搜索到 2 篇 分类为 路由器与家庭网络 的文章
-
在路由器上设置加密 DNS，以及那个「路由器把 DNS 又改回去」的坑 加密 DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 实时战报在路由器上配一次，全家设备（包括电视盒子、音箱、摄像头这些改不了设置的东西）一起生效——这是路由器方案最大的价值。但很多人配完之后发现「没生效」，或者「手机生效了，电脑没生效」。绝大多数情况下，问题不在你填的地址，而在路由器把 DNS 又改回去了。这篇把这条路走通。一、先分清两种「在路由器上配 DNS」做法谁在解析覆盖范围改路由器的上游 DNS（WAN 侧）路由器自己转发所有走路由器 DHCP 的设备改路由器下发给设备的 DNS（DHCP 侧）设备直接问那个地址同上，但设备能感知到大多数家用路由器是第一种：路由器跑一个 DNS 代理（dnsmasq 之类），自己向上游查询，同时通过 DHCP 告诉所有设备「你们的 DNS 就是我」。设备问路由器，路由器再转发。这是正常且推荐的做法——设备只需要知道一个地址，规则和缓存集中在路由器上。二、坑在这里：路由器会偷偷用回运营商的 DNS配好上游 DNS 之后，很多路由器仍然会从运营商那里自动获取 DNS 并优先使用。表现就是「明明填了，解析结果还是运营商的」。原因通常有三个，都要检查：1. WAN 口的「自动获取 DNS」没关。OpenWrt：在 WAN 接口上加一行 option peerdns '0'，明确拒绝运营商下发的 DNS；小米 / Redmi：上网设置里把 DNS 从「自动」改成「手动」，填上你要用的地址；TP-Link / 华硕：WAN 设置里找「使用这些 DNS 服务器」并取消「从 ISP 获取」。2. IPv6 的 RDNSS 在偷偷下发 DNS。这是最隐蔽的一个。很多路由器通过 IPv6 的 RA（路由通告）下发 IPv6 DNS 服务器，而支持 IPv6 的设备会优先使用 IPv6 的 DNS，完全绕过你在 IPv4 侧做的设置。如果你不需要 IPv6：直接在路由器上关掉 IPv6（或关掉 RA 里的 DNS 通告）；如果需要 IPv6：把 IPv6 的 DNS 也改成你的解析器（OpenWrt 里对应 ra_dns、以及 WAN6 接口的 peerdns '0'）；快速验证：在电脑上执行 nslookup example.com，看返回的 Server 地址是 IPv4 还是 IPv6，是不是你配的那个。3. 有些设备的 DNS 是写死的。智能电视、部分安卓盒子、某些 IoT 设备会硬编码 8.8.8.8 或运营商 DNS，无视 DHCP。这种情况只能靠路由器做强制重定向（把发往 53 端口的流量劫持到本地解析器）。这属于进阶操作，在 OpenWrt 上可以用一条 NAT 规则实现：# 把局域网内所有发往 53 端口的 DNS 查询，强制转到本地解析器 # （示意，实际接口名按你的环境改） iptables -t nat -A PREROUTING -i br-lan -p udp --dport 53 -j REDIRECT --to-ports 53 iptables -t nat -A PREROUTING -i br-lan -p tcp --dport 53 -j REDIRECT --to-ports 53注意：这么做的副作用是设备自带的「私人 DNS / DoT」会被一起劫持，加密连接会失败。如果你同时希望手机用 DoT，就不要无脑全局劫持。三、路由器怎么配加密 DNS关键前提：加密 DNS 需要路由器本身支持 DoT 或 DoH。 