AdGuard Home规则订阅怎么配置？去广告规则源推荐与拦截验证 TL;DR：打开AdGuard Home面板 → 左侧「过滤器」→「DNS拦截清单」→「添加拦截清单」，粘贴规则订阅URL即可。推荐新手从AdGuard官方DNS Filter + OISD Small起步，拦截率和误拦率平衡得最好。配完用 dig 命令查一个被拦截的域名，返回 0.0.0.0 或 NXDOMAIN 就说明生效了。AdGuard Home里在哪里添加规则订阅？很多刚装好AdGuard Home的朋友发现：为什么我开了私人DNS还是有广告？因为AdGuard Home默认只内置了很少的几条规则，你需要自己添加去广告的规则订阅才能发挥作用。操作路径非常简单：登录AdGuard Home的Web管理面板点击左侧菜单的「过滤器」选择「DNS拦截清单」（有的版本叫「DNS过滤列表」）点击右上角的「添加拦截清单」按钮在弹出的窗口里，你可以从内置列表里选，也可以选「自定义列表」粘贴自己的URL填好名称和订阅地址后，点「保存并应用」添加成功后，规则会自动下载并启用。你可以随时在这个页面勾选/取消勾选某个规则源来临时开关它。推荐哪些去广告规则源？全部给官方地址下面推荐的都是社区里口碑最好、维护最活跃的DNS过滤规则源，全部附上官方地址，你可以直接复制到AdGuard Home里用。1. AdGuard DNS Filter（官方基础款）AdGuard官方维护的DNS过滤列表，专门针对广告和跟踪域名优化。这是AdGuard Home默认推荐的基础规则，误拦率低，适合作为打底。规则订阅地址：在AdGuard Home的「添加拦截清单」内置列表里直接选「AdGuard DNS filter」即可，无需手动粘贴URL官方主页：https://adguard.com/特点：更新频繁、中文站点适配好、误拦极少2. OISD（推荐进阶用户）OISD是由社区志愿者维护的独立DNS过滤项目，以「少而精」著称——它不是简单堆砌所有广告域名，而是经过人工筛选，只保留真正影响浏览体验的广告和跟踪域名，误拦率控制得非常好。OISD提供多个版本，按需选择：版本订阅地址规则量级适合人群OISD Smallhttps://small.oisd.nl/约10万条新手入门、怕误拦OISD Bighttps://big.oisd.nl/约30万条追求强拦截OISD NSFWhttps://nsfw.oisd.nl/成人内容拦截家长控制场景官方主页：https://oisd.nl/特点：独立维护、透明度高、社区口碑好3. Hagezi DNS Blocklists（极客向多选）Hagezi是GitHub上一个非常活跃的DNS过滤规则项目，提供从「轻度」到「重度」的多个梯度版本，你可以根据自己的耐受度选。常用版本订阅地址（基于GitHub Raw）：Multi Pro（全能版，广告+跟踪+恶意软件）：https://raw.githubusercontent.com/hagezi/dns-blocklists/main/adblock/pro.txtMulti Normal（平衡版）：https://raw.githubusercontent.com/hagezi/dns-blocklists/main/adblock/multi.txtTIF（Threat Intelligence Feed，威胁情报版）：https://raw.githubusercontent.com/hagezi/dns-blocklists/main/adblock/tif.txt官方GitHub：https://github.com/hagezi/dns-blocklists特点：版本丰富、分类细致、更新很快规则更新间隔怎么设置？要手动更新吗？AdGuard Home会自动定期更新所有订阅的规则列表，默认更新间隔是24小时。你可以在「过滤器 → DNS拦截清单」页面看到每个规则源的「上次更新时间」和「规则数量」。如果你刚加了一个新规则想立刻生效，可以手动更新：在「DNS拦截清单」页面点击右上角的「检查更新」按钮（有的版本是一个刷新图标）等待几秒钟，所有规则源会重新拉取最新版本一般来说，一天自动更新一次就够了。广告和跟踪域名的更新速度没那么快，没必要每分钟都去拉。怎么验证规则真的生效了？加了规则不代表一定拦得住，你需要自己验证一下。