搜索到 38 篇 分类为 网络与 DNS 的文章
-
iPhone私人DNS设置教程：iOS 用描述文件开启DoT加密DNS iPhone 也不用羡慕安卓——我们做好了现成的描述文件，装上就把系统 DNS 指向 dns.23-4.cn，不用装任何 App。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR：iPhone（iOS/iPadOS）没有安卓那种系统级「私人DNS」开关。要在 iPhone 上使用加密DNS（DoT 或 DoH），唯一的官方途径是安装一份配置描述文件（.mobileconfig）。本文先给出本站自建的现成描述文件（DoT，指向 dns.23-4.cn，一条链接装完，不需要信任任何根证书），再以 AdGuard DNS 官方描述文件为例讲清楚通用流程。整个过程大约 5 分钟。为什么iPhone不像安卓那样有私人DNS开关这是很多从安卓换到iPhone的用户最大的困惑：我在安卓上三两下就能开好私人DNS，到了iPhone翻遍「设置」也找不到。原因很简单——苹果在 iOS 14 开始才原生支持加密DNS，但它没有给普通用户开放手动填写hostname的入口。苹果的设计思路是：加密DNS属于「系统级网络配置」，要么由 MDM（移动设备管理）企业推送，要么由 App 通过 NetworkExtension 接口实现，要么通过安装一份现成的配置描述文件来完成。对普通个人用户来说，安装描述文件是最简单、最不需要技术基础的方式。描述文件本质上是一个 XML 格式的配置包（后缀 .mobileconfig），里面写好了你要用的 DoT/DoH 服务器地址、协议类型、证书等信息。iPhone 读取后就会把系统DNS切换到加密通道。准备工作开始之前，请确认以下几点：你的 iPhone 系统版本在 iOS 14 或以上（iPhone 6s 及更新机型均可升级）。更早的系统不支持加密DNS描述文件。你需要用 Safari 浏览器打开描述文件下载页面（用微信或其他浏览器打开可能无法触发安装流程）。记住你的锁屏密码，安装描述文件时需要输入。第一步：下载加密DNS描述文件方案 A：直接用本站的描述文件（推荐，30 秒）本站已经生成好了一份 DoT 描述文件，指向 dns.23-4.cn，装上即生效：打开 iPhone 上的 Safari 浏览器；访问：https://www.23-4.cn/ios-dns.mobileconfig弹出「此网站正尝试下载一个配置描述文件」时点「允许」；剩下的安装步骤与下面方案 B 的第二步完全一样。这份描述文件用的是 DoT 协议，证书由 Let's Encrypt 签发、iOS 原生信任，所以不需要做第三步的「信任根证书」操作。装完即加密，同时自带广告与跟踪器拦截。装好后可以打开 234 DNS 战报页 看自己的实时解析与拦截数据。方案 B：用第三方公共 DNS 的描述文件如果你更想用别的服务商，可以以 AdGuard 官方公共DNS为例，它提供免费、可直接下载的 DoT/DoH 描述文件，不需要注册。打开 iPhone 上的 Safari 浏览器。访问 AdGuard 公共DNS页面：https://adguard-dns.io/en/public-dns.html页面往下滑，找到 iOS 板块。选择你想要的DNS服务器类型：Default server：拦截广告和跟踪器Non-filtering server：不过滤任何内容，纯加密（推荐只想要隐私保护的用户）Family protection：拦截广告+成人内容+安全搜索选好后点击 「Download configuration profile」（下载配置描述文件）按钮。Safari 会弹出提示：「此网站正尝试下载一个配置描述文件，要允许吗？」，点「允许」。如果你想自定义（比如排除某些Wi-Fi网络不走加密DNS），可以点「Open profile constructor」进入定制页面，选择协议类型（DoT 或 DoH）后再下载。第二步：在设置中安装描述文件下载完成后，描述文件并不会自动安装，你需要手动确认：打开 iPhone 自带的「设置」App。在设置首页顶部，你会看到一条「已下载描述文件」（Profile Downloaded）的提示，点进去。如果没看到这条提示，手动进入「设置 → 通用 → VPN与设备管理」，在「已下载的描述文件」下方找到刚才下载的 AdGuard DNS 描述文件，点它。进入描述文件详情页后，点右上角的「安装」。系统会要求输入你的锁屏密码，输入继续。接下来会弹出警告，说明该描述文件将被安装，再次点右上角「安装」确认。等待几秒，屏幕顶部出现「已安装」字样即表示描述文件安装成功，点「完成」。第三步：手动信任根证书（关键！很多人卡在这一步）这是iPhone加密DNS流程里最容易被忽略、但又最关键的一步。描述文件装好了不代表立刻生效——如果描述文件里包含根证书，iOS出于安全考虑，默认不信任手动安装的根证书，必须手动打开信任开关。操作路径：打开「设置」→「通用」。滑到页面最底部，点「关于本机」。一直滑到最底部，找到「证书信任设置」（Certificate Trust Settings），点进去。你会看到一个叫「针对根证书启用完全信任」的区域，下面列出了你刚安装的描述文件带来的证书（通常名字里带 AdGuard 或 DNS）。打开该证书对应的开关，在弹出的确认框中点「继续」。完成这一步后，加密DNS通道才真正建立起来。如果你跳过了这步，DNS查询可能仍然走明文，或者直接报错。第四步：验证加密DNS是否生效怎么确认iPhone已经在用加密DNS了？打开 Safari，访问 https://1.1.1.1/help（Cloudflare 的检测页）。页面会自动检测你的网络环境，其中「Using DNS over HTTPS (DoH)」或「Using DNS over TLS (DoT)」一项显示 Yes，就说明加密DNS已经生效。如果装的是本站描述文件，打开 234 DNS 战报页 能看到自己的查询记录，就是最直接的证据。也可以进入「设置 → 通用 → VPN与设备管理」，在「描述文件」一栏看到你刚才安装的 AdGuard DNS 描述文件，说明它处于激活状态。如果想临时关闭，在同一描述文件详情页点「删除描述文件」即可恢复默认DNS。