搜索到 38 篇 分类为 网络与 DNS 的文章
-
路由器设置私人DNS教程：全家设备统一加密DNS（小米/TP-Link/OpenWrt） 方案二、方案三里的 DoT 上游，直接填 dns.23-4.cn——853 端口已开放，证书是 Let's Encrypt 签的，安卓和路由器都认。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR 一句话结论：在路由器 WAN 口或 DHCP 里填 1.1.1.1、8.8.8.8 这类地址，只是把运营商的明文 DNS 换成了公共明文 DNS，并不等于加密。想让全家手机、电脑、电视都用上加密 DNS，现实里只有三条路：①路由器 DHCP 下发自定义 DNS（最简单、全家生效、但不加密）；②刷 OpenWrt 后用 Stubby / AdGuard Home 做 DoT 上游（真加密、有一定门槛）；③旁路由跑 AdGuard Home（灵活、推荐进阶用户）。路由器填了 DNS 地址，为什么不等于"私人 DNS"？很多人搜"路由器怎么设置私人 DNS"，照着教程在后台填了一串 IP，以为就万事大吉了。这里必须先把概念讲清楚，否则后面全是白做。传统 DNS 查询是明文的：你的手机问"www.baidu.com 的 IP 是多少"，这个问题在网络上是裸奔的，运营商、公共 Wi-Fi 监听者、甚至路由器本身都能看到你查了哪些域名。所谓"私人 DNS"或"加密 DNS"，指的是用 DoT（DNS over TLS，端口 853）或 DoH（DNS over HTTPS，端口 443）把这个查询包加密起来，中间人看不到域名内容。而你在路由器后台填的 1.1.1.1、223.5.5.5，只是换了一个明文 DNS 服务器的 IP 地址。查询依然走 53 端口明文发送，只不过从运营商的 DNS 换成了 Cloudflare 或阿里的 DNS。好处是可能更快、更少劫持，但隐私保护层面和原来没有本质区别。两者的协议差异可以参考本站的 DoH/DoT/DoQ 协议对比文章。方案一：路由器 DHCP 下发自定义 DNS（最简单，但不加密）如果你只是想全家设备统一用某个公共 DNS（比如解决某个网站打不开、想更快解析），而不追求加密，这是最省事的方案。原理是：路由器通过 DHCP 告诉所有连进来的设备"请用这个 DNS"，设备自动获取后就跟着走。TP-Link 路由器操作路径浏览器登录路由器管理后台（新固件通常是 tplinkwifi.net，旧款可能是 192.168.0.1）。进入 高级设置 → 网络 → 互联网（WAN），找到"DNS"一栏，选择"使用以下 DNS 地址"。填入首选和备用 DNS。这里只能填 IP：想用本站服务填 8.160.173.68，或者用阿里的 223.5.5.5、223.6.6.6，保存。旧款绿色/蓝色界面的 TP-Link，路径是 网络参数 → WAN 口设置 → 高级设置 → 手动设置 DNS 服务器。以上路径来自 TP-Link 官方服务支持文档。不同型号固件版本略有差异，找不到时就在后台左侧菜单里找"WAN"或"上网设置"。小米 / Redmi 路由器操作路径浏览器访问 miwifi.com 或默认地址 192.168.31.1 进入 Web 后台。进入 常用设置 → 局域网设置 → DHCP 服务，在这里可以配置 DHCP 相关参数。部分型号在"上网设置"里也能改 WAN 口 DNS，按界面提示填写即可。以上路径来自小米官方帮助中心的 DHCP 服务说明。注意：小米路由器官方固件目前不支持直接填写 DoT/DoH 加密 DNS 上游，只能填 IP 形式的明文 DNS。这个方案的优缺点优点：零门槛、所有连接设备自动生效、不用逐台设置。缺点：依然是明文 DNS，只是换了服务器；运营商仍能看到你的域名查询；不防劫持的场景下收益有限。方案二：OpenWrt + Stubby 实现全家 DoT 加密（真加密，有门槛）如果你有一台可以刷 OpenWrt 的路由器，这是实现"全家设备自动走加密 DNS"最干净的方案。OpenWrt 官方 Wiki 给出的标准做法是用 Stubby 做本地 DoT 存根解析器，流程是：局域网设备 → dnsmasq（53端口）→ stubby（5453端口）→ 加密 DoT 到上游（853端口）所有设备感知不到任何变化，它们还是向路由器的 53 端口发明文查询，但路由器内部已经用 TLS 加密转发到了上游 DoT 服务器。简要步骤（以官方 Wiki 为准）：进入路由器 SSH 命令行，执行 opkg update && opkg install stubby。编辑 /etc/stubby/stubby.yml，配置你要用的 DoT 上游——本站的 dns.23-4.cn（853 端口已开放、证书由 Let's Encrypt 签发），或者 Cloudflare 的 one.one.one.one、Quad9 的 dns.quad9.net。在 dnsmasq 配置里把转发地址指向 127.0.0.1#5453。确保路由器通过 DHCP 把自己广播为 DNS 服务器，这样局域网设备自动受益。建议在防火墙里封掉 WAN 口的 TCP/UDP 53 端口出站，防止设备绕过加密直发明文 DNS。上游 DoT 地址可以参考本站整理的免费加密 DNS 地址清单。方案三：旁路由跑 AdGuard Home（进阶推荐）如果你的主路由不能刷 OpenWrt（比如运营商定制光猫、品牌固件锁死），旁路由是另一条现实路线：用一台旧手机、树莓派、或者便宜的小主机跑 AdGuard Home，作为旁路网关接入现有网络，主路由把 DHCP 的 DNS 指向这台旁路由。这样做的好处是：主路由不用动，旁路由想刷就刷、想换就换；AdGuard Home 既支持 DoT/DoH 上游加密，又自带广告过滤和规则订阅，一台设备解决两个需求。