搜索到 34 篇 分类为 加密 DNS 实操 的文章
-
Windows 11/10私人DNS设置教程：开启DoH加密DNS（设置+注册表两种方法） Windows 11 用户可以直接把 DNS 服务器指到 8.160.173.68，再把 DoH 模板填成 https://dns.23-4.cn/dns-query。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR： Windows 11 已原生支持 DoH（DNS over HTTPS），在「设置 → 网络和 Internet → Wi-Fi/以太网 → DNS 服务器分配」里手动指定 DNS 后即可选择加密模式；Windows 10 原生界面没有 DoH 开关，需要通过注册表 EnableAutoDoh 或第三方工具开启。本文分别给出两种方法的完整步骤、适用版本对比和验证方式。Windows 11 怎么设置私人 DNS（图形界面方法）Windows 11（22H2 及以上版本）在系统设置里直接集成了 DoH 开关，这是最推荐的方式，不需要改注册表。第一步：打开网络设置按下 Win + i 打开「设置」。左侧选择「网络和 Internet」。根据你当前的联网方式，点击「Wi-Fi」或「以太网」。点击你正在连接的网络名称（Wi-Fi 需要点击已连接网络右边的箭头或「属性」）。第二步：手动指定 DNS 服务器找到「DNS 服务器分配」，点击右侧的「编辑」。在弹出的编辑窗口里，把「自动（DHCP）」改成「手动」。打开 IPv4 开关。在「首选 DNS」框里填入支持 DoH 的 DNS 服务器 IP。想用本站的服务就填 8.160.173.68（备用可留空）；想用别家的话，Cloudflare 的 1.1.1.1、Google 的 8.8.8.8 也都支持 DoH。注意：只有 Windows 内置「已知 DoH 服务器列表」里的 IP 地址，加密下拉框才会被点亮。如果你填的 DNS 不在列表中（比如本站的 8.160.173.68），需要选「手动模板」并填入 DoH 地址 https://dns.23-4.cn/dns-query。第三步：开启 DNS 加密填完 DNS IP 后，下方会出现「DNS over HTTPS」（或「DNS 加密」）下拉菜单。三个选项的含义如下：选项说明关闭（Off）DNS 请求明文发送，不加密开启（自动模板）自动使用 Windows 内置的 DoH 模板，推荐新手选这个开启（手动模板）手动填写 DoH 服务器地址（HTTPS URL），适合自建或小众 DNS如果你选了「自动模板」，模板地址一般会自动补全（例如 https://cloudflare-dns.com/dns-query）。用本站服务的话请选「手动模板」，填 https://dns.23-4.cn/dns-query。「回退到明文」开关：建议关闭。关闭后如果 DoH 连不上，DNS 请求会直接失败而不是降级成明文——这样就不会被偷偷降级。对 IPv6 做同样的操作（如果你用 IPv6）。点击「保存」。设置完成后不需要重启电脑，DNS 加密立即生效。Windows 10 怎么开启私人 DNS（注册表方法）Windows 10 原生设置界面不支持 DoH——微软官方文档明确写了「DNS over HTTPS setting is not available in Windows 10」。这是 Windows 11 才加进图形界面的功能。但 Windows 10 的较新版本（20H2 及以上）底层其实已经支持 DoH，只是没有界面开关。你可以通过注册表手动开启。方法一：注册表开启自动 DoH 升级按下 Win + R，输入 regedit，回车打开注册表编辑器。定位到以下路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters在右侧找到（或新建）一个名为 EnableAutoDoh 的 DWORD（32 位）值：0 = 关闭自动 DoH（默认）1 = 开启 DoH，但允许明文回退2 = 强制 DoH，尽量不降级推荐设为 2。重启 DNS 客户端服务（以管理员身份打开命令提示符）：net stop dnscache && net start dnscache然后回到网络设置，手动把 DNS 改成 8.160.173.68（本站）或 1.1.1.1 这类支持 DoH 的服务器 IP。这个注册表项的作用是：当你手动指定了一个「已知支持 DoH」的 DNS IP 时，Windows 会自动把它升级成 DoH 连接。它不会帮你凭空创造 DoH 地址。方法二：第三方工具（适合小白）如果你觉得改注册表太麻烦，Windows 10 用户也可以用第三方工具一键开启 DoH，例如：Cloudflare 1.1.1.1 应用：官方客户端，安装后勾选加密 DNS 即可。AdGuard for Windows：自带 DoH/DoT 开关，还能顺便过滤广告。这些工具本质上是在本地跑一个加密 DNS 代理，把系统 DNS 指向本地代理端口，效果和系统级 DoH 一致。两种方法对比对比项Windows 11 图形界面Windows 10 注册表适用系统Windows 11 22H2+Windows 10 20H2+操作难度简单（点鼠标）中等（改注册表）是否需要第三方软件不需要不需要（或用第三方工具）加密协议仅 DoH仅 DoH加密开关位置设置→网络→DNS注册表 + 系统设置推荐人群Win11 用户Win10 用户、进阶用户怎么验证私人 DNS 是否生效？方法一：用浏览器检测打开浏览器，访问 Cloudflare 的加密 DNS 检测页 https://1.1.1.1/help，页面会显示「Using DNS over HTTPS (DoH)」是否为 Yes。用本站服务的话，也可以打开 234 DNS 战报页 直接看自己的查询与拦截记录。方法二：用 nslookup 看端口打开命令提示符，运行：nslookup example.com这个命令本身看不出是否加密，但你可以配合 PowerShell 或资源监视器确认 DNS 走的是 443 端口（DoH）而不是 53 端口（明文）。更直观的方式是装一个 Wireshark，过滤 tcp.port == 853（DoT）或 tcp.port == 443 看有没有 DNS-over-HTTPS 流量。方法三：检查系统 DNS 状态以管理员身份打开 PowerShell，运行：Get-DnsClientServerAddress可以看到当前各网卡的 DNS 服务器 IP，确认你设置的地址已经生效。