大部分原厂家用路由器只支持「填一个明文 DNS 的 IP」，而本站没有开放明文 53 端口，所以：原厂固件只支持明文 DNS → 无法直接用本站服务；支持 DoH 的原厂固件（部分华硕、部分小米新款、部分企业级）→ 在 DNS 设置里选「DoH / 加密 DNS」，填 https://dns.23-4.cn/dns-query；OpenWrt → 三种成熟方案：stubby：DoT，上游填 dns.23-4.cn；https-dns-proxy：DoH，上游填 https://dns.23-4.cn/dns-query；直接跑一个 AdGuard Home：上游填 DoT / DoH 地址，顺带拿到规则、日志和每台设备的统计。一个常见误区：把 IP 当成普通 DNS 填进去。 本站的 8.160.173.68 只用于「必须填 IP、并且能同时开启加密」的场景（比如 Windows 11 的 DoH 模板），单独填 IP 当明文 DNS 是连不上的。四、配完怎么验证「到底有没有生效」按这个顺序，逐层排除：# 1. 看设备实际拿到的 DNS 是谁（Linux/macOS） cat /etc/resolv.conf # Windows ipconfig /all | findstr "DNS Servers" # 2. 看解析请求实际发给了谁 nslookup www.example.com # 返回里的 Server 一行就是真正在给你解析的地址 # 3. 确认解析结果没有被劫持 # 故意查一个不存在的域名，看返回的是 NXDOMAIN 还是广告页 IP nslookup this-domain-should-not-exist-234.cn最直接的验证是打开 实时战报：如果全家设备都走了这条路，战报上的请求量会有明显台阶式上升。 这是唯一能一次性确认「所有设备都生效了」的办法。五、小结现象最可能的原因配了上游 DNS 但结果还是运营商的WAN 口「自动获取 DNS」没关（peerdns）手机生效了，电脑/电视没生效IPv6 RDNSS 下发了另一套 DNS某个设备怎么都不生效设备硬编码了 DNS，需要强制重定向路由器里填了本站 IP 但连不上本站不开放明文 53，必须走 DoT / DoH想覆盖改不了设置的设备只能靠路由器；设备侧开关（如安卓私人 DNS）会覆盖路由器的下发相关阅读路由器设置私人DNS教程：全家设备统一加密DNS（小米/TP-Link/OpenWrt）私人 DNS 加密设置教程安卓「私人 DNS」为什么只能填主机名、不能填 IP自建AdGuard Home教程：搭建属于自己的私人DNS服务器 -
路由器设置私人DNS教程：全家设备统一加密DNS（小米/TP-Link/OpenWrt） 方案二、方案三里的 DoT 上游，直接填 dns.23-4.cn——853 端口已开放，证书是 Let's Encrypt 签的，安卓和路由器都认。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR 一句话结论：在路由器 WAN 口或 DHCP 里填 1.1.1.1、8.8.8.8 这类地址，只是把运营商的明文 DNS 换成了公共明文 DNS，并不等于加密。想让全家手机、电脑、电视都用上加密 DNS，现实里只有三条路：①路由器 DHCP 下发自定义 DNS（最简单、全家生效、但不加密）；②刷 OpenWrt 后用 Stubby / AdGuard Home 做 DoT 上游（真加密、有一定门槛）；③旁路由跑 AdGuard Home（灵活、推荐进阶用户）。路由器填了 DNS 地址，为什么不等于"私人 DNS"？很多人搜"路由器怎么设置私人 DNS"，照着教程在后台填了一串 IP，以为就万事大吉了。这里必须先把概念讲清楚，否则后面全是白做。传统 DNS 查询是明文的：你的手机问"www.baidu.com 的 IP 是多少"，这个问题在网络上是裸奔的，运营商、公共 Wi-Fi 监听者、甚至路由器本身都能看到你查了哪些域名。所谓"私人 DNS"或"加密 DNS"，指的是用 DoT（DNS over TLS，端口 853）或 DoH（DNS over HTTPS，端口 443）把这个查询包加密起来，中间人看不到域名内容。而你在路由器后台填的 1.1.1.1、223.5.5.5，只是换了一个明文 DNS 服务器的 IP 地址。