详细搭建方法我们会在本系列后续的自建 AdGuard Home 教程里展开，这里先给概念。三种方案对比方案加密效果设置难度全家生效适合人群路由器 DHCP 填公共 DNS IP无加密，仅换服务器★ 极低是只想换个快 DNS 的普通用户OpenWrt + Stubby 做 DoT全链路加密（DoT 853）★★★★ 较高是有刷机经验、追求隐私的用户旁路由 AdGuard Home全链路加密 + 广告过滤★★★ 中等是不想动主路由、想兼顾去广告的用户常见问题 FAQQ1：我在路由器里填了 1.1.1.1，为什么还是被 DNS 劫持？因为 1.1.1.1 只是个明文 IP，运营商或中间设备依然可以在 53 端口上做劫持和污染。想真正防劫持，必须走 DoT 或 DoH 加密通道，也就是方案二或方案三。Q2：怎么判断我的路由器支不支持加密 DNS？普通品牌固件（TP-Link 家用款、小米官方固件、华为家用款）的后台通常只有填 IP 的地方，没有"DoT 主机名"或"DoH URL"输入框。支持加密上游的往往是 OpenWrt、梅林、pfSense 这类第三方固件，或者企业级路由器。Q3：改了路由器 DNS 后，家里所有设备都要重新连 Wi-Fi 吗？不需要重连 Wi-Fi。但设备需要重新获取一次 DHCP 租约才能拿到新的 DNS 地址——一般等几分钟自动刷新，或者手动断开重连一次 Wi-Fi 即可。Q4：旁路由和主路由是什么关系？会影响网速吗？旁路由不承担拨号和 NAT，只负责 DNS 和可选的过滤。正常上网流量还是主路由直接转发，旁路由只处理 53 端口的 DNS 查询，对网速几乎没有影响。更多设备端的私人 DNS 设置教程，可以浏览本站的 私人 DNS 设置教程合集。参考来源TP-Link 官方服务支持《如何修改路由器登录帐号以及判断 DNS 设置是否正常？》——支撑文中 TP-Link 旧固件 WAN 口/DHCP DNS 设置路径（网络参数→WAN口设置→手动设置DNS服务器）。https://service.tp-link.com.cn/detail_article_575.htmlTP-Link 官方 FAQ《How to change DNS Servers on TP-Link Routers》——支撑新固件界面路径（Advanced > Network > Internet > Use the Following DNS Addresses）。https://www.tp-link.com/ph/support/faq/1711/小米官方帮助中心《【路由器】DHCP服务》——支撑小米路由器 DHCP 服务入口（常用设置→局域网设置→DHCP服务）及管理地址 miwifi.com / 192.168.31.1。https://ics-resources.xiaomi.com/ics-resources/articles/60516fba5078534fd7632cbe.htmlOpenWrt 官方 Wiki《Stubby》——支撑 OpenWrt 上用 Stubby 做 DoT 加密的架构（dnsmasq:53 → stubby:5453 → encrypted:853）、安装命令与配置要点。https://openwrt.org/docs/guide-user/services/dns/stubby相关阅读智能电视和电视盒子怎么设置私人DNS？安卓TV 图文教程自建AdGuard Home教程：搭建属于自己的私人DNS服务器安卓原生私人DNS在哪设置？Android 9+ 私人DNS入口与hostname写法浏览器开启私人DNS教程：Chrome/Edge/Firefox 设置DoH免费公共DNS还是自建DNS服务器？私人DNS选型与成本对比想现在就把电脑的 DNS 换掉？DoT 主机名 dns.23-4.cn、DoH 地址 https://dns.23-4.cn/dns-query，各系统步骤见私人 DNS 加密设置教程。 -
浏览器开启私人DNS教程：Chrome/Edge/Firefox 设置DoH Chrome / Edge / Firefox 的「自定义安全 DNS」框里，粘这个：https://dns.23-4.cn/dns-query。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR 一句话结论：Chrome、Edge、Firefox 三大桌面浏览器都内置了"安全 DNS"功能，本质就是 DoH（DNS over HTTPS），不用装任何插件。Chrome 路径：设置 → 隐私和安全 → 安全 → 使用安全 DNS；Edge 路径：设置 → 隐私、搜索和服务 → 安全 → 使用安全 DNS；Firefox 路径：设置 → 常规 → 网络设置 → 设置 → 启用 DNS over HTTPS。开启后浏览器自身的域名查询会走 HTTPS 加密通道，但只保护浏览器内的流量，不影响系统里其他 App。为什么要在浏览器里单独开 DoH？很多人以为在路由器或手机系统里设了私人 DNS 就够了。但现实是：你在公司网络、学校机房、酒店 Wi-Fi 下，往往碰不到路由器后台；公司发的笔记本也未必让你改系统 DNS。这时候浏览器内置的 DoH 就是你能自己掌控的最后一道防线——它只对浏览器自己生效，不需要管理员权限，点开开关就走加密通道。需要注意的是，浏览器 DoH 保护的范围仅限于浏览器发出的 DNS 查询，系统里其他软件（比如迅雷、Steam、各种客户端）依然走系统默认的明文 DNS。想全家/全系统加密，还是得靠路由器或系统级方案，这两者并不冲突，可以叠加使用。关于 DoH、DoT、DoQ 三种协议的区别，可以参考本站的协议对比文章。