私人DNS会泄露吗？DNS泄露检测与防止指南 TL;DR：会泄露，而且比你想象的常见。「DNS泄露」指的是你明明开了VPN或私人DNS，但某些DNS查询绕过了加密通道，又走回了明文的运营商DNS——等于你的上网记录还是被ISP看着。检测很简单：连上VPN后打开 dnsleaktest.com 跑一遍Extended Test，如果看到你本地运营商的DNS就说明漏了。防止方法：用支持「DNS劫持到VPN隧道」的VPN客户端、关闭IPv6、在系统层面强制指定加密DNS。什么是DNS泄露？为什么开了VPN还会泄露？先举个最常见的场景：你为了隐私开了VPN，流量全部加密走VPN服务器，以为自己万无一失了。但实际上——你的DNS查询可能根本没走VPN隧道。这就是DNS泄露（DNS Leak）：你的网页浏览流量走了VPN，是加密的但DNS查询那一步，系统还是用了本地网卡默认的DNS（也就是你运营商的DNS）运营商虽然看不到你访问的内容，但它清清楚楚看到了你查了哪些域名等于你花了钱开VPN，结果上网记录还是被ISP看光了为什么会这样？因为很多VPN客户端默认只转发网页流量，不接管DNS查询。操作系统的DNS配置是按网卡走的，VPN网卡和本地WiFi网卡各有各的DNS设置，一不小心就漏了。当然，就算你不用VPN、只用私人DNS，也可能有泄露——比如你的系统同时配了好几个DNS服务器，某些情况下会绕过你指定的私人DNS，走回明文。怎么检测自己有没有DNS泄露？两个免费在线工具检测DNS泄露非常简单，不用装任何软件，浏览器打开网页就能测。推荐用下面两个站交叉验证：工具一：DNSLeakTest.com（最常用）先连上你要用的VPN或私人DNS（如果你是在测VPN场景的话）浏览器打开 https://www.dnsleaktest.com/首页会自动显示你当前出口IP和ISP信息点击「Extended test」（扩展测试）按钮，不要只点Standard Test等十几秒，它会列出所有解析你查询的DNS服务器怎么看结果：如果你连的是VPN，列表里的DNS服务器应该都属于你的VPN服务商，IP归属地也应该在VPN服务器所在地如果列表里出现了你本地运营商的DNS（比如中国移动、中国电信），那就是泄露了工具二：ipleak.net（更全面）同样先连上VPN/私人DNS打开 https://ipleak.net/页面会自动检测你的IP地址、DNS服务器、甚至WebRTC泄露往下滚到「DNS Addresses」区域，看列出的DNS服务器列表这个站的好处是它除了DNS泄露，还会顺便检测IPv6泄露和WebRTC泄露，一次测全。测之前记得先做个基线：断开VPN、恢复默认DNS的时候先跑一次，记下你本地运营商的DNS名称和IP段。连上VPN之后再跑一次对比，如果两边DNS列表不一样、连上VPN之后没有出现你本地运营商，说明没泄露。DNS泄露最常见的几个原因原因一：VPN没接管DNS这是最普遍的情况。很多VPN客户端默认配置下，只路由IP流量，不接管DNS查询。你的系统还是在用本地网卡的DNS设置发明文查询。解决办法：在VPN客户端设置里找「Kill Switch」或「DNS Leak Protection」选项，打开它。好的VPN客户端都会提供这个功能，它会强制所有DNS查询都走VPN隧道。原因二：IPv6泄露很多人不知道：IPv4的流量走了VPN，但你的设备同时还有IPv6地址，IPv6的DNS查询可能完全绕过了VPN，直接走本地网络发出去了。现在国内不少地方已经分配了IPv6地址，如果你的VPN不支持IPv6隧道，这一块就是个漏勺。解决办法：要么在VPN里开启IPv6支持，要么干脆临时关闭系统的IPv6（测试隐私的时候最稳妥）。原因三：系统配了多个DNS服务器有些操作系统会自动给每个网卡都配上DNS服务器，如果你只改了WiFi网卡的私人DNS，手机流量网卡的DNS还是默认的，切换网络的时候就可能漏。