常见问题 FAQQ：设置了 DoH 但还是显示明文，怎么办？A：先确认你填的 DNS IP 在 Windows 已知 DoH 服务器列表里。可以打开注册表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters\DohWellKnownServers 查看内置列表。不在列表里的 IP 必须选「手动模板」并填写完整 DoH URL。Q：Windows 10 真的完全不能用 DoH 吗？A：原生界面没有开关，但 20H2 以后的版本底层协议已支持。通过注册表 EnableAutoDoh=2 或第三方客户端（Cloudflare App、AdGuard）都可以实现加密。如果你的 Win10 版本太老，建议升级系统或直接用第三方工具。Q：DoH 和 DoT 有什么区别？Windows 支持哪个？A：Windows 目前原生只支持 DoH（基于 HTTPS/443 端口），不原生支持 DoT（853 端口）。关于两种协议的详细对比，可以参考本站的 DoH/DoT/DoQ 协议对比文章。Q：开了 DoH 之后网速变慢了正常吗？A：DoH 多了一层 TLS 加密握手，首次查询可能略慢。但 Windows 有本地 DNS 缓存，日常浏览感知不明显。如果明显变慢，可以换一个离你近的公共 DNS，或者看看 免费加密 DNS 地址推荐 选个更快的节点。参考来源Microsoft Support — Essential Network Settings and Tasks in Windows：支撑 Windows 11 图形界面 DoH 设置路径、Off/On automatic template/On manual template 三个选项的含义、以及「DNS over HTTPS setting is not available in Windows 10」的官方说明。URL：https://support.microsoft.com/en-US/Windows/Experience/Connectivity-Networking/essential-network-settings-and-tasks-in-windowsMicrosoft Learn Q&A — DoH error during the configuration process：支撑注册表路径 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters 及 EnableAutoDoh=2 的配置方法。URL：https://learn.microsoft.com/en-us/answers/questions/6fc0a8f3-b374-44fa-b784-013a698b1cb7/doh-error-during-the-configuration-processMicrosoft Learn — netsh dnsclient 命令参考：支撑 netsh dnsclient add encryption 命令格式与 DoH 加密配置的官方命令行方法。URL：https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/netsh-dnsclientMicrosoft Learn Q&A — Windows 10 Pro 22H2 does not support DoH via Settings/netsh：支撑 Windows 10 原生不支持 DoH 图形界面与 netsh 加密命令的说明。URL：https://learn.microsoft.com/en-my/answers/questions/4376537/netsh-encryption-commands-are-missing相关阅读macOS私人DNS设置教程：Mac 配置DoT/DoH加密DNSLinux私人DNS设置教程：Ubuntu/Debian 配置DoT（systemd-resolved详解）浏览器开启私人DNS教程：Chrome/Edge/Firefox 设置DoH私人DNS选DoT还是DoH？加密协议区别与设备兼容性选择指南免费加密DNS服务：DoH/DoT 地址与一键配置指南想现在就把电脑的 DNS 换掉？DoT 主机名 dns.23-4.cn、DoH 地址 https://dns.23-4.cn/dns-query，各系统步骤见私人 DNS 加密设置教程。 -
macOS私人DNS设置教程：Mac 配置DoT/DoH加密DNS Mac 装描述文件之前，先记下我们的三个地址：DoT 主机名 dns.23-4.cn、DoH https://dns.23-4.cn/dns-query。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR： Mac 的「系统设置 → 网络 → DNS」里只能填普通明文 DNS IP，没有加密开关。要在 Mac 上使用 DoT（DNS over TLS）或 DoH（DNS over HTTPS），需要安装一个网络配置描述文件（.mobileconfig），或者直接装第三方应用（如 AdGuard for Mac、Cloudflare 1.1.1.1）。macOS Big Sur（11.0）及以上版本系统原生支持加密 DNS，但 Apple 没有在图形设置里暴露开关，全部走描述文件或 App。Mac 系统设置里的 DNS 只能设普通 DNS先说结论，避免你白找半天：打开「系统设置 → 网络 → 详细信息 → DNS」，你能看到的只是「DNS 服务器」列表，填的是 1.1.1.1 这类 IP 地址。这个界面没有任何加密选项——它发出去的 DNS 请求仍然是明文 UDP 53 端口，和你在路由器里设 DNS 一样。Apple 从 macOS Big Sur（11.0）开始就在系统底层支持 DoT 和 DoH，但出于设计上的考虑，Apple 没有在这个 DNS 设置面板里加一个「开启加密」的按钮。加密 DNS 的配置统一通过「描述文件（Configuration Profile）」或者「系统扩展类 App」来下发。这一点和 iPhone 类似：iPhone 的「设置 → 通用 → VPN与设备管理」里装一个 DNS 描述文件就能全局加密，Mac 也是同一套机制。关于 iPhone 的具体步骤可以参考本站的 iPhone 私人 DNS 教程。方法一：安装 DNS 描述文件（.mobileconfig）这是 Apple 官方推荐的原生方式，不需要装任何常驻 App。