Google Chrome 怎么开启安全 DNSChrome 把这个功能叫"使用安全 DNS"，底层就是 DoH。按以下步骤操作：打开 Chrome，点击右上角三个点（⋮）→ 设置。左侧菜单选择 隐私和安全。点击 安全。往下滚到"高级"区域，找到 使用安全 DNS，打开开关。选择"使用当前服务提供商"（自动模式），或者选"自定义"，在下拉框里挑一个服务商（如 Cloudflare、Google），也可以直接填入你自己的 DoH URL。默认状态：Chrome 在自动模式下默认是开启的。如果你当前网络的 DNS 服务器支持 DoH，Chrome 会自动升级加密；如果不支持，就静默回退到明文，不会报错。但如果你选了"自定义"指定某个服务商，Chrome 就不会回退明文，一旦那个 DoH 服务器连不上，就会报"找不到服务器 IP 地址"的错误。注意：如果你的设备由公司统一管理（加入了域/MDM），或者开了家长控制，Chrome 会灰掉这个开关，你改不了——这是企业策略锁死的。Microsoft Edge 怎么开启安全 DNSEdge 基于 Chromium 内核，逻辑和 Chrome 几乎一样，但菜单位置稍有不同：打开 Edge，点击右上角三个点（⋯）→ 设置。左侧选择 隐私、搜索和服务。往下滚到"安全"区块。打开 使用安全 DNS 旁边的开关。然后选择"使用当前服务提供商"或者"选择服务提供商"，在下拉列表里挑一个（如 Cloudflare、Google DNS）。Edge 的安全 DNS 同样是 DoH 协议。开启后，Edge 在解析网站域名时会通过 HTTPS 加密发送查询，微软官方说明里提到这能帮助防范网络钓鱼和恶意软件——因为加密之后，中间人就没法把你劫持到钓鱼网站了。Mozilla Firefox 怎么开启 DoHFirefox 是最早大规模推送 DoH 的主流浏览器，设置入口和前两家不太一样：打开 Firefox，点击右上角菜单按钮（☰）→ 设置（或偏好设置）。在 常规 面板里，一直往下滚到"网络设置"。点击 设置… 按钮（在"网络设置"那一行的右侧）。在弹出的对话框里往下滚，找到 启用 DNS over HTTPS。勾选它，然后从下拉框选一个默认服务商（Mozilla 默认推荐 Cloudflare），或者选"自定义"填入你自己的 DoH 地址。点击"确定"保存。新版 Firefox（约 119 之后）把 DoH 入口挪到了左侧 隐私与安全 面板最下方的"DNS over HTTPS"区块，如果你在"常规"里找不到，就去左边栏点"隐私与安全"往下翻。默认状态：Firefox 在美国、加拿大等地区的桌面版默认就是开启的（fallback 模式：DoH 失败自动回退系统 DNS）。中国大陆版默认关闭，需要手动打开。三大浏览器对比浏览器菜单入口默认状态自定义服务商协议保护范围Chrome设置→隐私和安全→安全→使用安全DNS自动模式默认开启支持填 DoH URLDoH仅 Chrome 浏览器Edge设置→隐私、搜索和服务→安全→使用安全DNS跟随系统/默认开启支持下拉选择服务商DoH仅 Edge 浏览器Firefox设置→常规→网络设置→设置（或隐私与安全面板）部分地区默认开启支持填自定义 DoH URLDoH仅 Firefox 浏览器自定义 DoH 服务商地址怎么填？如果你选了"自定义"，需要填一个符合 RFC 8484 标准的 DoH URL。几个常用的免费 DoH 端点：本站 234 DNS：https://dns.23-4.cn/dns-query（国内节点，自带广告与跟踪器拦截，配好可以到 战报页 看拦截数据）Cloudflare：https://cloudflare-dns.com/dns-queryGoogle：https://dns.google/dns-queryQuad9：https://dns.quad9.net/dns-query阿里 DoH：https://dns.alidns.com/dns-query更多免费加密 DNS 地址可以参考本站整理的免费加密 DNS 地址清单。注意：浏览器 DoH 只认 https:// 开头的 URL，不认 IP 地址，也不认 DoT 的 853 端口形式。常见问题 FAQQ1：开了浏览器 DoH，还要不要在系统/手机上开私人 DNS？不冲突，建议都开。浏览器 DoH 只管浏览器；系统私人 DNS（安卓的"私人 DNS"、Windows 的 DoT 设置）管整个系统所有 App。两者叠加，覆盖更全面。Q2：开了浏览器 DoH 后某些网页打不开了怎么办？大概率是你选的那个 DoH 服务器在你当前网络下被墙了或者超时。解决办法：①换回"自动模式"让浏览器自己判断；②换一个国内能直连的 DoH 服务商（如阿里 DoH）；③临时关掉"使用安全 DNS"恢复明文。Q3：浏览器 DoH 和 VPN 会不会冲突？有可能。有些 VPN 客户端会自己接管系统 DNS，再叠加浏览器 DoH 可能导致解析异常。如果开了 VPN 后浏览器上不了网，可以先去浏览器设置里把"使用安全 DNS"关掉试试。Q4：Chrome 里找不到"使用安全 DNS"开关是怎么回事？先确认 Chrome 是不是最新版。如果是公司电脑/学校电脑，很可能被组策略或 MDM 锁死了——这种情况你改不了，需要找 IT 管理员。另外安卓和 iOS 版 Chrome 的 DoH 是跟随系统私人 DNS 的，没有独立开关。更多关于加密 DNS 的基础知识，可以从本站的加密 DNS 首页开始看。参考来源Google Chrome 帮助中心《管理 Chrome 的安全性》——支撑 Chrome"使用安全 DNS"的菜单路径（设置→隐私和安全→安全→高级）、自动模式默认开启及失败回退行为、受管理设备不可用等事实。