搜索到 5 篇 分类为 AdGuard Home 的文章
-
网站被误拦了怎么办：怎么确认是 DNS 拦的，以及反馈后多久能修好 过滤规则订阅：https://www.23-4.cn/rules/ ｜ 实时战报与反馈入口：https://www.23-4.cn/dns-status/ ｜ 配置教程用了带过滤的 DNS 之后，迟早会遇到一次「这个网站明明是正常的，怎么打不开了」。这篇讲三件事：怎么确认是 DNS 拦的、怎么反馈才有用、大概多久能修好。一、先确认：真的是 DNS 拦的吗「打不开」的原因有很多，先做一个 30 秒的判定：判定方法：临时换一个解析器，再打开一次同一个网址。换成别的 DNS（或直接关掉私人 DNS）后能打开 → 基本可以确定是 DNS 层拦截或解析结果异常；换了还是打不开 → 不是 DNS 的问题，去看是不是网络、证书、站点本身故障；换了解析器后能打开但很慢/跳转 → 可能是解析到了错误节点，也属于解析问题。命令行版更精确，能直接看出返回了什么：# 看返回的 IP 是什么 nslookup www.example.com # 更详细：看是不是被返回了 0.0.0.0 / NXDOMAIN dig www.example.com +short # 对比另一个解析器的结果 dig @1.1.1.1 www.example.com +short三种典型的拦截特征：返回结果含义0.0.0.0 或 127.0.0.1典型的「被规则拦掉了」——用一个不可能连通的地址把域名黑洞掉NXDOMAIN（域名不存在）要么域名真不存在，要么被规则整条否决返回了一个正常 IP，但页面还是不对不是拦截，可能是缓存或站点问题二、误拦为什么会发生规则集来自公开的广告 / 恶意域名列表，做的是多源合并。合并过程本身会带来误伤，常见三类：父子域压缩过度：规则里写了 ads.example.com，合并时被压缩成 example.com，结果整个主域都被拦了；国产 App 的统计域名被误判：有些 SDK 的域名同时承担「统计」和「必要功能」两个角色，拦掉之后 App 的某个功能就挂了；共享域名：很多小站点挂在同一个二级域下（比如各种免费托管），拦了其中一个，整片遭殃。这三种都是可以修的，而且修法很明确：加白名单。三、怎么反馈才有用无效反馈：「你们把我网站拦了」「打不开了，快修」。这类信息量太低，需要来回问好几轮。有效反馈包含四件事：1. 完整域名（含子域名，不要只写主域） 例：cdn.static.example.com ← 而不是 example.com 2. 现象 例：nslookup 返回 0.0.0.0；关掉私人 DNS 后可以正常访问 3. 时间 例：2026-10-05 14:20 左右开始 4. 你验证过的对照结果 例：用 1.1.1.1 查是正常 IP 203.0.113.10，用你们的解析返回 0.0.0.0第 1 条最重要。 很多误拦其实是子域名级别的问题，如果只报主域，维护者要么修得过大（把整个主域放行，误拦是没了但广告也回来了），要么根本复现不了。反馈入口在 实时战报页：页面右下角有一个橙色按钮，点开可以直接提交问题或建议，也能看到已经提交的反馈列表。不需要注册，也不需要留邮箱。四、大概多久能修好说实话，不承诺 SLA——这是个人自建服务，不是商业产品。但可以给出真实的时间构成：阶段耗时说明看到反馈几分钟到几小时取决于维护者是否在线定位是哪条规则5～30 分钟需要反查合并后的规则文件加白名单 / 调整压缩逻辑几分钟改一条规则规则重新加载生效秒级到几分钟取决于部署方式你的设备看到变化几秒到 10 分钟受本地 DNS 缓存影响所以正常情况下几十分钟到几小时。如果只是单条规则误伤，通常更快；如果是「父子域压缩逻辑」这类系统性问题，可能要改生成脚本、重新出一版规则，那就得按小时算。如果你等不及，有两个自救办法：临时切回别的解析器，先把事办了；在自己的设备上加一条本地覆盖规则（如果你用的是 AdGuard Home 或支持自定义规则的路由器），把那个域名指向正确的 IP，或者放行到上游。五、自己维护规则的人：怎么加白名单如果你自建 AdGuard Home，修误拦只需要一条自定义规则，加在「自定义过滤规则」里即可：# 放行某个域名的所有子域（! 