私人 DNS 连不上、一直转圈？853 端口网络排查
TL;DR：私人 DNS 一直转圈、迟迟连不上，绝大多数情况是网络在 853 端口上不通。最快定位法：把 Wi-Fi 关掉、只用移动数据再连一次——能连上，就说明原 Wi-Fi/运营商拦了 DoT 的 853 端口（RFC 7858）。临时可用 DoH（走 443）替代。证书报错（弹「无法验证服务器身份」）不属于本页，请看证书专题。
先分清：是「连不上」还是「证书错」
| 现象 | 卡在哪一层 | 该看哪 |
|---|---|---|
| 一直转圈、没有任何报错 | 网络层：853 端口不通 / 主机名解析不出 | 本页 |
| 直接弹「无法验证服务器身份」 | TLS 证书校验失败 | 证书专题 |
| 能连上但改完就全网断 | 加密 DNS 不通又被强制走它 | 断网回退 |
| 某些App可用、某些超时 | 与 VPN 类 App 争抢 | VPN 冲突 |
最常见原因（按概率）
| 概率 | 原因 | 依据/特征 |
|---|---|---|
| 高 | 当前网络封锁 853 端口 | DoT 固定走 853，公共/企业 Wi-Fi、部分运营商常封该端口 |
| 高 | 连主机名本身都解析不了 | 手机此时依赖的普通 DNS 把 dns.23-4.cn 解析失败，TLS 无从建立 |
| 中 | Wi-Fi 强制门户未登录 | 酒店/机场 Wi-Fi 需先网页登录才能出网 |
| 中 | VPN/加速器在干扰 | 本地 VPN 通道占用了 DNS 路径 |
| 低 | 服务器本身故障 | 换公共 DoT（dns.google）也连不上则多为本机/网络问题 |
端口登记可查 IANA 官方端口列表：DoT 用 853，DoH 与普通 HTTPS 共用 443。这也是为什么 853 容易被封、443 通常畅通。
分步网络排查
1
切移动数据测试关闭 Wi-Fi，用 4G/5G 重新保存一次私人 DNS。若立刻「已连接」，问题锁定在原 Wi-Fi/宽带——它在拦截 853 端口，手机设置本身没问题。
2
公共/企业 Wi-Fi 先过门户酒店、机场、公司 Wi-Fi 通常要先在弹出的网页登录/认证。用浏览器随便打开一个 http 页面完成认证后，再回私人 DNS 重试。
3
断开 VPN / 加速器临时关闭所有 VPN、游戏加速器、AdGuard 类本地过滤 App，再测。这类 App 常通过本地 VPN 接管 DNS，会让私人 DNS 表现为一直转圈。
4
确认主机名能被普通DNS解析先把私人 DNS 设回「自动」，用浏览器打开
dns.23-4.cn 看能否打开。打不开说明当前网络连主机名都解析不到，自然连不上加密 DNS。5
换一台公共 DoT 对比主机名临时改成
dns.google。所有 DoT 都连不上＝本机网络环境；只有自建连不上＝服务器问题。6
改用 443 的 DoH 绕过封锁853 被封时，在浏览器（或支持 DoH 的系统）填入
https://dns.23-4.cn/dns-query。DoH 走 443 端口，与普通网页同端口，一般不会被拦。排查期间如果改完私人 DNS 导致完全无法上网，先把私人 DNS 改回「自动/关闭」恢复联网，再继续测试。
高级排查：用命令判断端口到底通不通
在与手机同一网络的电脑上执行，能直接区分「端口被封」还是「服务器故障」：
测试 853 端口连通性
Linux/macOS：nc -vz dns.23-4.cn 853
Windows PowerShell：Test-NetConnection dns.23-4.cn -Port 853
- succeeded / open：端口通，问题在手机端（时间、主机名、缓存）。
- timeout / timed out：当前网络到 853 被拦截，换网络或改 DoH。
对照测试 443 是否通
nc -vz dns.23-4.cn 443。若 443 通而 853 不通，就是典型的「只封了 DoT 端口」，用 DoH 即可替代。
端口与防火墙对加密 DNS 的影响详见知识库 DoH/DoT 端口与防火墙。
234 加密DNS 服务地址
https://dns.23-4.cn/dns-querytls://dns.23-4.cndns.23-4.cn853 被封时优先用第一个 DoH 地址（443端口）；DoT 主机名在网络允许时用第三个。
常见问题
私人DNS状态一直转圈、连不上怎么办？+
先分清是证书问题还是网络问题：若报“无法验证服务器身份”看证书专题；若只是一直转圈，多为853端口不通。把Wi-Fi换成移动数据试一次：能连就是原网络拦了端口，可改用走443的DoH。
为什么公共Wi-Fi下私人DNS总是连不上？+
很多公共/企业Wi-Fi只放行常用端口，853（DoT）常被封。这类网络还会强制门户网页登录。可改用浏览器DoH（443端口），或连手机热点测试。
怎么知道是不是运营商封了853端口？+
在电脑执行 nc -vz dns.23-4.cn 853（Windows用Test-NetConnection）。若连接超时、换网络又能通，基本可判定该网络/运营商拦截了853端口。
DoT被墙了，有没有不依赖853的替代方案？+
有。改用DoH（DNS over HTTPS，走443，RFC 8484），在浏览器或支持DoH的系统里填 https://dns.23-4.cn/dns-query，与普通HTTPS同端口，通常不会被拦。
信息来源
- RFC 7858：DNS over TLS（DoT，853 端口）
- RFC 8484：DNS over HTTPS（DoH，443 端口）
- IANA：端口号登记（853/443）
- Android Developers：加密 DNS 行为说明
最后更新：2026-10-01 · © 234实验室