https://support.google.cn/chrome/answer/10468685?hl=zh-HansMicrosoft 支持《在 Microsoft Edge 中安全地浏览 Web》——支撑 Edge 安全 DNS 的菜单路径（设置等→隐私、搜索和服务→安全→使用安全 DNS）及加密 DNS 查询防钓鱼的说明。https://support.microsoft.com/zh-cn/edge/securely-browse-the-web-in-microsoft-edgeMozilla 支持《Firefox DNS over HTTPS》——支撑 Firefox DoH 的开启/配置入口（常规→网络设置→设置→启用DNS over HTTPS）、默认推送地区、fallback 模式与风险说明。https://support.mozilla.org/en-US/kb/firefox-dns-over-httpsMozilla 支持《Configure DNS over HTTPS protection levels in Firefox》——支撑新版 Firefox DoH 保护级别设置及入口位置（隐私与安全面板）。https://support.mozilla.org/en-US/kb/dns-over-https/revision/331342相关阅读Windows 11/10私人DNS设置教程：开启DoH加密DNS（设置+注册表两种方法）macOS私人DNS设置教程：Mac 配置DoT/DoH加密DNS私人DNS选DoT还是DoH？加密协议区别与设备兼容性选择指南DoH、DoT、DoQ：三种加密 DNS 协议，到底该选哪个？免费加密DNS服务：DoH/DoT 地址与一键配置指南想现在就把电脑的 DNS 换掉？DoT 主机名 dns.23-4.cn、DoH 地址 https://dns.23-4.cn/dns-query，各系统步骤见私人 DNS 加密设置教程。
-
智能电视和电视盒子怎么设置私人DNS？安卓TV 图文教程 电视改不了 DNS 也没关系——在路由器里把 DoT 上游设成 dns.23-4.cn，电视自己就跟着走了。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR 一句话结论：不是所有智能电视/电视盒子都有"私人 DNS"开关。原生安卓 TV（如 Google TV、Nvidia Shield、部分外贸盒子）在 设置 → 网络和互联网 → 私人 DNS 里可以填 DoT 主机名；但国内大部分定制系统（小米盒子、当贝、天猫魔盒、运营商 IPTV 盒子）都把这个入口阉割掉了。找不到选项时，最现实的办法是在路由器上统一改 DNS（或旁路由跑 AdGuard Home），让电视自动跟着走，不用动电视本身。先搞清楚：你的电视/盒子是什么系统？智能电视和电视盒子的"私人 DNS"支持情况，比手机复杂得多。因为厂商五花八门，系统版本从安卓 7 到安卓 14 都有，而且国内厂商普遍会把原生安卓的功能砍掉一大半。动手前先对号入座：原生安卓 TV / Google TV：Sony 部分新款、Nvidia Shield、Chromecast with Google TV、部分外贸盒子，这类设备最接近原生安卓，私人 DNS 入口基本都在。国内定制安卓：小米盒子/小米电视、当贝盒子、极米/坚果投影仪、天猫魔盒、腾讯极光盒子等，系统是厂商二次定制的，很多把"私人 DNS"藏起来或干脆删掉。运营商 IPTV 盒子：移动/联通/电信送的机顶盒，系统锁得最死，基本没有任何 DNS 自定义入口。非安卓系统：Apple TV、三星 Tizen、LG webOS、海信自研系统，这些压根没有"私人 DNS"这个概念。下面按情况分别说。情况一：有"私人 DNS"入口的盒子怎么设基于 Android 9 及以上版本的原生安卓 TV，私人 DNS 用的是 DoT（DNS over TLS）协议。通用步骤如下：打开电视/盒子的 设置（一般在主界面右上角齿轮图标，或按遥控器设置键）。进入 网络和互联网（有的版本叫"网络"或"WLAN"）。找到 私人 DNS（英文是 Private DNS）。如果首页没看到，就进"高级"或者用设置里的搜索框搜"DNS"。选择 专用 DNS 提供商主机名（或叫"私人 DNS 提供方主机名"）。填入一个支持 DoT 的 DNS 主机名，例如：本站 234 DNS（推荐）：dns.23-4.cn —— 国内节点，自带广告与跟踪器拦截阿里公共 DNS：dns.alidns.comCloudflare：one.one.one.oneGoogle：dns.googleQuad9：dns.quad9.net点 保存，等几秒钟生效。注意：这里填的是主机名，不是 IP 地址。DoT 靠域名做证书校验，填 IP 是不行的。这一点和手机上的私人 DNS 完全一致，安卓端的排查思路可以参考本站的安卓私人 DNS 排查文章。情况二：找不到"私人 DNS"选项怎么办？（多数人遇到的情况）如果你在设置里翻遍了也找不到"私人 DNS"，基本可以断定是你的电视厂商把这个入口阉割了。这时候不要硬找，直接走下面两条路：方案 A：在路由器上统一改 DNS（最推荐）既然电视自己改不了，那就让路由器把正确的 DNS 地址通过 DHCP 下发给所有设备——包括电视。这样电视什么都不用动，连上 Wi-Fi 就自动用新 DNS。具体怎么在 TP-Link、小米路由器、OpenWrt 上设置，以及"路由器填 IP ≠ 加密"的概念辨析，我们在路由器设置私人 DNS 教程那篇里详细讲过。这里只说结论：如果只是想换个更快/更少劫持的 DNS，在路由器 DHCP 里填 223.5.5.5 这类公共 DNS IP 即可，电视自动跟着走。如果想要真加密，需要刷 OpenWrt 用 Stubby 做 DoT 上游，或者旁路由跑 AdGuard Home。