第一步：选一个支持加密 DNS 的服务商常见的选择：服务商DoH 地址DoT 主机名234 DNS（本站自建）https://dns.23-4.cn/dns-querydns.23-4.cnCloudflarehttps://cloudflare-dns.com/dns-queryone.one.one.oneGooglehttps://dns.google/dns-querydns.googleQuad9https://dns.quad9.net/dns-querydns.quad9.net第二步：获取描述文件最简单的方式是直接下载服务商或社区提供的现成描述文件：Cloudflare、Google 等官方文档页会提供一键下载的 .mobileconfig 文件。也可以用开源社区维护的「encrypted-dns」项目生成自己需要的描述文件。如果你想自己写一个描述文件，它本质上是一个 XML 文件，里面用 com.apple.dnsSettings.managed payload 声明加密 DNS 参数。关键参数包括：Protocol：选 HTTPS（DoH）或 TLS（DoT），必填。ServerURL：DoH 的完整 HTTPS URL，Protocol 选 HTTPS 时必填。Hostname：DoT 模式下填服务器的主机名（用于证书校验和 SNI）。Server addresses：DNS 服务器 IP 列表（可选，但建议填）。第三步：安装描述文件双击下载好的 .mobileconfig 文件。系统会提示「此网站正在尝试下载一个配置描述文件」，点击「允许」。打开「系统设置」，往下滑找到「隐私与安全性」，拉到最下面点「描述文件」。在「已下载的描述文件」里找到你刚下载的那个，点「安装」。输入你的 Mac 登录密码确认安装。安装完成后，这个描述文件会自动全局接管 DNS。安装完不需要重启。打开浏览器随便访问一个网站，DNS 就已经走加密通道了。方法二：用第三方应用（最省心）如果你不想折腾描述文件，直接装一个带加密 DNS 功能的 Mac 应用是最快的方式。AdGuard for MacAdGuard 官方 Mac 版内置了 DoH 和 DoT 支持：从 AdGuard 官网下载 AdGuard for Mac 并安装。打开 AdGuard → 设置 → DNS。选择一个 DNS 服务器（内置了 Cloudflare、Google、Quad9 等）。协议默认就是加密的（DoH），也可以手动切到 DoT。开启后全局生效，不需要额外配置。AdGuard 的好处是它同时是广告拦截工具，装一次既能加密 DNS 又能拦广告。如果你的目标是 用私人 DNS 拦截广告，这个方案一举两得。Cloudflare 1.1.1.1 AppCloudflare 官方也有 Mac 客户端，安装后一键开启加密 DNS，非常简洁，适合只想要加密、不需要广告过滤的用户。怎么验证加密 DNS 真的生效了？方法一：用浏览器检测访问 https://1.1.1.1/help，页面会显示（用本站服务的话，打开 234 DNS 战报页 看查询记录更直接）：-「Connected to 1.1.1.1」：Yes-「Using DNS over HTTPS (DoH)」：Yes-「Using DNS over TLS (DoT)」：视你的协议而定三项全 Yes 就说明加密已经生效。方法二：用 dig 命令行确认打开「终端」，运行：dig google.comdig 默认走的是系统解析器。如果 systemd-resolved（macOS 上是 mDNSResponder）已经接管到描述文件的加密配置，dig 返回的结果和正常一样，但底层传输已经是加密的。要更直观地看到加密流量，可以用 tcpdump 或 Wireshark 抓包：sudo tcpdump -i any port 53如果开启了 DoH/DoT，你会发现 53 端口上几乎看不到明文 DNS 查询了（因为流量走了 443 或 853 端口的加密隧道）。方法三：查看描述文件状态打开「系统设置 → 隐私与安全性 → 描述文件」，确认你的 DNS 描述文件在列表中且状态为已安装。如果描述文件被移除，DNS 会自动回退到明文。常见问题 FAQQ：我在 Mac 的网络设置里填了 1.1.1.1，为什么还是明文？A：因为 macOS 的网络设置面板只接受 IP 地址，没有加密开关。你填的 1.1.1.1 会以明文 UDP 方式发送。要加密必须装描述文件或第三方 App。Q：DoT 和 DoH 在 Mac 上选哪个好？A：两者都是 TLS 加密，安全性差不多。DoH 走 443 端口，和普通 HTTPS 流量混在一起，更不容易被网络运营商封锁；DoT 走 853 端口，有些企业网络或公共 Wi-Fi 会直接封 853。日常家用推荐 DoH，更通用。关于两种协议的详细区别，可以看本站的 DoH/DoT/DoQ 协议对比。Q：装了描述文件之后 VPN 还能用吗？A：可以，但要注意优先级。macOS 上 VPN 通常会接管全局路由，加密 DNS 描述文件一般会配合 VPN 工作。如果你同时开了 VPN 和私人 DNS，建议看一下 私人 DNS 和 VPN 冲突怎么办 这篇排查思路。Q：怎么关闭 Mac 上的加密 DNS？A：打开「系统设置 → 隐私与安全性 → 描述文件」，选中对应的 DNS 描述文件，点减号删除即可。如果是第三方 App（AdGuard 等），在 App 设置里关掉加密 DNS 开关就行。参考来源Apple Support — DNS Settings device management payload settings：支撑 macOS 加密 DNS 通过 com.apple.dnsSettings.managed 描述文件 payload 配置，Protocol 可选 HTTPS/TLS、ServerURL 为 DoH 必填项等参数定义。URL：https://support.apple.com/guide/deployment/dep86469ba99/webApple Support — Filter content for Apple devices：支撑 DNS Settings payload 用于配置 DoH/DoT、增强 DNS 隐私，以及 macOS Big Sur 及以上版本支持加密 DNS 的官方说明。URL：https://support.apple.com/guide/deployment/filter-content-dep1129ff8d2/webApple Developer — DNSSettings.DNSSettings Data Dictionary：支撑 DNSProtocol 枚举值为 HTTPS 和 TLS 的开发者文档定义。