这里给两种验证方法：方法一：用dig命令在服务器上测SSH登录到你的AdGuard Home服务器，执行：dig doubleclick.net @127.0.0.1把 doubleclick.net 换成一个你觉得应该被拦截的广告域名。如果拦截生效了，返回结果里的ANSWER SECTION会显示：doubleclick.net. 300 IN A 0.0.0.0 — 说明AdGuard Home把它指向了空地址或者状态是 NXDOMAIN — 说明直接返回了域名不存在如果返回的是真实的IP地址，说明这个域名没被你的规则列表覆盖到。方法二：在AdGuard Home查询日志里看打开AdGuard Home面板左侧的「查询日志」，然后用手机或电脑随便打开几个网页。你会看到：绿色/正常的请求：放行的域名红色/被拦截的请求：规则命中的域名点开任意一条被拦截的记录，还能看到它是被哪条规则、哪个规则列表拦截的。这个方法最直观，建议新手从这里开始排查。本站规则订阅服务是什么？和本文有什么关系？本站提供了一套DNS过滤规则开放订阅服务，专门针对中文网络环境优化，你可以直接在AdGuard Home里添加本站的规则订阅地址来用。完整的规则列表和订阅入口都放在本站的DNS过滤规则订阅页上，你可以去那里拿到最新的订阅URL，然后按照本文上面讲的方法粘贴到AdGuard Home的「自定义拦截清单」里即可。简单说：本文教你「怎么在AdGuard Home里加规则」，本站规则订阅服务给你「现成的好用规则」，两者搭配效果最好。常见问题Q：规则加得越多拦截效果越好吗？A：不是。规则列表不是越多越好，加太多容易导致误拦（正常网站打不开），还会占用更多内存。新手建议从「AdGuard DNS Filter + OISD Small」两条起步，不够再慢慢加。Q：为什么有些广告还是能看到？A：DNS层面的过滤只能拦截「独立域名」的广告请求。如果广告和正文是同一个域名下发的（比如很多视频网站的贴片广告），DNS层就拦不住。这是DNS过滤的固有限制，不是你配错了。Q：规则订阅链接失效了怎么办？A：如果某个规则源长期无法更新，AdGuard Home会在那个规则旁边标红提示。你可以去该规则的官方GitHub或主页看看是不是换了地址，删掉旧的、添加新的即可。参考来源AdGuard DNS知识库 - 拦截列表配置 — 支撑AdGuard Home/AdGuard DNS面板内添加规则列表的操作流程OISD官方网站 — 支撑OISD规则版本分类与官方订阅地址Hagezi DNS Blocklists GitHub仓库 — 支撑Hagezi规则版本与Raw订阅URLAdGuard DNS过滤规则语法文档 — 支撑DNS过滤规则的工作原理说明

自建AdGuard Home教程：搭建属于自己的私人DNS服务器 TL;DR：想拥有完全可控的私人DNS？你需要一台VPS、一个域名和一张TLS证书。用AdGuard Home官方脚本一键安装，在Web面板里配好上游DNS和加密协议（DoT端口853 / DoH端口443），就能让手机、电脑通过自己的域名连接私人DNS，全程广告拦截、防跟踪、零日志都由你说了算。搭建私人DNS之前需要准备什么？自建AdGuard Home不是装个软件就完事，你需要先备齐三样东西：一台有公网IP的VPS：国内可选阿里云、腾讯云轻量服务器，海外可选Vultr、DigitalOcean等。最便宜的入门款就够跑AdGuard Home。如果你担心服务器账单失控，可以参考本站这篇阿里云2元/月服务器防天价账单。一个域名：你需要一个域名来申请TLS证书，也是客户端连接私人DNS的地址。域名可以在Namesilo、阿里云、Cloudflare等平台注册，一年几十块钱。TLS证书：DoT和DoH都基于TLS加密，必须要有证书。推荐用Let's Encrypt免费申请，配合certbot自动续期。如果你刚买了一台轻量服务器不知道怎么初始化，本站有一篇Alpine轻量服务器初始化清单可以参考，里面涵盖了系统更新、防火墙、SSH加固等基础步骤。方法一：用官方脚本一键安装AdGuard HomeAdGuard Team官方提供了一键安装脚本，支持绝大多数Linux发行版。