开头是注释，@@ 是白名单） @@||example.com^$important # 只放行特定子域 @@||cdn.static.example.com^$important 的作用是让白名单优先于所有黑名单规则，避免被后面的规则又拦回去。改完点「应用」，客户端缓存过期后就生效了。规则本身是公开的，可以在这里订阅：DNS 过滤规则开放订阅。六、小结先做「换解析器再试一次」的判定，别一上来就报障；反馈必须带完整子域名，这是最关键的一条；正常几十分钟到几小时能修好，但不要按商业 SLA 来预期；等不及就临时换解析器，或在自己设备上加 @@||域名^$important 白名单；反馈入口在战报页右下角的橙色按钮。相关阅读DNS 过滤规则开放订阅：免费去广告规则 + 自建加密 DNS 全指南AdGuard Home规则订阅怎么配置？去广告规则源推荐与拦截验证私人 DNS 是什么、适合谁：一份不带玄学的判断清单自建AdGuard Home教程：搭建属于自己的私人DNS服务器 -
自建AdGuard Home教程：搭建属于自己的私人DNS服务器 自己搭之前先想清楚要不要：如果你只是想用上加密 DNS 加去广告，直接用 dns.23-4.cn 就行，省一台服务器和一年的证书续期。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR：想拥有完全可控的私人DNS？你需要一台VPS、一个域名和一张TLS证书。用AdGuard Home官方脚本一键安装，在Web面板里配好上游DNS和加密协议（DoT端口853 / DoH端口443），就能让手机、电脑通过自己的域名连接私人DNS，全程广告拦截、防跟踪、零日志都由你说了算。搭建私人DNS之前需要准备什么？自建AdGuard Home不是装个软件就完事，你需要先备齐三样东西：一台有公网IP的VPS：国内可选阿里云、腾讯云轻量服务器，海外可选Vultr、DigitalOcean等。最便宜的入门款就够跑AdGuard Home。如果你担心服务器账单失控，可以参考本站这篇阿里云2元/月服务器防天价账单。一个域名：你需要一个域名来申请TLS证书，也是客户端连接私人DNS的地址。域名可以在Namesilo、阿里云、Cloudflare等平台注册，一年几十块钱。TLS证书：DoT和DoH都基于TLS加密，必须要有证书。推荐用Let's Encrypt免费申请，配合certbot自动续期。如果你刚买了一台轻量服务器不知道怎么初始化，本站有一篇Alpine轻量服务器初始化清单可以参考，里面涵盖了系统更新、防火墙、SSH加固等基础步骤。方法一：用官方脚本一键安装AdGuard HomeAdGuard Team官方提供了一键安装脚本，支持绝大多数Linux发行版。以root身份执行以下命令：wget --no-verbose -O - https://raw.githubusercontent.com/AdguardTeam/AdGuardHome/master/scripts/install.sh | sh -s -- -v如果你用的是FreeBSD或其他带fetch工具的系统，可以换成：fetch -o - https://raw.githubusercontent.com/AdguardTeam/AdGuardHome/master/scripts/install.sh | sh -s -- -v脚本会自动下载最新版AdGuard Home二进制文件、创建系统服务并启动安装向导。安装完成后，AdGuard Home会作为系统服务自动运行。方法二：用Docker部署（适合已有Docker环境的用户）官方也提供了Docker镜像 adguard/adguardhome。