原因四：路由器层面的DNS如果你家路由器自己配了DNS，所有内网设备的DNS查询可能被路由器「劫持」回路由器自己的DNS设置，你在手机上改私人DNS也可能不生效。这个问题在私人DNS不生效怎么办那篇里有详细排查方法。怎么防止DNS泄露？四步走第一步：用靠谱的VPN客户端，开启DNS保护选VPN的时候，别只看价格和速度，一定要确认它支持「DNS Leak Protection」。主流的付费VPN（比如Mullvad、ProtonVPN、IVPN）默认都会开启这个功能，把所有DNS查询强制走隧道。第二步：私人DNS + VPN 组合使用如果你已经在手机上开了私人DNS（DoT），再配合VPN使用，其实是双重保险：VPN把你的整体流量加密走出去私人DNS把域名查询再加密一层两者叠加，就算VPN那边漏了，DNS这一层还是加密的但要注意：有些VPN客户端会覆盖你系统的私人DNS设置，具体看组合效果。本站之前讲过私人DNS和VPN冲突怎么办，可以参考。第三步：堵住IPv6泄露路径如果你暂时不用IPv6，可以直接关掉系统的IPv6支持：Windows：网络适配器属性里取消勾选「Internet 协议版本 6 (TCP/IPv6)」Android：开发者选项里或者网络设置里关闭IPv6路由器：关闭IPv6分发这样就不会有IPv6 DNS绕出去了。第四步：路由器层面统一配置如果你家所有设备都想统一用加密DNS，可以直接在路由器层面配置。这样不管手机还是电脑，连上来就自动走你指定的DNS，不会出现「某个设备忘了设置」的情况。路由器设置私人DNS的方法本站也有专门教程。验证：改完之后怎么确认不泄露了？改完配置之后，别以为就万事大吉了，一定要再跑一次检测确认：重新连好你的VPN/私人DNS配置再开 dnsleaktest.com 跑一遍Extended Test对照之前记下的「基线」——现在的DNS列表里还有没有你本地运营商？如果干净了，说明配置生效了顺便再去 ipleak.net 测一下IPv6泄露和WebRTC泄露建议每次改完网络配置都测一遍，有时候系统更新或者APP更新会偷偷改回去。常见问题Q：我只用私人DNS不用VPN，也会有DNS泄露吗？A：一般不会有传统意义上的「DNS泄露」（泄露是个VPN场景下的概念），但你的私人DNS可能不生效——比如某些APP自己硬编码了DNS服务器，绕过了系统设置。这种情况不算泄露，但效果上类似。Q：DNS泄露了会怎么样？严重吗？A：如果你只是普通上网，泄露的后果就是你的ISP知道你访问了哪些域名，但看不到具体内容。但如果你用VPN是为了隐私保护，那DNS泄露等于VPN白开了——你的完整浏览记录还是被ISP看着。所以用VPN的人一定要重视DNS泄露问题。Q：免费VPN是不是都有DNS泄露？A：大部分免费VPN确实不做DNS保护，泄露概率很高。而且很多免费VPN本身就在卖你的浏览数据。如果真的在意隐私，建议用付费的、明确承诺无日志+DNS泄露保护的VPN服务。参考来源DNSLeakTest官方网站 — 支撑DNS泄露检测工具使用方法与Extended Test流程ipleak.net官方网站 — 支撑多维度IP/DNS/WebRTC泄露检测方法DNSLeakTest - 什么是DNS泄露 — 支撑DNS泄露的定义与风险说明ipleak.net - DNS泄露原因说明 — 支撑Windows多网卡DNS配置导致泄露的技术原因