查询依然走 53 端口明文发送，只不过从运营商的 DNS 换成了 Cloudflare 或阿里的 DNS。好处是可能更快、更少劫持，但隐私保护层面和原来没有本质区别。两者的协议差异可以参考本站的 DoH/DoT/DoQ 协议对比文章。方案一：路由器 DHCP 下发自定义 DNS（最简单，但不加密）如果你只是想全家设备统一用某个公共 DNS（比如解决某个网站打不开、想更快解析），而不追求加密，这是最省事的方案。原理是：路由器通过 DHCP 告诉所有连进来的设备"请用这个 DNS"，设备自动获取后就跟着走。TP-Link 路由器操作路径浏览器登录路由器管理后台（新固件通常是 tplinkwifi.net，旧款可能是 192.168.0.1）。进入 高级设置 → 网络 → 互联网（WAN），找到"DNS"一栏，选择"使用以下 DNS 地址"。填入首选和备用 DNS。这里只能填 IP：想用本站服务填 8.160.173.68，或者用阿里的 223.5.5.5、223.6.6.6，保存。旧款绿色/蓝色界面的 TP-Link，路径是 网络参数 → WAN 口设置 → 高级设置 → 手动设置 DNS 服务器。以上路径来自 TP-Link 官方服务支持文档。不同型号固件版本略有差异，找不到时就在后台左侧菜单里找"WAN"或"上网设置"。小米 / Redmi 路由器操作路径浏览器访问 miwifi.com 或默认地址 192.168.31.1 进入 Web 后台。进入 常用设置 → 局域网设置 → DHCP 服务，在这里可以配置 DHCP 相关参数。部分型号在"上网设置"里也能改 WAN 口 DNS，按界面提示填写即可。以上路径来自小米官方帮助中心的 DHCP 服务说明。注意：小米路由器官方固件目前不支持直接填写 DoT/DoH 加密 DNS 上游，只能填 IP 形式的明文 DNS。这个方案的优缺点优点：零门槛、所有连接设备自动生效、不用逐台设置。缺点：依然是明文 DNS，只是换了服务器；运营商仍能看到你的域名查询；不防劫持的场景下收益有限。方案二：OpenWrt + Stubby 实现全家 DoT 加密（真加密，有门槛）如果你有一台可以刷 OpenWrt 的路由器，这是实现"全家设备自动走加密 DNS"最干净的方案。OpenWrt 官方 Wiki 给出的标准做法是用 Stubby 做本地 DoT 存根解析器，流程是：局域网设备 → dnsmasq（53端口）→ stubby（5453端口）→ 加密 DoT 到上游（853端口）所有设备感知不到任何变化，它们还是向路由器的 53 端口发明文查询，但路由器内部已经用 TLS 加密转发到了上游 DoT 服务器。简要步骤（以官方 Wiki 为准）：进入路由器 SSH 命令行，执行 opkg update && opkg install stubby。编辑 /etc/stubby/stubby.yml，配置你要用的 DoT 上游——本站的 dns.23-4.cn（853 端口已开放、证书由 Let's Encrypt 签发），或者 Cloudflare 的 one.one.one.one、Quad9 的 dns.quad9.net。在 dnsmasq 配置里把转发地址指向 127.0.0.1#5453。确保路由器通过 DHCP 把自己广播为 DNS 服务器，这样局域网设备自动受益。建议在防火墙里封掉 WAN 口的 TCP/UDP 53 端口出站，防止设备绕过加密直发明文 DNS。上游 DoT 地址可以参考本站整理的免费加密 DNS 地址清单。方案三：旁路由跑 AdGuard Home（进阶推荐）如果你的主路由不能刷 OpenWrt（比如运营商定制光猫、品牌固件锁死），旁路由是另一条现实路线：用一台旧手机、树莓派、或者便宜的小主机跑 AdGuard Home，作为旁路网关接入现有网络，主路由把 DHCP 的 DNS 指向这台旁路由。这样做的好处是：主路由不用动，旁路由想刷就刷、想换就换；AdGuard Home 既支持 DoT/DoH 上游加密，又自带广告过滤和规则订阅，一台设备解决两个需求。