iPhone加密DNS的几种实现方式对比除了本文介绍的描述文件方式，iPhone上还有其他实现加密DNS的途径，简单对比一下：方式原理优点缺点配置描述文件系统级DNS配置免费、原生、不耗电需要手动装证书DNS类App（如1.1.1.1、AdGuard App）通过VPN隧道接口实现图形界面友好、可一键开关后台常驻，略有耗电路由器级加密DNS在路由器上配DoT/DoH所有设备统一生效需要路由器支持描述文件方式是苹果官方支持的、最干净的方案——它不依赖任何App后台运行，重启手机后依然生效。如果你还不确定 DoT 和 DoH 该选哪个，可以先阅读DoH/DoT/DoQ 三种加密协议对比了解区别，再回到本教程选择对应的描述文件。常见问题（FAQ）问：iPhone 支持 DoH 吗？和 DoT 有什么区别？答：支持。从 iOS 14 开始，苹果同时支持 DoT（DNS over TLS）和 DoH（DNS over HTTPS）两种加密协议，都可以通过描述文件配置。两者加密效果类似，主要区别在于端口和兼容性——DoT 用 853 端口，部分老旧防火墙可能拦截；DoH 走 443 端口，和正常网页流量混在一起更难被屏蔽。如果不确定选哪个，DoH 的兼容性通常更好。问：不装描述文件，iPhone 能开私人DNS吗？答：不能。苹果没有在系统设置里给普通用户开放手动填写DoT主机名的入口。你要么装描述文件，要么装一个通过 NetworkExtension 实现加密DNS的App（如 Cloudflare 的 1.1.1.1 App、AdGuard App），没有第三种「开关式」的方法。问：安装描述文件安全吗？会不会被监控？答：只要你从官方来源（如 AdGuard、Cloudflare、Google 官方页面）下载描述文件，就是安全的。描述文件只修改你的DNS解析服务器地址，不会读取你的其他数据。但不要从不明第三方网站下载描述文件，因为恶意描述文件可能包含VPN配置、证书等，存在风险。问：换了Wi-Fi或者用蜂窝数据，加密DNS还生效吗？答：生效。描述文件配置的是系统级DNS，Wi-Fi 和蜂窝移动数据都走同一条加密通道，不需要分别设置。如果你在描述文件构造器里排除了某些Wi-Fi名称，那在那些Wi-Fi下会自动回退到明文DNS。参考来源Apple 官方支持 - 在 iPhone 上安装或移除配置描述文件 —— 支撑文中「设置 → 通用 → VPN与设备管理」查看和安装描述文件的流程。Apple 官方支持 - 手动安装的证书描述文件如何开启信任 —— 支撑文中「设置 → 通用 → 关于本机 → 证书信任设置」手动信任根证书的步骤。Apple Developer 文档 - DNSSettings Payload —— 支撑文中 iOS 14+ 通过描述文件配置 DoT/DoH 的技术事实。AdGuard DNS 官方页面 - Connect to public AdGuard DNS servers（iOS板块） —— 支撑文中下载AdGuard描述文件、选择服务器类型、安装步骤的具体操作。相关阅读macOS私人DNS设置教程：Mac 配置DoT/DoH加密DNS安卓/苹果/Windows 私人DNS设置教程合集（30 篇）私人DNS提示证书错误、不受信任怎么解决？私人 DNS 加密设置教程免费加密DNS服务：DoH/DoT 地址与一键配置指南还没开始用？安卓 / 鸿蒙在「私人 DNS 提供商主机名」里填 dns.23-4.cn，30 秒生效，全程加密外加广告拦截——完整配置教程。 -
安卓原生私人DNS在哪设置？Android 9+ 私人DNS入口与hostname写法 原生安卓的「私人DNS主机名」栏位，最推荐的填法就是 dns.23-4.cn。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR：安卓原生（Pixel 等）私人DNS入口在「设置 → 网络和互联网 → 高级 → 私人DNS」。它是 Android 9 Pie 开始引入的系统级功能，底层就是 DNS over TLS（DoT）。选「指定私人DNS主机名」，填入 dns.23-4.cn 即可。关键：必须填域名，不能填IP，这是官方硬性要求。什么是安卓原生私人DNS私人DNS（Private DNS）是 Google 在 Android 9（Pie，API Level 28）中正式加入系统的加密DNS功能。它的作用是把手机所有的域名查询请求通过 TLS 协议加密后发送给指定的DNS服务器，防止运营商、公共Wi-Fi监听者篡改或窃听你的DNS查询。在安卓原生系统（Stock Android，代表机型是 Google Pixel 系列）上，这个功能从设置第一天起就摆在明面上，不需要Root、不需要装任何App。国内各品牌（小米、华为、三星、OPPO、vivo、荣耀）的系统都是基于安卓深度定制的，虽然底层都支持DoT，但菜单名称和位置各不相同——这也是为什么各品牌要单独出教程。原生安卓私人DNS的三种模式进入私人DNS设置页后，你会看到三个选项：模式英文行为说明关闭Off完全不使用加密DNS，所有查询走网络分配的默认明文DNS自动Automatic系统自动探测当前网络是否支持DoT，支持就加密，不支持就回退明文指定私人DNS主机名Private DNS provider hostname手动指定一个DoT服务器域名，强制所有查询走加密通道普通用户建议直接选第三项「指定私人DNS主机名」，效果最明确、最可控。「自动」模式看似省事，但在很多国内网络环境下要么探测不到、要么来回切换不稳定。原生安卓私人DNS入口位置（Pixel 等）不同安卓小版本菜单位置可能略有调整，但总体路径如下：打开「设置」App。找到「网络和互联网」（Network & Internet），有些版本叫「网络和Internet」。点击「高级」（Advanced）展开折叠菜单。点击「私人DNS」（Private DNS）。如果你的安卓版本把入口收得更深，可以直接在设置首页顶部搜索框输入「私人DNS」或「Private DNS」，一步到位。各品牌定制系统虽然界面不同，但搜索功能一般都保留了。hostname怎么填：必须是域名，不能是IP这是新手最容易踩的坑。安卓私人DNS的输入框叫「主机名」（hostname），它只接受域名形式，不能填 8.8.8.8 这种IP地址。原因在于 DoT 的工作机制：手机要和DNS服务器建立 TLS 加密连接，TLS握手时会校验服务器证书上的域名是否和你填写的主机名一致。IP地址没有对应的证书，填上去系统会直接报「无法连接」或一直转圈。