URL：https://developer.apple.com/documentation/devicemanagement/dnssettings/dnssettings-data.dictionaryApple Developer Videos — WWDC2020 Enable encrypted DNS：支撑 Apple 平台从 iOS 14/macOS Big Sur 开始原生支持 DoT 和 DoH 的官方介绍。URL：https://developer.apple.com/videos/play/wwdc2020/10047/相关阅读iPhone私人DNS设置教程：iOS 用描述文件开启DoT加密DNSWindows 11/10私人DNS设置教程：开启DoH加密DNS（设置+注册表两种方法）浏览器开启私人DNS教程：Chrome/Edge/Firefox 设置DoH私人DNS提示证书错误、不受信任怎么解决？私人DNS选DoT还是DoH？加密协议区别与设备兼容性选择指南想现在就把电脑的 DNS 换掉？DoT 主机名 dns.23-4.cn、DoH 地址 https://dns.23-4.cn/dns-query，各系统步骤见私人 DNS 加密设置教程。
-
Linux私人DNS设置教程：Ubuntu/Debian 配置DoT（systemd-resolved详解） systemd-resolved 里那一行 DNS=，把示例换成 8.160.173.68#dns.23-4.cn，走的就是本站的加密 DNS。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR： Ubuntu/Debian 默认用 systemd-resolved 做本地 DNS 解析（监听在 127.0.0.53:53），它从 systemd 239 版本开始原生支持 DNS over TLS（DoT）。配置方法：编辑 /etc/systemd/resolved.conf 或在 /etc/systemd/resolved.conf.d/ 下新建一个 .conf 文件，写入 DNS=1.1.1.1 和 DNSOverTLS=yes，然后 sudo systemctl restart systemd-resolved，最后用 resolvectl status 验证即可。不需要装任何第三方软件。Ubuntu/Debian 的 DNS 架构：先搞清楚 systemd-resolved很多人刚上手 Linux 时会困惑：我明明改了 /etc/resolv.conf，为什么重启又变回去了？这是因为从 Ubuntu 16.04（以及 Debian 10）开始，系统默认使用 systemd-resolved 作为本地 DNS 存根解析器。它的工作方式是这样的：systemd-resolved 作为一个系统服务在后台运行。它在本地 127.0.0.53 的 53 端口上监听，扮演一个「DNS 中转站」的角色。/etc/resolv.conf 是一个软链接，指向 /run/systemd/resolve/stub-resolv.conf，里面只写了一行 nameserver 127.0.0.53。所有程序的 DNS 请求都先发给本地的 127.0.0.53，再由 systemd-resolved 转发到真正的上游 DNS 服务器。所以你要配置加密 DNS，正确的做法不是改 /etc/resolv.conf，而是改 systemd-resolved 的配置文件——因为加密是在 systemd-resolved 转发给上游那一段做的。先确认你的系统确实在用 systemd-resolved：systemctl status systemd-resolved如果显示 active (running) 就对了。再确认一下 /etc/resolv.conf 是不是软链接：ls -l /etc/resolv.conf正常应该显示指向 /run/systemd/resolve/stub-resolv.conf 或 /run/systemd/resolve/resolv.conf。配置 DoT：编辑 resolved.confsystemd-resolved 的主配置文件是 /etc/systemd/resolved.conf。官方文档推荐的做法是不要直接改主文件，而是在 /etc/systemd/resolved.conf.d/ 目录下新建一个 drop-in 配置文件，这样升级系统时不会被覆盖。第一步：创建 drop-in 配置文件sudo mkdir -p /etc/systemd/resolved.conf.d/ sudo nano /etc/systemd/resolved.conf.d/99-opendns.conf第二步：写入配置内容在文件里填入以下内容：[Resolve] DNS=8.160.173.68#dns.23-4.cn FallbackDNS=1.1.1.1#one.one.one.one DNSOverTLS=yes逐行解释：配置项含义DNS=8.160.173.68#dns.23-4.cn指定上游 DNS 服务器。# 后面是服务器的主机名，用于 TLS 证书校验和 SNI。格式是 IP地址#主机名。8.160.173.68 就是本站 dns.23-4.cn 的地址FallbackDNS=1.1.1.1#one.one.one.one备用 DNS，当主 DNS 连不上时自动切换。这里填的是 Cloudflare，也可以换成任意支持 DoT 的服务DNSOverTLS=yes开启 DoT 加密。yes = 强制加密，不支持 TLS 的服务器会直接失败；opportunistic = 优先加密，不支持就降级明文；no = 关闭注意：DNSOverTLS=yes 模式下，如果服务器证书验证失败，所有 DNS 请求都会失败。所以一定要写对 # 后面的主机名，让 systemd-resolved 能正确校验证书。如果你只是想试试水，可以先设成 opportunistic，不会因为证书问题断网。第三步：重启服务使配置生效sudo systemctl restart systemd-resolved第四步：验证配置运行：resolvectl status输出里你应该能看到类似这样的内容：Link 2 (eth0) Current Scopes: DNS Current DNS Server: 1.1.1.1 DNS Servers: 1.1.1.1 1.0.0.1 DNS OverTLS: yes关键看最后一行 DNS OverTLS: yes——这就说明 DoT 已经开启了。