以root身份执行以下命令：wget --no-verbose -O - https://raw.githubusercontent.com/AdguardTeam/AdGuardHome/master/scripts/install.sh | sh -s -- -v如果你用的是FreeBSD或其他带fetch工具的系统，可以换成：fetch -o - https://raw.githubusercontent.com/AdguardTeam/AdGuardHome/master/scripts/install.sh | sh -s -- -v脚本会自动下载最新版AdGuard Home二进制文件、创建系统服务并启动安装向导。安装完成后，AdGuard Home会作为系统服务自动运行。方法二：用Docker部署（适合已有Docker环境的用户）官方也提供了Docker镜像 adguard/adguardhome。如果你更习惯容器化部署，可以用这条命令启动：docker run -d \ --name adguardhome \ --restart unless-stopped \ -v /your/host/workdir:/opt/adguardhome/work \ -v /your/host/confdir:/opt/adguardhome/conf \ -p 53:53/tcp -p 53:53/udp \ -p 80:80/tcp \ -p 443:443/tcp -p 443:443/udp \ -p 853:853/tcp -p 853:853/udp \ -p 3000:3000/tcp \ adguard/adguardhome:latest注意：Docker安装的AdGuard Home不会自动更新，需要你手动拉取新镜像并重启容器。这一点和脚本安装版不同，脚本版支持自动检测更新。安装后第一次配置：打开Web管理面板安装完成后，打开浏览器访问 http://你的服务器IP:3000，进入初始化设置向导。第一步：创建管理员账号设置用户名和密码，这是登录Web管理面板的凭据，务必用强密码。第二步：设置监听端口AdGuard Home默认监听以下端口，你需要确保防火墙放通：端口协议用途53UDP/TCP明文DNS服务3000TCPWeb管理面板（初始化阶段）80TCPWeb面板（可选，改完后建议关闭）853TCP/UDPDNS-over-TLS / DNS-over-QUIC443TCP/UDPDNS-over-HTTPS第三步：配置上游DNS在「设置 → DNS设置」里，填上上游DNS服务器地址。推荐用加密的公共DNS作为上游，比如：https://dns.cloudflare.com/dns-query（Cloudflare 1.1.1.1 DoH）https://dns.google/dns-query（Google Public DNS DoH）tls://dns.adguard-dns.com（AdGuard DNS DoT）这样你的AdGuard Home → 上游DNS这一段也是加密的，整条链路更安全。启用DoT和DoH：让客户端用加密方式连你的私人DNS这一步是自建私人DNS的核心——只有开了加密协议，手机才能在系统「私人DNS」设置里填你的域名。1. 先准备好TLS证书用certbot从Let's Encrypt申请一张免费证书。假设你的域名是 dns.example.com，证书文件通常在：证书文件：/etc/letsencrypt/live/dns.example.com/fullchain.pem私钥文件：/etc/letsencrypt/live/dns.example.com/privkey.pem2. 在AdGuard Home面板里开启加密进入「设置 → 加密设置」：勾选「启用加密协议」服务器名称填你的域名，比如 dns.example.com证书路径填 fullchain.pem 的完整路径私钥路径填 privkey.pem 的完整路径确认端口：DoT默认853，DoH默认443点击「保存」保存后，AdGuard Home就会同时在853端口提供DoT服务、在443端口提供DoH服务。你可以用 openssl s_client -connect dns.example.com:853 测试连通性。客户端怎么接入？安卓私人DNS填什么？配好DoT之后，安卓手机就可以用系统自带的「私人DNS」功能连接你的自建服务器了：打开安卓「设置 → 网络和互联网 → 私人DNS」选择「指定私人DNS提供商」输入你的域名，比如 dns.example.com保存连上之后，你手机的所有DNS查询都会通过TLS加密发到你自己的AdGuard Home，再由它去查询上游。