常用的DoT主机名速查表：服务商DoT主机名特点234 DNS（本站自建，推荐）dns.23-4.cn国内节点、自带广告与跟踪器拦截、DoT/DoH 双协议Google Public DNSdns.google全球节点，海外服务解析快Cloudflareone.one.one.one零日志，隐私优先Cloudflare（备用写法）1dot1dot1dot1.cloudflare-dns.com同上，部分App教程用这个写法AdGuard（去广告）dns.adguard-dns.com拦截广告和跟踪器AdGuard（不过滤）unfiltered.adguard-dns.com纯加密，不拦截任何请求Quad9dns.quad9.net恶意网站防护腾讯DNSPoddot.pub国内节点，国内访问稳定阿里公共DNSdns.alidns.com国内节点填好后点「保存」，系统会立即尝试连接。连接成功后没有任何提示音或弹窗，但状态已经切换。怎么验证私人DNS是否生效设置完成后，可以用以下方法确认：系统状态确认：再次进入「设置 → 网络和互联网 → 高级 → 私人DNS」，确认选中的是「指定私人DNS主机名」，下方显示你填写的域名。在线检测：用浏览器访问 https://1.1.1.1/help，页面会显示「Using DNS over TLS (DoT)」是否为 Yes。想看得更细，打开 234 DNS 战报页 就能看到自己这台设备查过哪些域名、被拦了多少。实际体验：打开几个常用App和网页，如果都能正常加载，说明DNS解析正常工作。设置后连不上网怎么办（快速排查）如果你填完hostname保存后发现微信、浏览器都打不开，大概率是以下三个原因：服务器在国内网络下不通：dns.google、one.one.one.one 这类海外DoT服务器在国内可能被阻断或延迟极高。换成 dns.23-4.cn 或 dot.pub 这类国内地址试试。填了IP而不是域名：回到设置页检查输入框，确认填的是完整域名，不要带 https:// 前缀，不要带端口号，不要填IP。Wi-Fi网络本身有问题：先把私人DNS切回「关闭」，看是否恢复上网。如果恢复了，就说明确实是DNS服务器的问题，不是网络断了。更完整的排查步骤（包括证书错误、特定App连不上、换机迁移等场景），请参考这篇专门的排查指南：安卓手机私人DNS连不上的排查全流程。私人DNS和DoH是什么关系很多人会把「私人DNS」和「DoH」混为一谈，这里简单厘清：私人DNS是安卓系统里的一个功能开关名称，它底层只实现了 DoT（DNS over TLS），不支持 DoH。DoH（DNS over HTTPS）是另一种加密DNS协议，走443端口。安卓原生私人DNS不支持DoH，如果你需要DoH，得靠浏览器内置（Chrome/Firefox）或第三方App实现。想深入了解两种协议的区别和怎么选，可以阅读DoH/DoT/DoQ 三种加密协议对比。另外，本站也整理了一份免费加密DNS服务地址与一键配置清单，可以直接抄作业。常见问题（FAQ）问：安卓哪个版本开始有私人DNS？我的手机是Android 8.1能用吗？答：私人DNS从 Android 9（Pie）开始引入。Android 8.1 及更早的系统没有这个系统级开关，只能靠第三方App实现加密DNS。可以在「设置 → 关于手机」里查看Android版本号。问：私人DNS对所有App都生效吗？包括微信、抖音这些？答：是的。私人DNS是系统级功能，所有走系统DNS解析的App都会经过加密通道。但如果某个App内置了自己的DNS解析器（硬编码服务器地址），它可能绕过系统私人DNS，这种情况比较少见。问：我填了 dns.google，为什么国内网站打开反而慢了？答：Google Public DNS 的节点主要在海外，国内域名解析时它返回的可能是海外CDN节点IP，导致访问变慢。国内用户建议优先用 dns.23-4.cn（本站）或 dot.pub（腾讯）这类国内节点，访问国内网站更快更稳。参考来源Android Developers - Android 9 行为变更（Private DNS / DNS over TLS） —— 支撑文中 Android 9 引入 Private DNS、底层为 DoT 的官方事实。Google Public DNS 官方文档 - DNS over TLS 设置步骤 —— 支撑文中 dns.google 主机名、Android 9+ 配置路径。Google Public DNS 官方文档 - 使用 Android 私人DNS —— 支撑文中「设置 → 网络和互联网 → 高级 → 私人DNS」路径及 hostname 填写方式。Cloudflare 1.1.1.1 官方文档 - DNS over TLS —— 支撑文中 one.one.one.one 作为 DoT 主机名。相关阅读小米手机私人DNS怎么设置？MIUI/HyperOS 图文教程（三步开启DNS加密）华为手机私人DNS设置教程：HarmonyOS 开启加密DNS的完整步骤私人DNS选DoT还是DoH？加密协议区别与设备兼容性选择指南私人DNS不生效怎么办？多设备通用排查方法与常见原因安卓手机私人 DNS 连不上的排查全流程还没开始用？安卓 / 鸿蒙在「私人 DNS 提供商主机名」里填 dns.23-4.cn，30 秒生效，全程加密外加广告拦截——完整配置教程。
-
Windows 11/10私人DNS设置教程：开启DoH加密DNS（设置+注册表两种方法） Windows 11 用户可以直接把 DNS 服务器指到 8.160.173.68，再把 DoH 模板填成 https://dns.23-4.cn/dns-query。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR： Windows 11 已原生支持 DoH（DNS over HTTPS），在「设置 → 网络和 Internet → Wi-Fi/以太网 → DNS 服务器分配」里手动指定 DNS 后即可选择加密模式；Windows 10 原生界面没有 DoH 开关，需要通过注册表 EnableAutoDoh 或第三方工具开启。本文分别给出两种方法的完整步骤、适用版本对比和验证方式。Windows 11 怎么设置私人 DNS（图形界面方法）Windows 11（22H2 及以上版本）在系统设置里直接集成了 DoH 开关，这是最推荐的方式，不需要改注册表。第一步：打开网络设置按下 Win + i 打开「设置」。左侧选择「网络和 Internet」。根据你当前的联网方式，点击「Wi-Fi」或「以太网」。点击你正在连接的网络名称（Wi-Fi 需要点击已连接网络右边的箭头或「属性」）。