再用 resolvectl query 测一下解析是否正常：resolvectl query google.com如果能返回 IP 地址，说明 DoT 通道工作正常。不想用 drop-in？直接改主文件也行如果你觉得多建一个文件麻烦，也可以直接编辑 /etc/systemd/resolved.conf：sudo nano /etc/systemd/resolved.conf找到 [Resolve] 段，把下面几行前面的注释（#）去掉并改成：[Resolve] DNS=8.160.173.68#dns.23-4.cn FallbackDNS=1.1.1.1#one.one.one.one DNSOverTLS=yes保存后同样 sudo systemctl restart systemd-resolved。两种方法效果完全一样，drop-in 的好处是更干净、不污染系统自带的主配置文件。常见坑与排查坑一：NetworkManager 接管了 DNS如果你用的是带桌面环境的 Ubuntu（GNOME），NetworkManager 可能会通过 DHCP 自动下发 DNS 服务器，把你手动配的 DNS= 覆盖掉。排查方法：运行 resolvectl status，看「Current DNS Server」是不是你自己设的 8.160.173.68。如果不是，说明 NetworkManager 给你的网卡分配了别的 DNS。解决办法：在 NetworkManager 里手动设置该连接的 DNS：打开「设置 → 网络 → 你的连接 → 详细信息 → IPv4」。把「DNS」改成手动，填入 8.160.173.68（本站 dns.23-4.cn）或 1.1.1.1。关掉「自动 DNS」开关。坑二：改了 resolv.conf 不生效记住：在 Ubuntu/Debian 上，直接编辑 /etc/resolv.conf 是没用的——它是软链接，重启或重新联网后会被 systemd-resolved 重新生成。你所有的配置都应该写在 resolved.conf 或 drop-in 文件里。坑三：开了 DoT 之后上不了网大概率是 # 后面的主机名写错了，导致 TLS 证书校验失败。排查方式：先把 DNSOverTLS 临时改成 opportunistic，重启服务。如果能上网了，说明就是证书校验的问题，检查主机名拼写。确认主机名正确后，再改回 yes。另外注意：DNSOverTLS=yes 需要服务器真的支持 DoT（监听 853 端口）。不是所有公共 DNS 都支持 DoT。本站的 dns.23-4.cn、Cloudflare（1.1.1.1）、Quad9（9.9.9.9）、Google（8.8.8.8）都支持。可以参考本站整理的 免费加密 DNS 地址列表。其他发行版的差异Fedora：默认也是 systemd-resolved，配置方法完全一样。Arch Linux：默认不一定启用 systemd-resolved，需要手动 sudo systemctl enable --now systemd-resolved 并把 /etc/resolv.conf 软链接到 /run/systemd/resolve/stub-resolv.conf。没有 systemd 的发行版（如 Alpine、部分嵌入式系统）：用不了 systemd-resolved，需要换 stubby、dnscrypt-proxy 等独立 DoT/DoH 客户端。常见问题 FAQQ：systemd-resolved 支持 DoH 吗？A：不支持。systemd-resolved 只支持 DoT（DNS over TLS），不支持 DoH。如果你在 Linux 上需要 DoH，得用 dnscrypt-proxy 或 cloudflared 这类第三方工具。DoT 和 DoH 都是 TLS 加密，安全性相当，DoT 配置更简单（systemd 原生支持）。Q：配置完需要重启电脑吗？A：不需要。sudo systemctl restart systemd-resolved 就够了。本地 DNS 缓存会清空，第一次查询会稍慢一点，之后就正常了。Q：DoT 会影响网速吗？A：DNS 查询本身只占极少量流量，DoT 多了一次 TLS 握手，但 systemd-resolved 有本地缓存，日常浏览几乎感觉不到延迟。如果你对速度有疑虑，可以看看本站的 私人 DNS 测速方法。Q：怎么恢复默认 DNS 设置？A：删掉你建的 drop-in 文件：sudo rm /etc/systemd/resolved.conf.d/99-opendns.conf，然后重启 systemd-resolved。如果你是直接改的主文件，把 DNS= 和 DNSOverTLS= 行前面重新加上 # 注释掉就行。参考来源freedesktop.org — resolved.conf.d 官方文档：支撑 DNS=、FallbackDNS=、DNSOverTLS=（yes/opportunistic/no）的参数定义，以及 IP地址#主机名 格式用于证书校验和 SNI 的官方说明。URL：https://www.freedesktop.org/software/systemd/man/latest/resolved.conf.d.htmlfreedesktop.org — systemd-resolved.service 官方文档：支撑 systemd-resolved 作为本地 DNS 存根解析器、监听 127.0.0.53、从 resolved.conf 读取全局 DNS 配置的架构说明。URL：https://www.freedesktop.org/software/systemd/man/latest/systemd-resolved.service.htmlDebian Manpages — systemd-resolved.service：支撑 systemd-resolved 作为本地存根解析器、维护 /run/systemd/resolve/stub-resolv.conf、监听 127.0.0.53:53 的官方手册页。URL：https://manpages.debian.org/testing/systemd-resolved/systemd-resolved.service.8.en.htmlDebian Manpages — resolved.conf：支撑 DNSStubListener、/etc/systemd/resolved.conf.d/ drop-in 配置目录及优先级说明的官方手册页。