不同品牌手机的设置入口略有差异，本站整理了全系列的私人DNS设置教程合集，小米、华为、OPPO、vivo、三星、iPhone各机型都有对应的图文步骤。自建之后你需要承担的维护责任自建私人DNS不是一劳永逸的，你需要对自己的服务器负责：软件更新：AdGuard Home会持续更新功能和修复漏洞，记得定期更新。脚本安装版可以在Web面板首页看到更新提示。证书续期：Let's Encrypt证书有效期90天，务必配置certbot自动续期（certbot renew --dry-run 测试一下）。证书过期后DoT/DoH会直接断连。安全加固：Web管理面板不要暴露在公网随便让人访问，建议改默认端口、加IP白名单，或者只通过SSH隧道访问。上游DNS稳定性：如果上游DNS挂了，你的私人DNS也会跟着挂。建议配置多个上游做故障转移。常见问题Q：自建私人DNS和直接用公共加密DNS有什么区别？A：最大的区别是「控制权」。自建的话，过滤规则你自己选、查询日志你自己管、用不用零日志由你定。公共加密DNS方便但依赖服务商的信誉。Q：我的VPS只有几十M带宽，跑AdGuard Home够吗？A：DNS查询的数据量非常小，即使是入门款VPS也能轻松带得动几个人日常使用。真正吃带宽的是网页浏览和视频，不是DNS。Q：为什么我开了私人DNS还是能看到广告？A：DNS层面的广告过滤只能拦截「域名级」的广告请求。网页内嵌的JS广告、视频贴片广告是和正文同域名下发的，DNS层拦不住。想深入了解可以看这篇用私人DNS拦截广告的原理与局限。参考来源AdGuard Home 官方GitHub仓库 - 安装说明 — 支撑官方安装脚本命令与Docker镜像信息AdGuard DNS知识库 - DNS加密配置 — 支撑DoT/DoH证书配置与端口说明AdGuard DNS知识库 - Docker部署 — 支撑Docker端口映射与部署参数AdGuard DNS知识库 - 入门指南 — 支撑安装端口要求与初始化流程

免费公共DNS还是自建DNS服务器？私人DNS选型与成本对比 TL;DR：一句话结论90%的普通用户，直接用免费公共DNS（阿里223.5.5.5、腾讯119.29.29.29）就够了——零成本、零运维、速度快。只有当你同时满足"有域名+懂基础Linux+在意隐私或需要自定义广告过滤规则"这三个条件时，自建DNS服务器（比如AdGuard Home）才值得投入。搜"私人DNS"的人很多都会纠结一个问题：我是直接填个公共DNS地址就完事，还是花心思自己搭一个？这篇文章把两条路的成本、隐私、可控性、运维门槛彻底掰开揉碎，帮你判断自己属于哪一类。免费公共DNS vs 自建DNS：核心维度对比对比维度免费公共DNS（阿里/腾讯/Cloudflare等）自建DNS服务器（AdGuard Home/Unbound等）直接成本完全免费VPS每月约30-80元（最低配）；家用旧设备则电费忽略隐私程度信任第三方服务商的日志政策数据完全自持，查询记录只存在你自己的机器上广告拦截基础版基本没有；Cloudflare Families拦恶意网站完全自定义，可挂任意过滤规则列表，拦广告拦跟踪速度与稳定性大厂节点多，国内延迟10-30ms，SLA有保障取决于你买的VPS线路；家用宽带上行小，稳定性一般运维门槛填个地址就能用，零维护需要安装软件、配证书、更新系统、监控可用性故障影响面服务商挂了不是你的锅，换一个就行你自己的DNS挂了，全家断网，得自己修适合人群绝大多数普通用户、手机用户、不想折腾的人技术爱好者、有服务器闲置、对隐私/过滤有强需求的人具体的免费加密DNS地址清单，可以看本站免费加密DNS服务：DoH/DoT 地址与一键配置，这里不重复列。成本对比：自建到底要花多少钱免费公共DNS：0元你只需要在手机或路由器设置里填两个IP地址或一个DoT主机名，就完事了。没有任何费用，没有任何续费，服务商靠自己的商业模式养活这个服务。自建DNS服务器：从0元到每月上百元自建有两条路线，成本差别很大：路线一：家用旧设备/树莓派（接近0元）如果你家里有闲置的旧电脑、树莓派、甚至刷了OpenWrt的路由器，直接在上面装AdGuard Home或Unbound，硬件成本为零，电费每月几块钱。但缺点是家用宽带上行带宽小、公网IP不稳定，只能服务家里局域网内的设备，出门在外用不了。