第二步：手动指定 DNS 服务器找到「DNS 服务器分配」，点击右侧的「编辑」。在弹出的编辑窗口里，把「自动（DHCP）」改成「手动」。打开 IPv4 开关。在「首选 DNS」框里填入支持 DoH 的 DNS 服务器 IP。想用本站的服务就填 8.160.173.68（备用可留空）；想用别家的话，Cloudflare 的 1.1.1.1、Google 的 8.8.8.8 也都支持 DoH。注意：只有 Windows 内置「已知 DoH 服务器列表」里的 IP 地址，加密下拉框才会被点亮。如果你填的 DNS 不在列表中（比如本站的 8.160.173.68），需要选「手动模板」并填入 DoH 地址 https://dns.23-4.cn/dns-query。第三步：开启 DNS 加密填完 DNS IP 后，下方会出现「DNS over HTTPS」（或「DNS 加密」）下拉菜单。三个选项的含义如下：选项说明关闭（Off）DNS 请求明文发送，不加密开启（自动模板）自动使用 Windows 内置的 DoH 模板，推荐新手选这个开启（手动模板）手动填写 DoH 服务器地址（HTTPS URL），适合自建或小众 DNS如果你选了「自动模板」，模板地址一般会自动补全（例如 https://cloudflare-dns.com/dns-query）。用本站服务的话请选「手动模板」，填 https://dns.23-4.cn/dns-query。「回退到明文」开关：建议关闭。关闭后如果 DoH 连不上，DNS 请求会直接失败而不是降级成明文——这样就不会被偷偷降级。对 IPv6 做同样的操作（如果你用 IPv6）。点击「保存」。设置完成后不需要重启电脑，DNS 加密立即生效。Windows 10 怎么开启私人 DNS（注册表方法）Windows 10 原生设置界面不支持 DoH——微软官方文档明确写了「DNS over HTTPS setting is not available in Windows 10」。这是 Windows 11 才加进图形界面的功能。但 Windows 10 的较新版本（20H2 及以上）底层其实已经支持 DoH，只是没有界面开关。你可以通过注册表手动开启。方法一：注册表开启自动 DoH 升级按下 Win + R，输入 regedit，回车打开注册表编辑器。定位到以下路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters在右侧找到（或新建）一个名为 EnableAutoDoh 的 DWORD（32 位）值：0 = 关闭自动 DoH（默认）1 = 开启 DoH，但允许明文回退2 = 强制 DoH，尽量不降级推荐设为 2。重启 DNS 客户端服务（以管理员身份打开命令提示符）：net stop dnscache && net start dnscache然后回到网络设置，手动把 DNS 改成 8.160.173.68（本站）或 1.1.1.1 这类支持 DoH 的服务器 IP。这个注册表项的作用是：当你手动指定了一个「已知支持 DoH」的 DNS IP 时，Windows 会自动把它升级成 DoH 连接。它不会帮你凭空创造 DoH 地址。方法二：第三方工具（适合小白）如果你觉得改注册表太麻烦，Windows 10 用户也可以用第三方工具一键开启 DoH，例如：Cloudflare 1.1.1.1 应用：官方客户端，安装后勾选加密 DNS 即可。AdGuard for Windows：自带 DoH/DoT 开关，还能顺便过滤广告。这些工具本质上是在本地跑一个加密 DNS 代理，把系统 DNS 指向本地代理端口，效果和系统级 DoH 一致。两种方法对比对比项Windows 11 图形界面Windows 10 注册表适用系统Windows 11 22H2+Windows 10 20H2+操作难度简单（点鼠标）中等（改注册表）是否需要第三方软件不需要不需要（或用第三方工具）加密协议仅 DoH仅 DoH加密开关位置设置→网络→DNS注册表 + 系统设置推荐人群Win11 用户Win10 用户、进阶用户怎么验证私人 DNS 是否生效？方法一：用浏览器检测打开浏览器，访问 Cloudflare 的加密 DNS 检测页 https://1.1.1.1/help，页面会显示「Using DNS over HTTPS (DoH)」是否为 Yes。用本站服务的话，也可以打开 234 DNS 战报页 直接看自己的查询与拦截记录。方法二：用 nslookup 看端口打开命令提示符，运行：nslookup example.com这个命令本身看不出是否加密，但你可以配合 PowerShell 或资源监视器确认 DNS 走的是 443 端口（DoH）而不是 53 端口（明文）。更直观的方式是装一个 Wireshark，过滤 tcp.port == 853（DoT）或 tcp.port == 443 看有没有 DNS-over-HTTPS 流量。方法三：检查系统 DNS 状态以管理员身份打开 PowerShell，运行：Get-DnsClientServerAddress可以看到当前各网卡的 DNS 服务器 IP，确认你设置的地址已经生效。常见问题 FAQQ：设置了 DoH 但还是显示明文，怎么办？A：先确认你填的 DNS IP 在 Windows 已知 DoH 服务器列表里。可以打开注册表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters\DohWellKnownServers 查看内置列表。不在列表里的 IP 必须选「手动模板」并填写完整 DoH URL。Q：Windows 10 真的完全不能用 DoH 吗？A：原生界面没有开关，但 20H2 以后的版本底层协议已支持。通过注册表 EnableAutoDoh=2 或第三方客户端（Cloudflare App、AdGuard）都可以实现加密。如果你的 Win10 版本太老，建议升级系统或直接用第三方工具。Q：DoH 和 DoT 有什么区别？Windows 支持哪个？A：Windows 目前原生只支持 DoH（基于 HTTPS/443 端口），不原生支持 DoT（853 端口）。关于两种协议的详细对比，可以参考本站的 DoH/DoT/DoQ 协议对比文章。Q：开了 DoH 之后网速变慢了正常吗？A：DoH 多了一层 TLS 加密握手，首次查询可能略慢。但 Windows 有本地 DNS 缓存，日常浏览感知不明显。