URL：https://manpages.debian.org/testing/systemd/resolved.conf.5.en.html相关阅读自建AdGuard Home教程：搭建属于自己的私人DNS服务器Alpine 轻量服务器初始化清单：时钟、Nginx、PHP 一篇配齐Windows 11/10私人DNS设置教程：开启DoH加密DNS（设置+注册表两种方法）私人DNS选DoT还是DoH？加密协议区别与设备兼容性选择指南免费加密DNS服务：DoH/DoT 地址与一键配置指南想现在就把电脑的 DNS 换掉？DoT 主机名 dns.23-4.cn、DoH 地址 https://dns.23-4.cn/dns-query，各系统步骤见私人 DNS 加密设置教程。
-
浏览器开启私人DNS教程：Chrome/Edge/Firefox 设置DoH Chrome / Edge / Firefox 的「自定义安全 DNS」框里，粘这个：https://dns.23-4.cn/dns-query。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR 一句话结论：Chrome、Edge、Firefox 三大桌面浏览器都内置了"安全 DNS"功能，本质就是 DoH（DNS over HTTPS），不用装任何插件。Chrome 路径：设置 → 隐私和安全 → 安全 → 使用安全 DNS；Edge 路径：设置 → 隐私、搜索和服务 → 安全 → 使用安全 DNS；Firefox 路径：设置 → 常规 → 网络设置 → 设置 → 启用 DNS over HTTPS。开启后浏览器自身的域名查询会走 HTTPS 加密通道，但只保护浏览器内的流量，不影响系统里其他 App。为什么要在浏览器里单独开 DoH？很多人以为在路由器或手机系统里设了私人 DNS 就够了。但现实是：你在公司网络、学校机房、酒店 Wi-Fi 下，往往碰不到路由器后台；公司发的笔记本也未必让你改系统 DNS。这时候浏览器内置的 DoH 就是你能自己掌控的最后一道防线——它只对浏览器自己生效，不需要管理员权限，点开开关就走加密通道。需要注意的是，浏览器 DoH 保护的范围仅限于浏览器发出的 DNS 查询，系统里其他软件（比如迅雷、Steam、各种客户端）依然走系统默认的明文 DNS。想全家/全系统加密，还是得靠路由器或系统级方案，这两者并不冲突，可以叠加使用。关于 DoH、DoT、DoQ 三种协议的区别，可以参考本站的协议对比文章。Google Chrome 怎么开启安全 DNSChrome 把这个功能叫"使用安全 DNS"，底层就是 DoH。按以下步骤操作：打开 Chrome，点击右上角三个点（⋮）→ 设置。左侧菜单选择 隐私和安全。点击 安全。往下滚到"高级"区域，找到 使用安全 DNS，打开开关。选择"使用当前服务提供商"（自动模式），或者选"自定义"，在下拉框里挑一个服务商（如 Cloudflare、Google），也可以直接填入你自己的 DoH URL。默认状态：Chrome 在自动模式下默认是开启的。如果你当前网络的 DNS 服务器支持 DoH，Chrome 会自动升级加密；如果不支持，就静默回退到明文，不会报错。但如果你选了"自定义"指定某个服务商，Chrome 就不会回退明文，一旦那个 DoH 服务器连不上，就会报"找不到服务器 IP 地址"的错误。注意：如果你的设备由公司统一管理（加入了域/MDM），或者开了家长控制，Chrome 会灰掉这个开关，你改不了——这是企业策略锁死的。Microsoft Edge 怎么开启安全 DNSEdge 基于 Chromium 内核，逻辑和 Chrome 几乎一样，但菜单位置稍有不同：打开 Edge，点击右上角三个点（⋯）→ 设置。左侧选择 隐私、搜索和服务。往下滚到"安全"区块。打开 使用安全 DNS 旁边的开关。然后选择"使用当前服务提供商"或者"选择服务提供商"，在下拉列表里挑一个（如 Cloudflare、Google DNS）。Edge 的安全 DNS 同样是 DoH 协议。开启后，Edge 在解析网站域名时会通过 HTTPS 加密发送查询，微软官方说明里提到这能帮助防范网络钓鱼和恶意软件——因为加密之后，中间人就没法把你劫持到钓鱼网站了。Mozilla Firefox 怎么开启 DoHFirefox 是最早大规模推送 DoH 的主流浏览器，设置入口和前两家不太一样：打开 Firefox，点击右上角菜单按钮（☰）→ 设置（或偏好设置）。在 常规 面板里，一直往下滚到"网络设置"。点击 设置… 按钮（在"网络设置"那一行的右侧）。在弹出的对话框里往下滚，找到 启用 DNS over HTTPS。勾选它，然后从下拉框选一个默认服务商（Mozilla 默认推荐 Cloudflare），或者选"自定义"填入你自己的 DoH 地址。点击"确定"保存。新版 Firefox（约 119 之后）把 DoH 入口挪到了左侧 隐私与安全 面板最下方的"DNS over HTTPS"区块，如果你在"常规"里找不到，就去左边栏点"隐私与安全"往下翻。默认状态：Firefox 在美国、加拿大等地区的桌面版默认就是开启的（fallback 模式：DoH 失败自动回退系统 DNS）。中国大陆版默认关闭，需要手动打开。三大浏览器对比浏览器菜单入口默认状态自定义服务商协议保护范围Chrome设置→隐私和安全→安全→使用安全DNS自动模式默认开启支持填 DoH URLDoH仅 Chrome 浏览器Edge设置→隐私、搜索和服务→安全→使用安全DNS跟随系统/默认开启支持下拉选择服务商DoH仅 Edge 浏览器Firefox设置→常规→网络设置→设置（或隐私与安全面板）部分地区默认开启支持填自定义 DoH URLDoH仅 Firefox 浏览器自定义 DoH 服务商地址怎么填？如果你选了"自定义"，需要填一个符合 RFC 8484 标准的 DoH URL。几个常用的免费 DoH 端点：本站 234 DNS：https://dns.23-4.cn/dns-query（国内节点，自带广告与跟踪器拦截，配好可以到 战报页 看拦截数据）Cloudflare：https://cloudflare-dns.com/dns-queryGoogle：https://dns.google/dns-queryQuad9：https://dns.quad9.net/dns-query阿里 DoH：https://dns.alidns.com/dns-query更多免费加密 DNS 地址可以参考本站整理的免费加密 DNS 地址清单。