路线二：VPS云服务器（每月30-80元）买一台最低配的云服务器（1核1G带宽1M起步就够跑DNS），国内大厂价格大概每月30-60元，按需计费可能更便宜。好处是有公网IP、99.9%在线率，手机在外也能连。坏处是DNS查询要绕到你的VPS再出去，速度取决于VPS线路——如果你买的是国际VPS，国内访问反而可能比直接用公共DNS还慢。关键算账：一个月30元，一年就是360元。这笔钱够你买好几年的付费VPN或付费去广告服务了。自建DNS的价值不在于"省钱"，而在于"完全可控"。隐私对比：你到底信谁这是自建派最常提的理由："公共DNS会记录我的查询记录。"事实是：Cloudflare 1.1.1.1 有明确的零日志承诺，且经过独立第三方审计，非身份查询数据仅存25小时。隐私透明度在公共DNS里算顶级。Google Public DNS 临时日志24-48小时，城市级位置数据保留更久，不算零日志。国内三家（阿里、腾讯、114） 受国内网络安全法规约束，日志留存策略与海外服务商不同，公开透明度较低。自建的好处是：所有查询记录只存在你自己的硬盘上，没有第三方能看到你访问了哪些域名。如果你对"被监控"这件事极其敏感，自建确实是物理意义上最干净的方案。但要注意一个现实问题：自建DNS并不等于匿名。你的DNS查询仍然要通过你的宽带运营商出口发出去，运营商仍然能看到你和哪个IP通信。自建解决的是"DNS服务商那边记录"的问题，解决不了"运营商这边记录"的问题。真要匿名，得叠加DoH/DoT加密 + VPN。可控性对比：为什么那么多人自建是为了拦广告这才是自建DNS的真正杀手锏。免费公共DNS里，只有Cloudflare Families提供了基础的恶意网站拦截，Google和国内三家的免费版都不做内容过滤。你没法自定义"我要拦掉某个广告域名"或"我要加一个中文广告过滤列表"。而自建AdGuard Home的话，你可以：挂载任意过滤规则列表（EasyList中文版、乘风规则、AdGuard官方规则等）自定义黑白名单，想拦谁拦谁看到家里所有设备的DNS查询统计给不同设备分配不同的过滤策略这种掌控感，是公共DNS给不了的。本站后续会有专门的自建AdGuard Home教程和AdGuard Home规则订阅文章，这里先不展开。运维门槛：自建不是装完就完事很多人以为自建DNS就是docker install adguardhome一行命令，其实那只是开始。长期运维你要处理这些事：软件更新：AdGuard Home、Unbound都会持续发安全补丁，得定期更新证书维护：如果你要开DoH/DoT，需要SSL证书，Let's Encrypt证书三个月要续一次故障排查：哪天突然打不开网页了，是DNS挂了？还是上游挂了？还是证书过期了？得自己查性能调优：缓存大小怎么设？用哪个上游公共DNS做forwarder？都要试如果你连"SSH登录服务器"和"改配置文件"都没干过，自建DNS的学习曲线会让你很痛苦。决策清单：你适合自建吗？满足以下任意三条以上 → 可以考虑自建有自己的域名（用来配DoT/DoH证书）会基础Linux操作（SSH、改配置、systemctl重启服务）家里有闲置设备或已经买了VPS（不为DNS专门花钱）强烈需要自定义广告过滤/隐私保护规则喜欢折腾，享受自己搭东西的过程有多设备家庭，想统一管理全家上网满足以下任意一条 → 别自建，用公共DNS就好只是想让手机上网快一点、防劫持不会用命令行，也不想学预算有限，每月多花几十块有压力家里只有自己一个人用追求稳定性，不想自己当运维常见问题Q1：自建DNS是不是一定比公共DNS快？不一定。自建DNS的速度取决于你的VPS线路质量和你离VPS的距离。如果你买了个国内VPS做forwarder，延迟可能和公共DNS差不多；如果你买了个海外VPS，国内访问反而更慢。自建的优势主要在"可控"和"过滤"，不在"更快"。Q2：我用了自建DNS，是不是就不需要开VPN了？不是一回事。DNS负责域名解析，VPN负责流量加密和路由。自建DNS拦广告、保护查询记录，但不加密你的网页流量。两者解决的问题不同，可以叠加使用。Q3：AdGuard Home和Unbound有什么区别？选哪个？AdGuard Home主打"带过滤的DNS"，自带广告拦截、统计看板、Web管理界面，适合家庭用户。Unbound是纯递归解析器，没有过滤功能，性能强但配置全靠改文本文件，适合技术用户。新手建议直接上AdGuard Home。