如果明显变慢，可以换一个离你近的公共 DNS，或者看看 免费加密 DNS 地址推荐 选个更快的节点。参考来源Microsoft Support — Essential Network Settings and Tasks in Windows：支撑 Windows 11 图形界面 DoH 设置路径、Off/On automatic template/On manual template 三个选项的含义、以及「DNS over HTTPS setting is not available in Windows 10」的官方说明。URL：https://support.microsoft.com/en-US/Windows/Experience/Connectivity-Networking/essential-network-settings-and-tasks-in-windowsMicrosoft Learn Q&A — DoH error during the configuration process：支撑注册表路径 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters 及 EnableAutoDoh=2 的配置方法。URL：https://learn.microsoft.com/en-us/answers/questions/6fc0a8f3-b374-44fa-b784-013a698b1cb7/doh-error-during-the-configuration-processMicrosoft Learn — netsh dnsclient 命令参考：支撑 netsh dnsclient add encryption 命令格式与 DoH 加密配置的官方命令行方法。URL：https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/netsh-dnsclientMicrosoft Learn Q&A — Windows 10 Pro 22H2 does not support DoH via Settings/netsh：支撑 Windows 10 原生不支持 DoH 图形界面与 netsh 加密命令的说明。URL：https://learn.microsoft.com/en-my/answers/questions/4376537/netsh-encryption-commands-are-missing相关阅读macOS私人DNS设置教程：Mac 配置DoT/DoH加密DNSLinux私人DNS设置教程：Ubuntu/Debian 配置DoT（systemd-resolved详解）浏览器开启私人DNS教程：Chrome/Edge/Firefox 设置DoH私人DNS选DoT还是DoH？加密协议区别与设备兼容性选择指南免费加密DNS服务：DoH/DoT 地址与一键配置指南想现在就把电脑的 DNS 换掉？DoT 主机名 dns.23-4.cn、DoH 地址 https://dns.23-4.cn/dns-query，各系统步骤见私人 DNS 加密设置教程。
-
macOS私人DNS设置教程：Mac 配置DoT/DoH加密DNS Mac 装描述文件之前，先记下我们的三个地址：DoT 主机名 dns.23-4.cn、DoH https://dns.23-4.cn/dns-query。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR： Mac 的「系统设置 → 网络 → DNS」里只能填普通明文 DNS IP，没有加密开关。要在 Mac 上使用 DoT（DNS over TLS）或 DoH（DNS over HTTPS），需要安装一个网络配置描述文件（.mobileconfig），或者直接装第三方应用（如 AdGuard for Mac、Cloudflare 1.1.1.1）。macOS Big Sur（11.0）及以上版本系统原生支持加密 DNS，但 Apple 没有在图形设置里暴露开关，全部走描述文件或 App。Mac 系统设置里的 DNS 只能设普通 DNS先说结论，避免你白找半天：打开「系统设置 → 网络 → 详细信息 → DNS」，你能看到的只是「DNS 服务器」列表，填的是 1.1.1.1 这类 IP 地址。这个界面没有任何加密选项——它发出去的 DNS 请求仍然是明文 UDP 53 端口，和你在路由器里设 DNS 一样。Apple 从 macOS Big Sur（11.0）开始就在系统底层支持 DoT 和 DoH，但出于设计上的考虑，Apple 没有在这个 DNS 设置面板里加一个「开启加密」的按钮。加密 DNS 的配置统一通过「描述文件（Configuration Profile）」或者「系统扩展类 App」来下发。这一点和 iPhone 类似：iPhone 的「设置 → 通用 → VPN与设备管理」里装一个 DNS 描述文件就能全局加密，Mac 也是同一套机制。关于 iPhone 的具体步骤可以参考本站的 iPhone 私人 DNS 教程。方法一：安装 DNS 描述文件（.mobileconfig）这是 Apple 官方推荐的原生方式，不需要装任何常驻 App。第一步：选一个支持加密 DNS 的服务商常见的选择：服务商DoH 地址DoT 主机名234 DNS（本站自建）https://dns.23-4.cn/dns-querydns.23-4.cnCloudflarehttps://cloudflare-dns.com/dns-queryone.one.one.oneGooglehttps://dns.google/dns-querydns.googleQuad9https://dns.quad9.net/dns-querydns.quad9.net第二步：获取描述文件最简单的方式是直接下载服务商或社区提供的现成描述文件：Cloudflare、Google 等官方文档页会提供一键下载的 .mobileconfig 文件。也可以用开源社区维护的「encrypted-dns」项目生成自己需要的描述文件。如果你想自己写一个描述文件，它本质上是一个 XML 文件，里面用 com.apple.dnsSettings.managed payload 声明加密 DNS 参数。关键参数包括：Protocol：选 HTTPS（DoH）或 TLS（DoT），必填。ServerURL：DoH 的完整 HTTPS URL，Protocol 选 HTTPS 时必填。