注意：浏览器 DoH 只认 https:// 开头的 URL，不认 IP 地址，也不认 DoT 的 853 端口形式。常见问题 FAQQ1：开了浏览器 DoH，还要不要在系统/手机上开私人 DNS？不冲突，建议都开。浏览器 DoH 只管浏览器；系统私人 DNS（安卓的"私人 DNS"、Windows 的 DoT 设置）管整个系统所有 App。两者叠加，覆盖更全面。Q2：开了浏览器 DoH 后某些网页打不开了怎么办？大概率是你选的那个 DoH 服务器在你当前网络下被墙了或者超时。解决办法：①换回"自动模式"让浏览器自己判断；②换一个国内能直连的 DoH 服务商（如阿里 DoH）；③临时关掉"使用安全 DNS"恢复明文。Q3：浏览器 DoH 和 VPN 会不会冲突？有可能。有些 VPN 客户端会自己接管系统 DNS，再叠加浏览器 DoH 可能导致解析异常。如果开了 VPN 后浏览器上不了网，可以先去浏览器设置里把"使用安全 DNS"关掉试试。Q4：Chrome 里找不到"使用安全 DNS"开关是怎么回事？先确认 Chrome 是不是最新版。如果是公司电脑/学校电脑，很可能被组策略或 MDM 锁死了——这种情况你改不了，需要找 IT 管理员。另外安卓和 iOS 版 Chrome 的 DoH 是跟随系统私人 DNS 的，没有独立开关。更多关于加密 DNS 的基础知识，可以从本站的加密 DNS 首页开始看。参考来源Google Chrome 帮助中心《管理 Chrome 的安全性》——支撑 Chrome"使用安全 DNS"的菜单路径（设置→隐私和安全→安全→高级）、自动模式默认开启及失败回退行为、受管理设备不可用等事实。https://support.google.cn/chrome/answer/10468685?hl=zh-HansMicrosoft 支持《在 Microsoft Edge 中安全地浏览 Web》——支撑 Edge 安全 DNS 的菜单路径（设置等→隐私、搜索和服务→安全→使用安全 DNS）及加密 DNS 查询防钓鱼的说明。https://support.microsoft.com/zh-cn/edge/securely-browse-the-web-in-microsoft-edgeMozilla 支持《Firefox DNS over HTTPS》——支撑 Firefox DoH 的开启/配置入口（常规→网络设置→设置→启用DNS over HTTPS）、默认推送地区、fallback 模式与风险说明。https://support.mozilla.org/en-US/kb/firefox-dns-over-httpsMozilla 支持《Configure DNS over HTTPS protection levels in Firefox》——支撑新版 Firefox DoH 保护级别设置及入口位置（隐私与安全面板）。https://support.mozilla.org/en-US/kb/dns-over-https/revision/331342相关阅读Windows 11/10私人DNS设置教程：开启DoH加密DNS（设置+注册表两种方法）macOS私人DNS设置教程：Mac 配置DoT/DoH加密DNS私人DNS选DoT还是DoH？加密协议区别与设备兼容性选择指南DoH、DoT、DoQ：三种加密 DNS 协议，到底该选哪个？免费加密DNS服务：DoH/DoT 地址与一键配置指南想现在就把电脑的 DNS 换掉？DoT 主机名 dns.23-4.cn、DoH 地址 https://dns.23-4.cn/dns-query，各系统步骤见私人 DNS 加密设置教程。
-
智能电视和电视盒子怎么设置私人DNS？安卓TV 图文教程 电视改不了 DNS 也没关系——在路由器里把 DoT 上游设成 dns.23-4.cn，电视自己就跟着走了。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR 一句话结论：不是所有智能电视/电视盒子都有"私人 DNS"开关。原生安卓 TV（如 Google TV、Nvidia Shield、部分外贸盒子）在 设置 → 网络和互联网 → 私人 DNS 里可以填 DoT 主机名；但国内大部分定制系统（小米盒子、当贝、天猫魔盒、运营商 IPTV 盒子）都把这个入口阉割掉了。找不到选项时，最现实的办法是在路由器上统一改 DNS（或旁路由跑 AdGuard Home），让电视自动跟着走，不用动电视本身。先搞清楚：你的电视/盒子是什么系统？智能电视和电视盒子的"私人 DNS"支持情况，比手机复杂得多。因为厂商五花八门，系统版本从安卓 7 到安卓 14 都有，而且国内厂商普遍会把原生安卓的功能砍掉一大半。动手前先对号入座：原生安卓 TV / Google TV：Sony 部分新款、Nvidia Shield、Chromecast with Google TV、部分外贸盒子，这类设备最接近原生安卓，私人 DNS 入口基本都在。国内定制安卓：小米盒子/小米电视、当贝盒子、极米/坚果投影仪、天猫魔盒、腾讯极光盒子等，系统是厂商二次定制的，很多把"私人 DNS"藏起来或干脆删掉。运营商 IPTV 盒子：移动/联通/电信送的机顶盒，系统锁得最死，基本没有任何 DNS 自定义入口。非安卓系统：Apple TV、三星 Tizen、LG webOS、海信自研系统，这些压根没有"私人 DNS"这个概念。下面按情况分别说。情况一：有"私人 DNS"入口的盒子怎么设基于 Android 9 及以上版本的原生安卓 TV，私人 DNS 用的是 DoT（DNS over TLS）协议。通用步骤如下：打开电视/盒子的 设置（一般在主界面右上角齿轮图标，或按遥控器设置键）。进入 网络和互联网（有的版本叫"网络"或"WLAN"）。找到 私人 DNS（英文是 Private DNS）。如果首页没看到，就进"高级"或者用设置里的搜索框搜"DNS"。选择 专用 DNS 提供商主机名（或叫"私人 DNS 提供方主机名"）。填入一个支持 DoT 的 DNS 主机名，例如：本站 234 DNS（推荐）：dns.23-4.cn —— 国内节点，自带广告与跟踪器拦截阿里公共 DNS：dns.alidns.comCloudflare：one.one.one.oneGoogle：dns.googleQuad9：dns.quad9.net点 保存，等几秒钟生效。