如果你更习惯容器化部署，可以用这条命令启动：docker run -d \ --name adguardhome \ --restart unless-stopped \ -v /your/host/workdir:/opt/adguardhome/work \ -v /your/host/confdir:/opt/adguardhome/conf \ -p 53:53/tcp -p 53:53/udp \ -p 80:80/tcp \ -p 443:443/tcp -p 443:443/udp \ -p 853:853/tcp -p 853:853/udp \ -p 3000:3000/tcp \ adguard/adguardhome:latest注意：Docker安装的AdGuard Home不会自动更新，需要你手动拉取新镜像并重启容器。这一点和脚本安装版不同，脚本版支持自动检测更新。安装后第一次配置：打开Web管理面板安装完成后，打开浏览器访问 http://你的服务器IP:3000，进入初始化设置向导。第一步：创建管理员账号设置用户名和密码，这是登录Web管理面板的凭据，务必用强密码。第二步：设置监听端口AdGuard Home默认监听以下端口，你需要确保防火墙放通：端口协议用途53UDP/TCP明文DNS服务（本站出于安全考虑没有对公网开放 53，只开了 853 / 443）3000TCPWeb管理面板（初始化阶段）80TCPWeb面板（可选，改完后建议关闭）853TCP/UDPDNS-over-TLS / DNS-over-QUIC443TCP/UDPDNS-over-HTTPS第三步：配置上游DNS在「设置 → DNS设置」里，填上上游DNS服务器地址。推荐用加密的公共DNS作为上游，比如：https://dns.23-4.cn/dns-query（本站 234 DNS 的 DoH 地址）https://dns.cloudflare.com/dns-query（Cloudflare 1.1.1.1 DoH）https://dns.google/dns-query（Google Public DNS DoH）tls://dns.23-4.cn（本站 234 DNS 的 DoT 地址）tls://dns.adguard-dns.com（AdGuard DNS DoT）这样你的AdGuard Home → 上游DNS这一段也是加密的，整条链路更安全。启用DoT和DoH：让客户端用加密方式连你的私人DNS这一步是自建私人DNS的核心——只有开了加密协议，手机才能在系统「私人DNS」设置里填你的域名。1. 先准备好TLS证书用certbot从Let's Encrypt申请一张免费证书。假设你的域名是 dns.example.com，证书文件通常在：证书文件：/etc/letsencrypt/live/dns.example.com/fullchain.pem私钥文件：/etc/letsencrypt/live/dns.example.com/privkey.pem2. 在AdGuard Home面板里开启加密进入「设置 → 加密设置」：勾选「启用加密协议」服务器名称填你的域名，比如 dns.example.com证书路径填 fullchain.pem 的完整路径私钥路径填 privkey.pem 的完整路径确认端口：DoT默认853，DoH默认443点击「保存」保存后，AdGuard Home就会同时在853端口提供DoT服务、在443端口提供DoH服务。你可以用 openssl s_client -connect dns.example.com:853 测试连通性。客户端怎么接入？安卓私人DNS填什么？配好DoT之后，安卓手机就可以用系统自带的「私人DNS」功能连接你的自建服务器了：打开安卓「设置 → 网络和互联网 → 私人DNS」选择「指定私人DNS提供商」输入你的域名，比如 dns.example.com保存连上之后，你手机的所有DNS查询都会通过TLS加密发到你自己的AdGuard Home，再由它去查询上游。不同品牌手机的设置入口略有差异，本站整理了全系列的私人DNS设置教程合集，小米、华为、OPPO、vivo、三星、iPhone各机型都有对应的图文步骤。自建之后你需要承担的维护责任自建私人DNS不是一劳永逸的，你需要对自己的服务器负责：软件更新：AdGuard Home会持续更新功能和修复漏洞，记得定期更新。