Q4：自建DNS会不会被运营商劫持？如果你只用53端口明文，理论上运营商仍然可能在中间做手脚。正确做法是自建DNS本身用DoH/DoT连接上游公共DNS，同时给你自己的客户端也提供DoT/DoH服务。这样从客户端到你的服务器，再从你的服务器到上游，全程加密。参考来源Cloudflare 1.1.1.1 隐私承诺 — 支撑文中Cloudflare零日志政策、25小时数据留存等事实，用于对比公共DNS隐私维度。Google Public DNS 隐私页面 — 支撑文中Google临时日志政策，用于对比公共DNS隐私维度。阿里云公共DNS官网 — 支撑文中国内公共DNS免费、支持DoT/DoH、企业版有过滤能力等事实。AdGuard Home 官方产品介绍 — 支撑文中AdGuard Home功能描述（网络级广告拦截、全设备覆盖、无需客户端软件），用于说明自建DNS的可控性优势。

DNS 过滤规则开放订阅：免费去广告规则 + 自建加密 DNS 全指南 免费去广告 DNS 过滤规则开放订阅本站自建 AdGuard Home 以来一直在维护一套多源合并的去广告规则：多源并集去重 + 父子域无损压缩 + 国产 App 开屏安全筛选 + 白名单订阅源风险剔除。现在把规则公开，任何使用 AdGuard Home / AdGuard DNS / uBlock 的同行都可以直接订阅，免费使用，欢迎转载。黑名单（拦截，约 40 万条规则）：https://23-4.cn/rules/merged-block.txt白名单（放行 / 误杀修复）：https://23-4.cn/rules/merged-allow.txt订阅说明页：https://23-4.cn/rules/234 加密 DNS：自建加密解析服务配合规则，本站还提供自建加密 DNS（DoH / DoT 双协议）：DoH（浏览器 / Windows 11）：https://dns.23-4.cn/dns-queryDoT（安卓私人 DNS / 路由器全局）：tls://dns.23-4.cn安卓 Private DNS 直接填：dns.23-4.cn完整配置教程（含各平台步骤与 FAQ）：https://23-4.cn/dns.htmlDNS 知识库：30 篇科普与实操把踩过的坑、验证过的方法整理成了 DNS 知识库，覆盖协议原理、污染劫持、各平台配置与故障排查：https://23-4.cn/dns-pages/规则为个人维护，可能存在误杀，白名单用于修复已知误杀；使用前建议先小范围测试。

安卓手机私人 DNS 连不上的排查全流程 自建 DNS 最常被问的问题："我安卓手机私人 DNS 填了你的地址，为什么连不上？" 这篇文章按排查顺序，把可能的原因一个个过一遍。第一步：确认设置入口安卓（9+）路径：设置 → 网络和互联网 → 高级 → 私人 DNS → 选择"指定私人 DNS 提供商"，填入你的 DoT 域名（比如 dns.example.com）。注意填的是域名，不是 IP，也不用填端口（固定走 853）。第二步：服务器端检查清单1. 853 端口是否监听 → netstat -tlnp | grep 853 2. 安全组/防火墙是否放行 → 阿里云安全组要单独放行 853/tcp 3. 证书域名是否匹配 → DoT 证书的 CN/SAN 必须等于你填的域名 4. 服务器时钟是否准确 → 时间错了证书验证直接失败（chrony 装上） 5. 解析是否已生效 → itdog 等在线工具 ping 一下域名证书是重灾区：很多人用自签证书，或者证书是别的域名的，手机端严格校验证书，直接拒绝连接。用 openssl s_client 加 -connect 你的域名:853 -servername 你的域名 可以验证。第三步：客户端缓存域名解析有 TTL，改了解析后手机端可能还缓存着旧 IP。重启手机或开关飞行模式是最快的清缓存方式。第四步：网络环境因素有些网络环境下 853 端口会被封锁（跨境、酒店 Wi-Fi、校园网）。判断方法：手机热点 + 另一台设备测试，或者换网络环境试试。如果你的服务器在国外而人在国内，853 跨境握手被干扰是很常见的——这种场景要么换国内服务器，要么临时用 VPN 过渡（不推荐长期）。最后连不上时按"端口 → 证书 → 时间 → 解析 → 缓存"五步走，90% 的问题都能定位。别一上来就怀疑 AGH 配置，大部分时候是网络和证书的问题。