方案 B：旁路由跑 AdGuard Home（进阶）如果主路由不能刷 OpenWrt，可以用一台旧手机、树莓派或者便宜的小主机跑 AdGuard Home，作为旁路由接进家里网络。主路由把 DHCP 的 DNS 指向这台旁路由，电视就自动用上了加密 DNS + 广告过滤。这种方式对电视本身零要求，哪怕是十年前的老盒子也能受益。在电视 Wi-Fi 里改 DNS，算不算私人 DNS？很多电视/盒子在"已连接 Wi-Fi → 修改网络 → 高级选项 → IP 设置改成静态"里，允许你手填 DNS 1 和 DNS 2。这里要泼一盆冷水：这只是把明文 DNS 换成另一个明文 DNS 服务器，不是加密。 和路由器 WAN 口填 1.1.1.1 是一个道理。你填了 8.8.8.8，查询依然走 53 端口裸奔，运营商和中间设备照样能看到你查了什么域名，照样能劫持。想真加密，必须走 DoT（853 端口）或 DoH（443 端口），而电视静态 Wi-Fi 设置里填不了主机名，也选不了协议。用第三方 App 给电视加 DoH 可行吗？理论上可行——安卓 TV 上确实有一些 DoH/DoT 客户端 App（比如基于 Intra、1.1.1.1 App 的电视版）。但实际体验很劝退：国内电视盒子大多没有 Google Play，装 App 要自己找 APK、用 U 盘侧载或者 adb 命令推。电视系统后台管控很严，这类 VPN 模式的 App 经常被系统杀进程，看一集视频就断了。每台电视都要单独装、单独配，家里三台电视就要折腾三遍，远不如路由器一次搞定。所以除非你就一台盒子、且动手能力很强，否则不推荐在电视上装 App 实现加密 DNS，走路由器/旁路由方案省心得多。不同设备对照设备类型有"私人 DNS"入口吗推荐方案原生安卓 TV / Google TV有，在网络和互联网里直接填 DoT 主机名国内定制安卓盒子（小米/当贝等）多数被阉割，找不到路由器 DHCP 下发 / 旁路由运营商 IPTV 盒子几乎都没有只能路由器层解决Apple TV / 三星 Tizen / LG webOS无此功能只能路由器层解决电视里改静态 Wi-Fi 的 DNS—只是换明文服务器，不算加密常见问题 FAQQ1：我在电视 Wi-Fi 高级设置里把 DNS 改成了 1.1.1.1，这算私人 DNS 吗？不算。这只是把明文 DNS 服务器从运营商换成了 Cloudflare，查询依然是明文的。私人 DNS 的核心是"加密"（DoT/DoH），不是"换地址"。Q2：电视开了私人 DNS 后，看视频会卡吗？走 DoT 加密后理论上多了一层 TLS 握手，首次解析可能略慢，但通常在几十毫秒内，看在线视频几乎感知不到。如果选了国外服务器（如 Cloudflare 1.1.1.1）在国内可能反而慢，建议优先选本站的 dns.23-4.cn 或阿里 DoT（dns.alidns.com）这种国内有节点的。Q3：怎么快速判断我的电视有没有私人 DNS 选项？进设置后直接在设置里搜"私人 DNS"或"Private DNS"。搜得到就按情况一操作；搜不到就是被厂商阉割了，直接走路由器方案。不同厂商系统位置可能略有差异，实在找不到可以查对应品牌的官方说明书。Q4：运营商送的 IPTV 盒子能不能破解出私人 DNS？不建议。运营商盒子系统锁得很死，强行破解可能导致 IPTV 直播功能失效，甚至变砖。最稳妥的办法就是在家庭路由器层统一做 DNS 加密，盒子自动跟着受益，不用动盒子本身。更多设备端的私人 DNS 设置教程，可以浏览本站的 私人 DNS 设置教程合集。参考来源Google Android 帮助《管理 Android 手机上的高级网络设置》——支撑"私人 DNS"官方入口路径（设置→网络和互联网→专用 DNS）、三个选项（关闭/自动/专用DNS提供商主机名）及"专用DNS只保障DNS问答数据安全"的说明。https://support.google.com/android/answer/9654714?hl=zh-HansCloudflare 开发者文档《Set up 1.1.1.1 on Android》——支撑 Android 9+ 通过 Private DNS 使用 DoT、设置路径（Settings > Network & internet > Advanced > Private DNS）及主机名形式（非IP）的事实。https://developers.cloudflare.com/1.1.1.1/setup/android/Google Public DNS 开发者文档《Get started》——支撑 Android 私人 DNS 使用 DoT 协议、填写 dns.google 作为主机名的配置方式。https://developers.google.com/speed/public-dns/docs/using相关阅读路由器设置私人DNS教程：全家设备统一加密DNS（小米/TP-Link/OpenWrt）浏览器开启私人DNS教程：Chrome/Edge/Firefox 设置DoH安卓原生私人DNS在哪设置？Android 9+ 私人DNS入口与hostname写法用私人DNS拦截广告：DNS广告过滤原理与开启方法私人 DNS 加密设置教程还没开始用？安卓 / 鸿蒙在「私人 DNS 提供商主机名」里填 dns.23-4.cn，30 秒生效，全程加密外加广告拦截——完整配置教程。
-