脚本安装版可以在Web面板首页看到更新提示。证书续期：Let's Encrypt证书有效期90天，务必配置certbot自动续期（certbot renew --dry-run 测试一下）。证书过期后DoT/DoH会直接断连。安全加固：Web管理面板不要暴露在公网随便让人访问，建议改默认端口、加IP白名单，或者只通过SSH隧道访问。上游DNS稳定性：如果上游DNS挂了，你的私人DNS也会跟着挂。建议配置多个上游做故障转移。常见问题Q：自建私人DNS和直接用公共加密DNS有什么区别？A：最大的区别是「控制权」。自建的话，过滤规则你自己选、查询日志你自己管、用不用零日志由你定。公共加密DNS方便但依赖服务商的信誉。Q：我的VPS只有几十M带宽，跑AdGuard Home够吗？A：DNS查询的数据量非常小，即使是入门款VPS也能轻松带得动几个人日常使用。真正吃带宽的是网页浏览和视频，不是DNS。Q：为什么我开了私人DNS还是能看到广告？A：DNS层面的广告过滤只能拦截「域名级」的广告请求。网页内嵌的JS广告、视频贴片广告是和正文同域名下发的，DNS层拦不住。想深入了解可以看这篇用私人DNS拦截广告的原理与局限。参考来源AdGuard Home 官方GitHub仓库 - 安装说明 — 支撑官方安装脚本命令与Docker镜像信息AdGuard DNS知识库 - DNS加密配置 — 支撑DoT/DoH证书配置与端口说明AdGuard DNS知识库 - Docker部署 — 支撑Docker端口映射与部署参数AdGuard DNS知识库 - 入门指南 — 支撑安装端口要求与初始化流程相关阅读AdGuard Home规则订阅怎么配置？去广告规则源推荐与拦截验证用私人DNS拦截广告：DNS广告过滤原理与开启方法DNS 过滤规则开放订阅：免费去广告规则 + 自建加密 DNS 全指南Alpine 轻量服务器初始化清单：时钟、Nginx、PHP 一篇配齐AdGuard Home 迁移实录：从香港服务器搬到国内阿里云不想自己维护服务器的话，可以直接用我们跑好的那一台：主机名 dns.23-4.cn，DoH https://dns.23-4.cn/dns-query，步骤见私人 DNS 加密设置教程。
-
AdGuard Home规则订阅怎么配置？去广告规则源推荐与拦截验证 规则配好了也得有人替你跑——dns.23-4.cn 服务端跑的就是同一套去广告规则，你只要把设备的 DNS 指过来。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR：打开AdGuard Home面板 → 左侧「过滤器」→「DNS拦截清单」→「添加拦截清单」，粘贴规则订阅URL即可。推荐新手从AdGuard官方DNS Filter + OISD Small起步，拦截率和误拦率平衡得最好。配完用 dig 命令查一个被拦截的域名，返回 0.0.0.0 或 NXDOMAIN 就说明生效了。AdGuard Home里在哪里添加规则订阅？很多刚装好AdGuard Home的朋友发现：为什么我开了私人DNS还是有广告？因为AdGuard Home默认只内置了很少的几条规则，你需要自己添加去广告的规则订阅才能发挥作用。操作路径非常简单：登录AdGuard Home的Web管理面板点击左侧菜单的「过滤器」选择「DNS拦截清单」（有的版本叫「DNS过滤列表」）点击右上角的「添加拦截清单」按钮在弹出的窗口里，你可以从内置列表里选，也可以选「自定义列表」粘贴自己的URL填好名称和订阅地址后，点「保存并应用」添加成功后，规则会自动下载并启用。你可以随时在这个页面勾选/取消勾选某个规则源来临时开关它。推荐哪些去广告规则源？全部给官方地址下面推荐的都是社区里口碑最好、维护最活跃的DNS过滤规则源，全部附上官方地址，你可以直接复制到AdGuard Home里用。1. AdGuard DNS Filter（官方基础款）AdGuard官方维护的DNS过滤列表，专门针对广告和跟踪域名优化。这是AdGuard Home默认推荐的基础规则，误拦率低，适合作为打底。