：
- ✅ 加密解析（DoT 853 / DoH 443，证书由 Let's Encrypt 签发）；
- ✅ DNS 层广告与跟踪器拦截，拦截比例和平均耗时公开在 实时战报；
- ✅ 不记录可关联到个人的查询画像，战报页的排行榜做了脱敏；
- ❌ 不是 VPN，不改变你的出口 IP；
- ❌ 没有多地冗余，不承诺 SLA；
- ❌ 没有对外开放明文 53 端口——想用就必须开加密，别把它当普通 DNS 的 IP 填。
想配的话看 私人 DNS 加密设置教程，配完到战报页看有没有你自己的数据，能刷出来就说明流量确实走过来了。
六、一页判断清单
- 我遇到过 DNS 劫持 / 广告跳转吗？ → 遇到过，值得开
- 我在意「解析方会不会拿我的查询做画像」吗？ → 在意，选日志策略清楚的服务或自建
- 我有一台常年开机的服务器、并且愿意维护吗？ → 有且愿意，自建；否则用现成的
- 我以为它能隐藏我访问的网站吗？ → 如果这么以为，先纠正这个预期，否则开了也会失望
- 我能接受「它偶尔挂掉」吗？ → 不能接受就选大厂公共 DNS