安卓「私人 DNS」到底是什么：从系统设置那个开关讲到 TLS 隧道 概念看完想直接上手的话，主机名填 dns.23-4.cn 就行，一分钟的事。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR： 手机设置里的"私人DNS"，是安卓 9（Android Pie）开始由系统原生提供的一项功能，本质是把原本明文发出的域名查询，通过 TLS 加密隧道发给指定的加密 DNS 服务器（协议即 DNS over TLS，简称 DoT，标准端口 853，见 RFC 7858）。它能防止你"查了哪个网站"被局域网、运营商偷看或中途篡改，但它不是 VPN——只加密"查域名对应地址"这一步，不加密网页内容，也挡不住恶意软件去改 hosts 文件。私人DNS到底是什么？先从一个比喻说起我们可以把上网想象成打电话：你想联系"张三"，但手机只能拨号码，于是需要先查一本"电话簿"——你说一句"张三的号码是多少"，电话簿回给你一串数字。这本电话簿就是 DNS（域名系统），那个查询动作就是 DNS 查询。问题在于，传统 DNS 查询是明文的，像一张写在明信片上的便签：从你的手机到电话簿服务器之间，路过的每一个环节（家里的路由器、咖啡店的 WiFi、运营商的线路）都能读到你写了什么。你查了哪家银行、哪个购物网站、哪台设备，全程可见。"私人 DNS"做的事，就是把这张明信片塞进一个密封信封：查询内容在手机本地用 TLS 加密，到达加密 DNS 服务器后才拆开。路上任何人只能看到"你在和某个加密 DNS 服务器通信"，看不到具体查了哪个域名。安卓设置里的"私人DNS"：官方定义到底是什么很多人第一次见到"私人 DNS"这四个字，是在安卓手机的「设置 → 网络和互联网 → 高级」里面。根据 Android 官方文档，从 Android 9（Pie）开始，系统引入了名为"Private DNS"的机制，它使用 DNS over TLS 为 DNS 查询提供安全与隐私保护。进入该菜单后，通常有三个选项：选项含义关闭退回传统明文 DNS，完全不加密自动（Automatic）系统尝试用加密 DNS，若网络不支持则静默回退到明文（即 RFC 7858 所说的"机会式隐私"）指定主机名（Private DNS provider hostname）强制走你填写的加密 DNS 服务器，连不上就直接报错，不回退明文（严格模式）需要强调：安卓这个"私人 DNS"菜单，走的是 DoT（端口 853），而不是浏览器里常见的 DoH。 如果你在浏览器设置里看到"安全 DNS"，那通常是另一套基于 HTTPS 的实现。两者最终目的相似，但技术路径不同，下文和本站加密 DNS 首页有专门区分。它的工作原理：TLS 隧道到底包了一层什么按照 RFC 7858 的规定，一台支持 DoT 的 DNS 服务器必须在 TCP 的 853 端口上监听并接受连接；客户端想获得隐私时，也要主动向服务器的 853 端口建立一条 TCP 连接，紧接着完成 TLS 握手。握手通过后，这条通道就被加密了，之后所有的查询和响应都在这条加密通道里传输。RFC 7858 还明确了一条安全细节：853 端口上绝不允许传输明文 DNS 消息，哪怕 TLS 握手失败也不行——这样做是为了防止"降级攻击"，即有人故意让你的加密连接失败，逼你退回明文。和这个机制配套的还有两种"信任等级"：机会式隐私（Opportunistic）：能加密就加密，连不上就算了，优先保证能用；密钥固定/指定主机名（Key-pinned）：你事先认准某台服务器的身份证书，只信它一家，连不上就报错，安全性更强但更"挑网络"。安卓的"自动"对应前者，"指定主机名"对应后者。私人DNS能帮你挡住什么，又挡不住什么这是最容易被误解的地方。一张表说清楚：场景私人DNS（加密）能防吗在公共 WiFi 下，别人偷看你查了哪些域名能，查询内容被 TLS 加密中途有人篡改你的 DNS 回答、把你导去假网站能，TLS 校验服务器身份，伪造回答通不过运营商或本地网络记录你的浏览域名偏好能，他们只能看到你在和加密 DNS 服务器通信加密网页（HTTPS）本身的内容不需要——网页内容本来就该由 HTTPS 加密不加密网页（HTTP）的内容不能，私人 DNS 只管"查地址"那一步恶意软件在你手机里改 hosts 文件不能，那是系统本地文件层面的问题病毒、钓鱼链接、木马下载不能，那是内容与终端安全范畴一句话总结：私人 DNS 保护的是"你和 DNS 服务器之间这一段路"，不是你的整段上网。 它不是 VPN，VPN 加密的是你几乎所有流量；私人 DNS 只加密域名查询这一小类流量。它和运营商DNS、公共DNS、自建DNS是什么关系这几个概念经常被混在一起，其实它们是不同维度的东西：运营商 DNS：你插卡、连宽带后自动分配的那台 DNS，通常明文、默认开启；公共 DNS：像 Google、Cloudflare 等提供的免费递归 DNS 服务，你可以手动指定地址；其中一部分同时支持 DoT/DoH 加密；自建 DNS：自己在服务器上搭一套解析服务（比如 AdGuard Home），地址由你说了算。"私人 DNS"描述的是传输方式（加密），而不是某一台特定的服务器。你可以把私人 DNS 指向某家公共加密 DNS，也可以指向自己家搭的加密 DNS。本站的免费加密 DNS 服务汇总整理了常见可选地址，可按需挑选。你属于该开私人DNS的那一类人吗？如果你符合下面任意两条，就建议开启：经常在咖啡店、机场、酒店等公共 WiFi 下上网；在意"运营商能看到我访问了哪些网站"这种长期隐私画像；曾遇到过打开网页被强制跳到广告页、运营商登录页；想要一个"设一次、全局生效"的加密方案，而不是每个 App 单独配。反过来，如果你长期只在自己家里、受信任的网络环境使用，且对隐私不敏感，那它对你的提升有限；部分校园网、企业内网还依赖内网域名，强制指定严格模式的私人 DNS 可能导致内网服务打不开——这时建议先用"自动"模式观察。具体连不上时的排查，可参考本站安卓私人 DNS 连不上的排查全流程。常见问题 FAQQ：私人 DNS 开了之后会不会变慢？