规则订阅地址：在AdGuard Home的「添加拦截清单」内置列表里直接选「AdGuard DNS filter」即可，无需手动粘贴URL官方主页：https://adguard.com/特点：更新频繁、中文站点适配好、误拦极少2. OISD（推荐进阶用户）OISD是由社区志愿者维护的独立DNS过滤项目，以「少而精」著称——它不是简单堆砌所有广告域名，而是经过人工筛选，只保留真正影响浏览体验的广告和跟踪域名，误拦率控制得非常好。OISD提供多个版本，按需选择：版本订阅地址规则量级适合人群OISD Smallhttps://small.oisd.nl/约10万条新手入门、怕误拦OISD Bighttps://big.oisd.nl/约30万条追求强拦截OISD NSFWhttps://nsfw.oisd.nl/成人内容拦截家长控制场景官方主页：https://oisd.nl/特点：独立维护、透明度高、社区口碑好3. Hagezi DNS Blocklists（极客向多选）Hagezi是GitHub上一个非常活跃的DNS过滤规则项目，提供从「轻度」到「重度」的多个梯度版本，你可以根据自己的耐受度选。常用版本订阅地址（基于GitHub Raw）：Multi Pro（全能版，广告+跟踪+恶意软件）：https://raw.githubusercontent.com/hagezi/dns-blocklists/main/adblock/pro.txtMulti Normal（平衡版）：https://raw.githubusercontent.com/hagezi/dns-blocklists/main/adblock/multi.txtTIF（Threat Intelligence Feed，威胁情报版）：https://raw.githubusercontent.com/hagezi/dns-blocklists/main/adblock/tif.txt官方GitHub：https://github.com/hagezi/dns-blocklists特点：版本丰富、分类细致、更新很快规则更新间隔怎么设置？要手动更新吗？AdGuard Home会自动定期更新所有订阅的规则列表，默认更新间隔是24小时。你可以在「过滤器 → DNS拦截清单」页面看到每个规则源的「上次更新时间」和「规则数量」。如果你刚加了一个新规则想立刻生效，可以手动更新：在「DNS拦截清单」页面点击右上角的「检查更新」按钮（有的版本是一个刷新图标）等待几秒钟，所有规则源会重新拉取最新版本一般来说，一天自动更新一次就够了。广告和跟踪域名的更新速度没那么快，没必要每分钟都去拉。怎么验证规则真的生效了？加了规则不代表一定拦得住，你需要自己验证一下。这里给两种验证方法：方法一：用dig命令在服务器上测SSH登录到你的AdGuard Home服务器，执行：dig doubleclick.net @127.0.0.1把 doubleclick.net 换成一个你觉得应该被拦截的广告域名。如果拦截生效了，返回结果里的ANSWER SECTION会显示：doubleclick.net. 300 IN A 0.0.0.0 — 说明AdGuard Home把它指向了空地址或者状态是 NXDOMAIN — 说明直接返回了域名不存在如果返回的是真实的IP地址，说明这个域名没被你的规则列表覆盖到。方法二：在AdGuard Home查询日志里看打开AdGuard Home面板左侧的「查询日志」，然后用手机或电脑随便打开几个网页。你会看到：绿色/正常的请求：放行的域名红色/被拦截的请求：规则命中的域名点开任意一条被拦截的记录，还能看到它是被哪条规则、哪个规则列表拦截的。这个方法最直观，建议新手从这里开始排查。本站规则订阅服务是什么？和本文有什么关系？本站提供了一套DNS过滤规则开放订阅服务，专门针对中文网络环境优化，你可以直接在AdGuard Home里添加本站的规则订阅地址来用。完整的规则列表和订阅入口都放在本站的DNS过滤规则订阅页上，你可以去那里拿到最新的订阅URL，然后按照本文上面讲的方法粘贴到AdGuard Home的「自定义拦截清单」里即可。