Hostname：DoT 模式下填服务器的主机名（用于证书校验和 SNI）。Server addresses：DNS 服务器 IP 列表（可选，但建议填）。第三步：安装描述文件双击下载好的 .mobileconfig 文件。系统会提示「此网站正在尝试下载一个配置描述文件」，点击「允许」。打开「系统设置」，往下滑找到「隐私与安全性」，拉到最下面点「描述文件」。在「已下载的描述文件」里找到你刚下载的那个，点「安装」。输入你的 Mac 登录密码确认安装。安装完成后，这个描述文件会自动全局接管 DNS。安装完不需要重启。打开浏览器随便访问一个网站，DNS 就已经走加密通道了。方法二：用第三方应用（最省心）如果你不想折腾描述文件，直接装一个带加密 DNS 功能的 Mac 应用是最快的方式。AdGuard for MacAdGuard 官方 Mac 版内置了 DoH 和 DoT 支持：从 AdGuard 官网下载 AdGuard for Mac 并安装。打开 AdGuard → 设置 → DNS。选择一个 DNS 服务器（内置了 Cloudflare、Google、Quad9 等）。协议默认就是加密的（DoH），也可以手动切到 DoT。开启后全局生效，不需要额外配置。AdGuard 的好处是它同时是广告拦截工具，装一次既能加密 DNS 又能拦广告。如果你的目标是 用私人 DNS 拦截广告，这个方案一举两得。Cloudflare 1.1.1.1 AppCloudflare 官方也有 Mac 客户端，安装后一键开启加密 DNS，非常简洁，适合只想要加密、不需要广告过滤的用户。怎么验证加密 DNS 真的生效了？方法一：用浏览器检测访问 https://1.1.1.1/help，页面会显示（用本站服务的话，打开 234 DNS 战报页 看查询记录更直接）：-「Connected to 1.1.1.1」：Yes-「Using DNS over HTTPS (DoH)」：Yes-「Using DNS over TLS (DoT)」：视你的协议而定三项全 Yes 就说明加密已经生效。方法二：用 dig 命令行确认打开「终端」，运行：dig google.comdig 默认走的是系统解析器。如果 systemd-resolved（macOS 上是 mDNSResponder）已经接管到描述文件的加密配置，dig 返回的结果和正常一样，但底层传输已经是加密的。要更直观地看到加密流量，可以用 tcpdump 或 Wireshark 抓包：sudo tcpdump -i any port 53如果开启了 DoH/DoT，你会发现 53 端口上几乎看不到明文 DNS 查询了（因为流量走了 443 或 853 端口的加密隧道）。方法三：查看描述文件状态打开「系统设置 → 隐私与安全性 → 描述文件」，确认你的 DNS 描述文件在列表中且状态为已安装。如果描述文件被移除，DNS 会自动回退到明文。常见问题 FAQQ：我在 Mac 的网络设置里填了 1.1.1.1，为什么还是明文？A：因为 macOS 的网络设置面板只接受 IP 地址，没有加密开关。你填的 1.1.1.1 会以明文 UDP 方式发送。要加密必须装描述文件或第三方 App。Q：DoT 和 DoH 在 Mac 上选哪个好？A：两者都是 TLS 加密，安全性差不多。DoH 走 443 端口，和普通 HTTPS 流量混在一起，更不容易被网络运营商封锁；DoT 走 853 端口，有些企业网络或公共 Wi-Fi 会直接封 853。日常家用推荐 DoH，更通用。关于两种协议的详细区别，可以看本站的 DoH/DoT/DoQ 协议对比。Q：装了描述文件之后 VPN 还能用吗？A：可以，但要注意优先级。macOS 上 VPN 通常会接管全局路由，加密 DNS 描述文件一般会配合 VPN 工作。如果你同时开了 VPN 和私人 DNS，建议看一下 私人 DNS 和 VPN 冲突怎么办 这篇排查思路。Q：怎么关闭 Mac 上的加密 DNS？A：打开「系统设置 → 隐私与安全性 → 描述文件」，选中对应的 DNS 描述文件，点减号删除即可。如果是第三方 App（AdGuard 等），在 App 设置里关掉加密 DNS 开关就行。参考来源Apple Support — DNS Settings device management payload settings：支撑 macOS 加密 DNS 通过 com.apple.dnsSettings.managed 描述文件 payload 配置，Protocol 可选 HTTPS/TLS、ServerURL 为 DoH 必填项等参数定义。URL：https://support.apple.com/guide/deployment/dep86469ba99/webApple Support — Filter content for Apple devices：支撑 DNS Settings payload 用于配置 DoH/DoT、增强 DNS 隐私，以及 macOS Big Sur 及以上版本支持加密 DNS 的官方说明。URL：https://support.apple.com/guide/deployment/filter-content-dep1129ff8d2/webApple Developer — DNSSettings.DNSSettings Data Dictionary：支撑 DNSProtocol 枚举值为 HTTPS 和 TLS 的开发者文档定义。URL：https://developer.apple.com/documentation/devicemanagement/dnssettings/dnssettings-data.dictionaryApple Developer Videos — WWDC2020 Enable encrypted DNS：支撑 Apple 平台从 iOS 14/macOS Big Sur 开始原生支持 DoT 和 DoH 的官方介绍。URL：https://developer.apple.com/videos/play/wwdc2020/10047/相关阅读iPhone私人DNS设置教程：iOS 用描述文件开启DoT加密DNSWindows 11/10私人DNS设置教程：开启DoH加密DNS（设置+注册表两种方法）浏览器开启私人DNS教程：Chrome/Edge/Firefox 设置DoH私人DNS提示证书错误、不受信任怎么解决？私人DNS选DoT还是DoH？加密协议区别与设备兼容性选择指南想现在就把电脑的 DNS 换掉？DoT 主机名 dns.23-4.cn、DoH 地址 https://dns.23-4.cn/dns-query，各系统步骤见私人 DNS 加密设置教程。