A：加密握手确实增加了一点点开销，但主流加密 DNS 服务器都有任播节点，实测多数场景下差异很小，某些情况下反而比运营商 DNS 更快。Q：iPhone 上也有"私人 DNS"吗？A：iOS 没有安卓那个同名菜单，它通过"配置描述文件"来开启加密 DNS，设置路径和安卓不同，但底层同样是 DoT/DoH 这类加密协议。Q：私人 DNS 能代替 VPN 吗？A：不能。私人 DNS 只加密域名查询，VPN 加密的是你几乎所有网络流量，两者解决的问题范围完全不同。想马上用上？本站自建了一个加密 DNS，安卓/鸿蒙填主机名 dns.23-4.cn，Windows 11 和浏览器填 https://dns.23-4.cn/dns-query，在解析的同时顺手拦掉广告与跟踪器。完整步骤见私人 DNS 加密设置教程，配置完可以到战报页看自己的实时数据。参考来源RFC 7858 — Specification for DNS over Transport Layer Security (TLS), IETF, 2016：支撑"DoT 标准、TCP 853 端口、机会式与密钥固定两种隐私剖面、853 端口禁止明文传输"等事实。Android Developers — Behavior changes in Android 9 (Pie) DNS privacy：支撑"Android 9 起系统引入 Private DNS、应用需遵循 DNS-over-TLS 行为"的官方定义。Google Public DNS — Get Started (Android Private DNS 配置说明)：支撑"Android 9+ 在 设置 → 网络和互联网 → 高级 → 私人 DNS 中配置主机名"的操作路径。Google Support — Manage advanced network settings on your Android phone (Private DNS 三模式)：支撑"关闭 / 自动 / 指定主机名"三档模式的官方说明。相关阅读私人DNS选DoT还是DoH？加密协议区别与设备兼容性选择指南明文DNS有多危险？DNS劫持、污染、泄露风险与私人DNS能做什么私人DNS不生效怎么办？多设备通用排查方法与常见原因私人 DNS 加密设置教程安卓/苹果/Windows 私人DNS设置教程合集（30 篇）选服务比选协议更影响体验：本站自建的 dns.23-4.cn 支持 DoT / DoH 双协议，解析的同时拦掉广告与跟踪器——配置教程。
-
私人DNS选DoT还是DoH？加密协议区别与设备兼容性选择指南 其实不用纠结：本站两个协议都开着。安卓、路由器填 DoT 主机名 dns.23-4.cn，浏览器、Windows 填 DoH https://dns.23-4.cn/dns-query。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR： 如果你只是在安卓"私人 DNS"那一栏填地址，你选的其实就是 DoT（DNS over TLS，标准端口 853，RFC 7858）；如果你是在浏览器或 Windows 设置里开"安全 DNS"，那通常是 DoH（DNS over HTTPS，标准端口 443，RFC 8484）。两者加密强度相近，真正的差别在"你的设备原生支持哪一个"和"所在网络放不放行对应端口"。选哪个，不是看谁更先进，而是看你在哪台设备、哪个网络环境下用。设置私人DNS时，为什么总要在DoT和DoH之间纠结？很多人打开加密 DNS 教程，会看到两类地址：一类是让你填一个"主机名"（比如 dns.23-4.cn、dns.google），另一类是让你填一串 https://…/dns-query 开头的网址。填法不同，背后用的协议就不同——前者是 DoT，后者是 DoH。这篇文章不打算像教科书那样把两种协议的报文格式拆开讲（本站另有一篇DoH/DoT/DoQ 三种加密协议对比做了深度科普，想刨根问底可以去看）。这里只解决一个实际问题：当你要给自己的手机、电脑、路由器配置私人 DNS 时，到底该填哪一类地址。一张表看懂：DoT和DoH在"设置"层面的区别对比项DoT（DNS over TLS）DoH（DNS over HTTPS）标准来源RFC 7858，2016 年发布RFC 8484，2018 年发布标准端口TCP 853TCP 443（复用 HTTPS 端口）封装方式DNS 报文直接跑在 TLS 连接上DNS 报文塞进一次 HTTP 请求里，再跑在 HTTPS 上你在设置里看到的样子填一个主机名/域名填一个 https:// 开头的 URL典型原生入口安卓"私人 DNS"菜单浏览器"安全 DNS"、Windows 11 设置与普通网页流量的区分度853 端口流量较容易被单独识别混在大量 443 流量里，较难单独区分可以这样理解：DoT 是"专门为 DNS 修了一条加密专线"，DoH 是"把 DNS 伪装成普通 HTTPS 网页流量走"。你的设备原生支持哪个？别拿浏览器的习惯套手机这是实操中最容易踩的坑——不同系统的加密 DNS 入口，默认走的协议不一样：安卓手机：系统设置里那个"私人 DNS"，根据 Android 官方说明，用的是 DNS over TLS（DoT）。你在那里填的主机名，就是 DoT 地址；安卓这个菜单目前并不直接支持填 DoH 的 URL。浏览器（Chrome、Edge、Firefox）：设置里的"安全 DNS / 使用安全 DNS 指定服务提供商"，走的是 DoH，需要你填 URL 模板。它只管浏览器自己的解析，不影响手机里其他 App。Windows 10/11：较新版本的网络设置里，原生支持的加密 DNS 是 DoH（通过 DoH 模板配置），系统层面的 DoT 支持相对有限。