简单说：本文教你「怎么在AdGuard Home里加规则」，本站规则订阅服务给你「现成的好用规则」，两者搭配效果最好。常见问题Q：规则加得越多拦截效果越好吗？A：不是。规则列表不是越多越好，加太多容易导致误拦（正常网站打不开），还会占用更多内存。新手建议从「AdGuard DNS Filter + OISD Small」两条起步，不够再慢慢加。Q：为什么有些广告还是能看到？A：DNS层面的过滤只能拦截「独立域名」的广告请求。如果广告和正文是同一个域名下发的（比如很多视频网站的贴片广告），DNS层就拦不住。这是DNS过滤的固有限制，不是你配错了。Q：规则订阅链接失效了怎么办？A：如果某个规则源长期无法更新，AdGuard Home会在那个规则旁边标红提示。你可以去该规则的官方GitHub或主页看看是不是换了地址，删掉旧的、添加新的即可。懒得自己配？可以直接用现成的如果你装 AdGuard Home 只是为了"加密 DNS + 去广告"，其实可以跳过整篇配置：本站已经把这些规则跑在服务端了。DoT 主机名（安卓私人 DNS / 路由器）：dns.23-4.cnDoH 地址（浏览器 / Windows 11）：https://dns.23-4.cn/dns-query本站公开的合并规则源：DNS 过滤规则开放订阅；配完看拦截数据：战报页参考来源AdGuard DNS知识库 - 拦截列表配置 — 支撑AdGuard Home/AdGuard DNS面板内添加规则列表的操作流程OISD官方网站 — 支撑OISD规则版本分类与官方订阅地址Hagezi DNS Blocklists GitHub仓库 — 支撑Hagezi规则版本与Raw订阅URLAdGuard DNS过滤规则语法文档 — 支撑DNS过滤规则的工作原理说明相关阅读用私人DNS拦截广告：DNS广告过滤原理与开启方法DNS 过滤规则开放订阅：免费去广告规则 + 自建加密 DNS 全指南自建AdGuard Home教程：搭建属于自己的私人DNS服务器免费加密DNS服务：DoH/DoT 地址与一键配置指南私人 DNS 加密设置教程不想自己维护服务器的话，可以直接用我们跑好的那一台：主机名 dns.23-4.cn，DoH https://dns.23-4.cn/dns-query，步骤见私人 DNS 加密设置教程。
-
DNS 过滤规则开放订阅：免费去广告规则 + 自建加密 DNS 全指南 规则和 DNS 本来就是一套东西：订阅规则是给自建 AdGuard Home 的人用的，而 dns.23-4.cn 已经把同一套规则跑在服务端了，你只要改一个主机名。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报免费去广告 DNS 过滤规则开放订阅本站自建 AdGuard Home 以来一直在维护一套多源合并的去广告规则：多源并集去重 + 父子域无损压缩 + 国产 App 开屏安全筛选 + 白名单订阅源风险剔除。现在把规则公开，任何使用 AdGuard Home / AdGuard DNS / uBlock 的同行都可以直接订阅，免费使用，欢迎转载。黑名单（拦截，约 40 万条规则）：https://www.23-4.cn/rules/merged-block.txt白名单（放行 / 误杀修复）：https://www.23-4.cn/rules/merged-allow.txt订阅说明页：https://www.23-4.cn/rules/234 加密 DNS：自建加密解析服务配合规则，本站还提供自建加密 DNS（DoH / DoT 双协议）：DoH（浏览器 / Windows 11）：https://dns.23-4.cn/dns-queryDoT（安卓私人 DNS / 路由器全局）：tls://dns.23-4.cn安卓 Private DNS 直接填：dns.23-4.cn完整配置教程（含各平台步骤与 FAQ）：https://www.23-4.cn/dns.htmlDNS 知识库：30 篇科普与实操把踩过的坑、验证过的方法整理成了 DNS 知识库，覆盖协议原理、污染劫持、各平台配置与故障排查：https://www.23-4.cn/dns-pages/规则为个人维护，可能存在误杀，白名单用于修复已知误杀；使用前建议先小范围测试。