注意：这里填的是主机名，不是 IP 地址。DoT 靠域名做证书校验，填 IP 是不行的。这一点和手机上的私人 DNS 完全一致，安卓端的排查思路可以参考本站的安卓私人 DNS 排查文章。情况二：找不到"私人 DNS"选项怎么办？（多数人遇到的情况）如果你在设置里翻遍了也找不到"私人 DNS"，基本可以断定是你的电视厂商把这个入口阉割了。这时候不要硬找，直接走下面两条路：方案 A：在路由器上统一改 DNS（最推荐）既然电视自己改不了，那就让路由器把正确的 DNS 地址通过 DHCP 下发给所有设备——包括电视。这样电视什么都不用动，连上 Wi-Fi 就自动用新 DNS。具体怎么在 TP-Link、小米路由器、OpenWrt 上设置，以及"路由器填 IP ≠ 加密"的概念辨析，我们在路由器设置私人 DNS 教程那篇里详细讲过。这里只说结论：如果只是想换个更快/更少劫持的 DNS，在路由器 DHCP 里填 223.5.5.5 这类公共 DNS IP 即可，电视自动跟着走。如果想要真加密，需要刷 OpenWrt 用 Stubby 做 DoT 上游，或者旁路由跑 AdGuard Home。方案 B：旁路由跑 AdGuard Home（进阶）如果主路由不能刷 OpenWrt，可以用一台旧手机、树莓派或者便宜的小主机跑 AdGuard Home，作为旁路由接进家里网络。主路由把 DHCP 的 DNS 指向这台旁路由，电视就自动用上了加密 DNS + 广告过滤。这种方式对电视本身零要求，哪怕是十年前的老盒子也能受益。在电视 Wi-Fi 里改 DNS，算不算私人 DNS？很多电视/盒子在"已连接 Wi-Fi → 修改网络 → 高级选项 → IP 设置改成静态"里，允许你手填 DNS 1 和 DNS 2。这里要泼一盆冷水：这只是把明文 DNS 换成另一个明文 DNS 服务器，不是加密。 和路由器 WAN 口填 1.1.1.1 是一个道理。你填了 8.8.8.8，查询依然走 53 端口裸奔，运营商和中间设备照样能看到你查了什么域名，照样能劫持。想真加密，必须走 DoT（853 端口）或 DoH（443 端口），而电视静态 Wi-Fi 设置里填不了主机名，也选不了协议。用第三方 App 给电视加 DoH 可行吗？理论上可行——安卓 TV 上确实有一些 DoH/DoT 客户端 App（比如基于 Intra、1.1.1.1 App 的电视版）。但实际体验很劝退：国内电视盒子大多没有 Google Play，装 App 要自己找 APK、用 U 盘侧载或者 adb 命令推。电视系统后台管控很严，这类 VPN 模式的 App 经常被系统杀进程，看一集视频就断了。每台电视都要单独装、单独配，家里三台电视就要折腾三遍，远不如路由器一次搞定。所以除非你就一台盒子、且动手能力很强，否则不推荐在电视上装 App 实现加密 DNS，走路由器/旁路由方案省心得多。不同设备对照设备类型有"私人 DNS"入口吗推荐方案原生安卓 TV / Google TV有，在网络和互联网里直接填 DoT 主机名国内定制安卓盒子（小米/当贝等）多数被阉割，找不到路由器 DHCP 下发 / 旁路由运营商 IPTV 盒子几乎都没有只能路由器层解决Apple TV / 三星 Tizen / LG webOS无此功能只能路由器层解决电视里改静态 Wi-Fi 的 DNS—只是换明文服务器，不算加密常见问题 FAQQ1：我在电视 Wi-Fi 高级设置里把 DNS 改成了 1.1.1.1，这算私人 DNS 吗？不算。这只是把明文 DNS 服务器从运营商换成了 Cloudflare，查询依然是明文的。私人 DNS 的核心是"加密"（DoT/DoH），不是"换地址"。Q2：电视开了私人 DNS 后，看视频会卡吗？走 DoT 加密后理论上多了一层 TLS 握手，首次解析可能略慢，但通常在几十毫秒内，看在线视频几乎感知不到。如果选了国外服务器（如 Cloudflare 1.1.1.1）在国内可能反而慢，建议优先选本站的 dns.23-4.cn 或阿里 DoT（dns.alidns.com）这种国内有节点的。Q3：怎么快速判断我的电视有没有私人 DNS 选项？进设置后直接在设置里搜"私人 DNS"或"Private DNS"。搜得到就按情况一操作；搜不到就是被厂商阉割了，直接走路由器方案。不同厂商系统位置可能略有差异，实在找不到可以查对应品牌的官方说明书。Q4：运营商送的 IPTV 盒子能不能破解出私人 DNS？不建议。运营商盒子系统锁得很死，强行破解可能导致 IPTV 直播功能失效，甚至变砖。最稳妥的办法就是在家庭路由器层统一做 DNS 加密，盒子自动跟着受益，不用动盒子本身。更多设备端的私人 DNS 设置教程，可以浏览本站的 私人 DNS 设置教程合集。参考来源Google Android 帮助《管理 Android 手机上的高级网络设置》——支撑"私人 DNS"官方入口路径（设置→网络和互联网→专用 DNS）、三个选项（关闭/自动/专用DNS提供商主机名）及"专用DNS只保障DNS问答数据安全"的说明。https://support.google.com/android/answer/9654714?hl=zh-HansCloudflare 开发者文档《Set up 1.1.1.1 on Android》——支撑 Android 9+ 通过 Private DNS 使用 DoT、设置路径（Settings > Network & internet > Advanced > Private DNS）及主机名形式（非IP）的事实。https://developers.cloudflare.com/1.1.1.1/setup/android/Google Public DNS 开发者文档《Get started》——支撑 Android 私人 DNS 使用 DoT 协议、填写 dns.google 作为主机名的配置方式。https://developers.google.com/speed/public-dns/docs/using相关阅读路由器设置私人DNS教程：全家设备统一加密DNS（小米/TP-Link/OpenWrt）浏览器开启私人DNS教程：Chrome/Edge/Firefox 设置DoH安卓原生私人DNS在哪设置？Android 9+ 私人DNS入口与hostname写法用私人DNS拦截广告：DNS广告过滤原理与开启方法私人 DNS 加密设置教程还没开始用？安卓 / 鸿蒙在「私人 DNS 提供商主机名」里填 dns.23-4.cn，30 秒生效，全程加密外加广告拦截——完整配置教程。