macOS / iOS：主要通过描述文件或系统设置支持 DoH，DoT 支持视版本而定。结论很直接：想给安卓整机开加密 DNS，你基本没得选，就是 DoT；想给浏览器单独开，就是 DoH。 别在安卓的"私人 DNS"框里硬塞一个 https:// 网址，那是填不进去的。网络环境可用性：853和443端口的现实差异填对了协议，还要看你的网络放不放行。这里需要客观说明两个事实：RFC 7858 在引言里就提到，DoT 依赖一个"知名端口"（853），而这个知名端口有可能被某些防火墙阻断。这意味着在部分管控较严的网络里，853 端口的出站连接可能不通。RFC 8484 则指出，DoH 复用了 HTTPS 的默认端口 443，并且可以和其他 HTTPS 流量混在同一条连接上，这让路上的设备更难把 DNS 流量单独挑出来干扰。翻译成大白话：443 是所有正常上网都必须走的端口，几乎没有哪个网络会全封 443；而 853 是个相对小众的端口，理论上存在被单独限制的可能。但请注意——这只是协议层面的客观特性，不代表现实中一定会被封。多数家庭宽带、手机流量网络下，两者都能正常使用；只有在企业网、校园网、某些受限网络环境里，才可能遇到"DoT 连不上、换 DoH 就通"的情况。如果你在某个网络下私人 DNS 频繁连不上，可以两个都试一下。自建加密DNS时，两种协议的证书要求差别如果你不是用现成公共服务，而是自己搭一套加密 DNS（比如在 AdGuard Home、Pi-hole 上开启加密监听），两种协议对证书的要求也略有不同：DoT：服务器需要一份受信任的 TLS 证书，并与你在客户端填的主机名匹配。客户端会按 TLS 常规流程校验证书链，证书不匹配或过期就会握手失败——这也是安卓"指定主机名"模式下提示证书错误的常见原因。DoH：同样需要一份有效的 TLS 证书，因为它本质就是 HTTPS。区别在于 DoH 走的是标准 HTTPS 证书校验（RFC 8484 引用了 RFC 2818 的主机名校验规则），任何能让浏览器正常打开 https://你的域名 的证书，基本就能让 DoH 跑起来。实务上的建议是：自建时最好给服务器域名签一张正规 CA 证书（比如 Let's Encrypt），这样 DoT 和 DoH 都能用；用自签证书会导致客户端校验失败，需要额外手动导入信任，普通用户不推荐。决策表：什么场景选哪个你的场景建议选原因安卓整机开私人 DNSDoT系统原生菜单只支持 DoT只给浏览器开加密 DNSDoH浏览器安全 DNS 走 DoHWindows 10/11 系统级加密DoH系统设置原生支持 DoH所在网络疑似限制 853 端口优先试 DoH443 更难被单独阻断自建服务器、想一套证书两边通两种都配同一份正规证书可同时服务 DoT(853) 与 DoH(443)企业/校园网有内网域名要解析先测连通性再定严格模式可能挡住内网解析至于第三种加密协议 DoQ（DNS over QUIC），它更年轻、主要在部分实验性客户端和新一代浏览器中出现，本站那篇三协议深度对比有专门讲解，普通用户现阶段了解即可，设置入口里一般还碰不到它。常见问题 FAQQ：DoT 和 DoH 加密效果一样吗？哪个更安全？A：两者底层都依赖 TLS 加密，对"防窃听、防篡改"的保护强度是同一量级的，区别主要在封装方式和部署位置，而非谁更安全。Q：我能同时开安卓的 DoT 和浏览器的 DoH 吗？会不会冲突？A：通常可以并存。安卓 DoT 作用于整机解析，浏览器 DoH 只接管浏览器自己的解析；少数情况下两者指向不同服务器可能带来解析结果不一致，建议保持指向同一家服务商。Q：为什么我填了 DoT 主机名却提示"无法连接到私有 DNS 服务器"？A：多半是 853 端口在当前网络被限制，或证书校验失败。可先切换到"自动"模式观察，或换一家同时提供 DoH 的服务测试。本站的地址怎么填DoT（安卓私人 DNS / 路由器 / systemd-resolved）：主机名 dns.23-4.cn（853 端口），systemd-resolved 里写 8.160.173.68#dns.23-4.cnDoH（浏览器 / Windows 11）：https://dns.23-4.cn/dns-query详细步骤：私人 DNS 加密设置教程 ｜ 配置完看数据：战报页参考来源RFC 7858 — Specification for DNS over TLS (TLS), IETF, 2016：支撑"DoT 标准、TCP 853 端口、知名端口可能被防火墙阻断、两种隐私剖面"等事实。RFC 8484 — DNS Queries over HTTPS (DoH), IETF, 2018：支撑"DoH 标准、封装进 HTTP、复用 443 端口、可与其他 HTTPS 流量混合、引用 RFC 2818 证书校验"等事实。Android Developers — Android 9 DNS privacy / Private DNS 使用 DNS-over-TLS：支撑"安卓私人 DNS 走 DoT"的官方定义。Google Public DNS — Secure transports (DoT 853 / DoH 443 端点对照)：支撑"同一家服务商 DoT 用 853、DoH 用 443 URL"的端点对照示例。相关阅读DoH、DoT、DoQ：三种加密 DNS 协议，到底该选哪个？私人DNS是什么？一文看懂私人DNS原理、作用与适用人群明文DNS有多危险？DNS劫持、污染、泄露风险与私人DNS能做什么免费加密DNS服务：DoH/DoT 地址与一键配置指南安卓原生私人DNS在哪设置？Android 9+ 私人DNS入口与hostname写法选服务比选协议更影响体验：本站自建的 dns.23-4.cn 支持 DoT / DoH 双协议，解析的同时拦掉广告与跟踪器——配置教程。