相关阅读AdGuard Home规则订阅怎么配置？去广告规则源推荐与拦截验证用私人DNS拦截广告：DNS广告过滤原理与开启方法自建AdGuard Home教程：搭建属于自己的私人DNS服务器免费加密DNS服务：DoH/DoT 地址与一键配置指南私人 DNS 加密设置教程不想自己维护服务器的话，可以直接用我们跑好的那一台：主机名 dns.23-4.cn，DoH https://dns.23-4.cn/dns-query，步骤见私人 DNS 加密设置教程。
-
AdGuard Home 迁移实录：从香港服务器搬到国内阿里云 这篇讲的是我们自己的 DNS 怎么从香港搬到乌兰察布；如果你不想折腾服务器，直接用搬完之后的成果就行——主机名 dns.23-4.cn。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报最近把 AdGuard Home 从香港服务器迁到了国内阿里云（乌兰察布），起因是安卓手机私人 DNS 突然连不上：香港服务器的 853 端口（DoT）跨境握手被干扰，服务端明明回 SYN-ACK 却出不了境，手机端一直显示"无法连接"。折腾了一晚上，把这次迁移的坑记录下来，给同样自建 DNS 的朋友避雷。一、数据迁移清单AdGuard Home 的完整状态其实就三样：AdGuardHome.yaml（配置文件：上游、规则、Web 设置）data/ 目录（querylog、stats 等）证书（DoT/DoH 用的 cert.pem / key.pem）打包成一个 tar.gz 拷到新机解压即可，权限保持 root。注意证书目录权限：AGH 用 root 跑，证书文件可读即可。二、最容易漏的：过滤规则源服务我的 AGH 过滤规则列表 URL 配置的是 http://127.0.0.1:38080/merged-block.txt，原服务器上是一个本地 HTTP 服务（busybox httpd）在提供这个文件。迁移到新机后这个服务没了，AGH 启动时报：filtering: updating filter ... dial tcp 127.0.0.1:38080: connect: connection refused规则更新失败不影响 DNS 查询，但新规则永远加载不进去。解决：在新机用 nginx 补一个 127.0.0.1:38080 的站点，root 指向规则目录即可，记得目录权限要对（nginx worker 是 nobody，目录要 755）。三、443 分流（DoH + 博客共存）一台机器同时跑博客和 AGH 时，用 nginx 的 SNI 分流：dns 子域的 443 流量转给 AGH 的 DoH（1443），www/根域转给博客的 TLS。这样 443 一个端口各取所需，证书各自独立。四、时钟！时钟！时钟！新机系统时间没同步，比真实时间快了 8 小时，导致 AGH 日志时间戳全部错乱，排查日志时差点误判"没有新日志"。装 chrony 一校准，立刻正常：apk add chrony rc-service chronyd start rc-update add chronyd default五、日志"不显示"的真相迁移后后台看不到新日志，折腾半天发现是浏览器还连在旧服务器上（DNS 缓存没过期）。旧机停掉、刷新页面后一切正常。遇到日志不对，先确认自己连的是哪台机器。总之：数据打包、规则源、443 分流、时钟、验证，五步走完，DNS 服务无缝搬家。相关阅读自建AdGuard Home教程：搭建属于自己的私人DNS服务器Alpine 轻量服务器初始化清单：时钟、Nginx、PHP 一篇配齐阿里云 2 元/月服务器防天价账单：流量监控脚本实操安卓手机私人 DNS 连不上的排查全流程私人 DNS 加密设置教程不想自己维护服务器的话，可以直接用我们跑好的那一台：主机名 dns.23-4.cn，DoH https://dns.23-4.cn/dns-query，步骤见私人 DNS 加密设置教程。