-
Linux私人DNS设置教程：Ubuntu/Debian 配置DoT（systemd-resolved详解） systemd-resolved 里那一行 DNS=，把示例换成 8.160.173.68#dns.23-4.cn，走的就是本站的加密 DNS。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR： Ubuntu/Debian 默认用 systemd-resolved 做本地 DNS 解析（监听在 127.0.0.53:53），它从 systemd 239 版本开始原生支持 DNS over TLS（DoT）。配置方法：编辑 /etc/systemd/resolved.conf 或在 /etc/systemd/resolved.conf.d/ 下新建一个 .conf 文件，写入 DNS=1.1.1.1 和 DNSOverTLS=yes，然后 sudo systemctl restart systemd-resolved，最后用 resolvectl status 验证即可。不需要装任何第三方软件。Ubuntu/Debian 的 DNS 架构：先搞清楚 systemd-resolved很多人刚上手 Linux 时会困惑：我明明改了 /etc/resolv.conf，为什么重启又变回去了？这是因为从 Ubuntu 16.04（以及 Debian 10）开始，系统默认使用 systemd-resolved 作为本地 DNS 存根解析器。它的工作方式是这样的：systemd-resolved 作为一个系统服务在后台运行。它在本地 127.0.0.53 的 53 端口上监听，扮演一个「DNS 中转站」的角色。/etc/resolv.conf 是一个软链接，指向 /run/systemd/resolve/stub-resolv.conf，里面只写了一行 nameserver 127.0.0.53。所有程序的 DNS 请求都先发给本地的 127.0.0.53，再由 systemd-resolved 转发到真正的上游 DNS 服务器。所以你要配置加密 DNS，正确的做法不是改 /etc/resolv.conf，而是改 systemd-resolved 的配置文件——因为加密是在 systemd-resolved 转发给上游那一段做的。先确认你的系统确实在用 systemd-resolved：systemctl status systemd-resolved如果显示 active (running) 就对了。再确认一下 /etc/resolv.conf 是不是软链接：ls -l /etc/resolv.conf正常应该显示指向 /run/systemd/resolve/stub-resolv.conf 或 /run/systemd/resolve/resolv.conf。配置 DoT：编辑 resolved.confsystemd-resolved 的主配置文件是 /etc/systemd/resolved.conf。官方文档推荐的做法是不要直接改主文件，而是在 /etc/systemd/resolved.conf.d/ 目录下新建一个 drop-in 配置文件，这样升级系统时不会被覆盖。第一步：创建 drop-in 配置文件sudo mkdir -p /etc/systemd/resolved.conf.d/ sudo nano /etc/systemd/resolved.conf.d/99-opendns.conf第二步：写入配置内容在文件里填入以下内容：[Resolve] DNS=8.160.173.68#dns.23-4.cn FallbackDNS=1.1.1.1#one.one.one.one DNSOverTLS=yes逐行解释：配置项含义DNS=8.160.173.68#dns.23-4.cn指定上游 DNS 服务器。# 后面是服务器的主机名，用于 TLS 证书校验和 SNI。格式是 IP地址#主机名。8.160.173.68 就是本站 dns.23-4.cn 的地址FallbackDNS=1.1.1.1#one.one.one.one备用 DNS，当主 DNS 连不上时自动切换。这里填的是 Cloudflare，也可以换成任意支持 DoT 的服务DNSOverTLS=yes开启 DoT 加密。yes = 强制加密，不支持 TLS 的服务器会直接失败；opportunistic = 优先加密，不支持就降级明文；no = 关闭注意：DNSOverTLS=yes 模式下，如果服务器证书验证失败，所有 DNS 请求都会失败。所以一定要写对 # 后面的主机名，让 systemd-resolved 能正确校验证书。如果你只是想试试水，可以先设成 opportunistic，不会因为证书问题断网。第三步：重启服务使配置生效sudo systemctl restart systemd-resolved第四步：验证配置运行：resolvectl status输出里你应该能看到类似这样的内容：Link 2 (eth0) Current Scopes: DNS Current DNS Server: 1.1.1.1 DNS Servers: 1.1.1.1 1.0.0.1 DNS OverTLS: yes关键看最后一行 DNS OverTLS: yes——这就说明 DoT 已经开启了。再用 resolvectl query 测一下解析是否正常：resolvectl query google.com如果能返回 IP 地址，说明 DoT 通道工作正常。不想用 drop-in？直接改主文件也行如果你觉得多建一个文件麻烦，也可以直接编辑 /etc/systemd/resolved.conf：sudo nano /etc/systemd/resolved.conf找到 [Resolve] 段，把下面几行前面的注释（#）去掉并改成：[Resolve] DNS=8.160.173.68#dns.23-4.cn FallbackDNS=1.1.1.1#one.one.one.one DNSOverTLS=yes保存后同样 sudo systemctl restart systemd-resolved。