详细搭建方法我们会在本系列后续的自建 AdGuard Home 教程里展开，这里先给概念。三种方案对比方案加密效果设置难度全家生效适合人群路由器 DHCP 填公共 DNS IP无加密，仅换服务器★ 极低是只想换个快 DNS 的普通用户OpenWrt + Stubby 做 DoT全链路加密（DoT 853）★★★★ 较高是有刷机经验、追求隐私的用户旁路由 AdGuard Home全链路加密 + 广告过滤★★★ 中等是不想动主路由、想兼顾去广告的用户常见问题 FAQQ1：我在路由器里填了 1.1.1.1，为什么还是被 DNS 劫持？因为 1.1.1.1 只是个明文 IP，运营商或中间设备依然可以在 53 端口上做劫持和污染。想真正防劫持，必须走 DoT 或 DoH 加密通道，也就是方案二或方案三。Q2：怎么判断我的路由器支不支持加密 DNS？普通品牌固件（TP-Link 家用款、小米官方固件、华为家用款）的后台通常只有填 IP 的地方，没有"DoT 主机名"或"DoH URL"输入框。支持加密上游的往往是 OpenWrt、梅林、pfSense 这类第三方固件，或者企业级路由器。Q3：改了路由器 DNS 后，家里所有设备都要重新连 Wi-Fi 吗？不需要重连 Wi-Fi。但设备需要重新获取一次 DHCP 租约才能拿到新的 DNS 地址——一般等几分钟自动刷新，或者手动断开重连一次 Wi-Fi 即可。Q4：旁路由和主路由是什么关系？会影响网速吗？旁路由不承担拨号和 NAT，只负责 DNS 和可选的过滤。正常上网流量还是主路由直接转发，旁路由只处理 53 端口的 DNS 查询，对网速几乎没有影响。更多设备端的私人 DNS 设置教程，可以浏览本站的 私人 DNS 设置教程合集。参考来源TP-Link 官方服务支持《如何修改路由器登录帐号以及判断 DNS 设置是否正常？》——支撑文中 TP-Link 旧固件 WAN 口/DHCP DNS 设置路径（网络参数→WAN口设置→手动设置DNS服务器）。https://service.tp-link.com.cn/detail_article_575.htmlTP-Link 官方 FAQ《How to change DNS Servers on TP-Link Routers》——支撑新固件界面路径（Advanced > Network > Internet > Use the Following DNS Addresses）。https://www.tp-link.com/ph/support/faq/1711/小米官方帮助中心《【路由器】DHCP服务》——支撑小米路由器 DHCP 服务入口（常用设置→局域网设置→DHCP服务）及管理地址 miwifi.com / 192.168.31.1。https://ics-resources.xiaomi.com/ics-resources/articles/60516fba5078534fd7632cbe.htmlOpenWrt 官方 Wiki《Stubby》——支撑 OpenWrt 上用 Stubby 做 DoT 加密的架构（dnsmasq:53 → stubby:5453 → encrypted:853）、安装命令与配置要点。https://openwrt.org/docs/guide-user/services/dns/stubby相关阅读智能电视和电视盒子怎么设置私人DNS？安卓TV 图文教程自建AdGuard Home教程：搭建属于自己的私人DNS服务器安卓原生私人DNS在哪设置？Android 9+ 私人DNS入口与hostname写法浏览器开启私人DNS教程：Chrome/Edge/Firefox 设置DoH免费公共DNS还是自建DNS服务器？私人DNS选型与成本对比想现在就把电脑的 DNS 换掉？DoT 主机名 dns.23-4.cn、DoH 地址 https://dns.23-4.cn/dns-query，各系统步骤见私人 DNS 加密设置教程。