两种方法效果完全一样，drop-in 的好处是更干净、不污染系统自带的主配置文件。常见坑与排查坑一：NetworkManager 接管了 DNS如果你用的是带桌面环境的 Ubuntu（GNOME），NetworkManager 可能会通过 DHCP 自动下发 DNS 服务器，把你手动配的 DNS= 覆盖掉。排查方法：运行 resolvectl status，看「Current DNS Server」是不是你自己设的 8.160.173.68。如果不是，说明 NetworkManager 给你的网卡分配了别的 DNS。解决办法：在 NetworkManager 里手动设置该连接的 DNS：打开「设置 → 网络 → 你的连接 → 详细信息 → IPv4」。把「DNS」改成手动，填入 8.160.173.68（本站 dns.23-4.cn）或 1.1.1.1。关掉「自动 DNS」开关。坑二：改了 resolv.conf 不生效记住：在 Ubuntu/Debian 上，直接编辑 /etc/resolv.conf 是没用的——它是软链接，重启或重新联网后会被 systemd-resolved 重新生成。你所有的配置都应该写在 resolved.conf 或 drop-in 文件里。坑三：开了 DoT 之后上不了网大概率是 # 后面的主机名写错了，导致 TLS 证书校验失败。排查方式：先把 DNSOverTLS 临时改成 opportunistic，重启服务。如果能上网了，说明就是证书校验的问题，检查主机名拼写。确认主机名正确后，再改回 yes。另外注意：DNSOverTLS=yes 需要服务器真的支持 DoT（监听 853 端口）。不是所有公共 DNS 都支持 DoT。本站的 dns.23-4.cn、Cloudflare（1.1.1.1）、Quad9（9.9.9.9）、Google（8.8.8.8）都支持。可以参考本站整理的 免费加密 DNS 地址列表。其他发行版的差异Fedora：默认也是 systemd-resolved，配置方法完全一样。Arch Linux：默认不一定启用 systemd-resolved，需要手动 sudo systemctl enable --now systemd-resolved 并把 /etc/resolv.conf 软链接到 /run/systemd/resolve/stub-resolv.conf。没有 systemd 的发行版（如 Alpine、部分嵌入式系统）：用不了 systemd-resolved，需要换 stubby、dnscrypt-proxy 等独立 DoT/DoH 客户端。常见问题 FAQQ：systemd-resolved 支持 DoH 吗？A：不支持。systemd-resolved 只支持 DoT（DNS over TLS），不支持 DoH。如果你在 Linux 上需要 DoH，得用 dnscrypt-proxy 或 cloudflared 这类第三方工具。DoT 和 DoH 都是 TLS 加密，安全性相当，DoT 配置更简单（systemd 原生支持）。Q：配置完需要重启电脑吗？A：不需要。sudo systemctl restart systemd-resolved 就够了。本地 DNS 缓存会清空，第一次查询会稍慢一点，之后就正常了。Q：DoT 会影响网速吗？A：DNS 查询本身只占极少量流量，DoT 多了一次 TLS 握手，但 systemd-resolved 有本地缓存，日常浏览几乎感觉不到延迟。如果你对速度有疑虑，可以看看本站的 私人 DNS 测速方法。Q：怎么恢复默认 DNS 设置？A：删掉你建的 drop-in 文件：sudo rm /etc/systemd/resolved.conf.d/99-opendns.conf，然后重启 systemd-resolved。如果你是直接改的主文件，把 DNS= 和 DNSOverTLS= 行前面重新加上 # 注释掉就行。参考来源freedesktop.org — resolved.conf.d 官方文档：支撑 DNS=、FallbackDNS=、DNSOverTLS=（yes/opportunistic/no）的参数定义，以及 IP地址#主机名 格式用于证书校验和 SNI 的官方说明。URL：https://www.freedesktop.org/software/systemd/man/latest/resolved.conf.d.htmlfreedesktop.org — systemd-resolved.service 官方文档：支撑 systemd-resolved 作为本地 DNS 存根解析器、监听 127.0.0.53、从 resolved.conf 读取全局 DNS 配置的架构说明。URL：https://www.freedesktop.org/software/systemd/man/latest/systemd-resolved.service.htmlDebian Manpages — systemd-resolved.service：支撑 systemd-resolved 作为本地存根解析器、维护 /run/systemd/resolve/stub-resolv.conf、监听 127.0.0.53:53 的官方手册页。URL：https://manpages.debian.org/testing/systemd-resolved/systemd-resolved.service.8.en.htmlDebian Manpages — resolved.conf：支撑 DNSStubListener、/etc/systemd/resolved.conf.d/ drop-in 配置目录及优先级说明的官方手册页。URL：https://manpages.debian.org/testing/systemd/resolved.conf.5.en.html相关阅读自建AdGuard Home教程：搭建属于自己的私人DNS服务器Alpine 轻量服务器初始化清单：时钟、Nginx、PHP 一篇配齐Windows 11/10私人DNS设置教程：开启DoH加密DNS（设置+注册表两种方法）私人DNS选DoT还是DoH？加密协议区别与设备兼容性选择指南免费加密DNS服务：DoH/DoT 地址与一键配置指南想现在就把电脑的 DNS 换掉？DoT 主机名 dns.23-4.cn、DoH 地址 https://dns.23-4.cn/dns-query，各系统步骤见私人 DNS 加密设置教程。