私人DNS防跟踪与零日志：隐私保护型DNS怎么选 TL;DR：普通明文DNS下，你的运营商、公司网管、甚至公共WiFi都能看到你访问的每一个域名。开启加密私人DNS（DoT/DoH）之后，这些中间人只能看到你在连哪个DNS服务器，看不到你具体查了什么域名。再加上选一个「零日志」政策的DNS服务商，就能在隐私和去广告之间取得平衡。目前口碑最好的几家：Cloudflare 1.1.1.1（速度快）、AdGuard DNS（自带去广告+跟踪拦截）、Quad9（偏安全防护）。为什么明文DNS会暴露你的上网隐私？先从最基础的说起：DNS查询本质上就是一句「我想访问xxx.com，请告诉我它的IP」。在传统的明文DNS下，这句话是裸奔的——从你的手机到DNS服务器之间，任何中间节点都能看到你查询了什么域名。谁能看到这些？你的运营商：你家宽带、手机流量的ISP，完整记录你所有的DNS查询公共WiFi管理员：咖啡馆、机场、酒店的WiFi，能抓包看到你查了哪些域名公司/学校网络：网管设备可以审计所有DNS请求旁边的人：同一个WiFi下，用工具就能嗅探到你的DNS查询这意味着什么？意味着哪怕你访问的是HTTPS加密网站，别人看不到你在网页里看什么，但他能知道你「在查这个网站的域名」——也就是知道了你大概在浏览什么内容。你的上网习惯、你搜了什么、你访问了哪些网站，全在运营商的DNS日志里。加密私人DNS怎么防窥探？DoT（DNS over TLS）和DoH（DNS over HTTPS）这两种加密协议，就是为了解决上面这个问题。它们把DNS查询的内容用TLS加密起来：你 → DNS服务器之间的那一段，所有中间人都看不到具体查询内容了运营商和WiFi管理员只能看到「你在和某个加密DNS服务器通信」，看不到你查了什么域名你在公共WiFi下查敏感域名，旁边的人也嗅探不到这就是「私人DNS」名字的由来——不是说这个DNS是私人专属的，而是说你的DNS查询内容是私密的，不会被路上的人偷看。DNS层面怎么防跟踪？除了防窥探，DNS还能直接从源头拦掉跟踪器。你每次上网，网页里除了你想看的内容，还藏着一大堆第三方跟踪脚本——它们会收集你的浏览行为、生成你的用户画像、然后卖给广告公司。这些跟踪脚本几乎都来自独立的跟踪域名，比如 doubleclick.net、google-analytics.com、hm.baidu.com 等等。如果你用的DNS服务器自带「跟踪拦截」功能，它会在你查询这些跟踪域名的时候直接返回空地址，跟踪脚本就根本加载不起来。这就是DNS层面的防跟踪——在请求发出之前就把跟踪器掐断。AdGuard官方维护的DNS过滤列表就专门包含了大量广告和跟踪域名，这也是为什么AdGuard DNS在隐私保护圈子里口碑很好的原因。「零日志」到底是什么意思？很多DNS服务商都宣称自己是「零日志」（No Logs / Zero Logs），但这个词的具体含义每家都不一样。你得看它的隐私政策原文，不能只看营销口号。一般来说，DNS服务商的日志分两种：个人查询日志：记录「哪个IP在什么时间查了什么域名」——这种日志一旦存在，你的完整上网记录就等于被服务商存档了聚合统计数据：只保留「今天总共处理了多少查询」「拦了多少广告」这种汇总数字，不绑定到具体用户真正的「零日志」，指的是不记录个人查询日志。但几乎所有服务商都会保留一些聚合的运行数据，这是正常的，不影响隐私。下面我们看看几家主流服务商官方隐私政策里到底怎么说：Cloudflare 1.1.1.1Cloudflare在官方隐私政策里明确说明：1.1.1.1公共解析器不记录个人信息大部分非个人可识别的查询数据只保存25小时不会把解析器日志分享给第三方（除了和APNIC的研究合作协议下共享匿名数据）Cloudflare的隐私承诺在行业里是比较透明的，它还接受过第三方独立审计。Google Public DNSGoogle的隐私政策相对来说保留的数据多一些：客户端IP地址临时记录24-48小时后删除会保留城市/都市圈级别的位置信息更久，用于调试和改进服务不会把DNS查询日志和你的Google账号关联起来Google的优点是速度快、全球节点多，但如果你对「被谷歌记录」这件事比较敏感，可能会更倾向选其他家。AdGuard DNSAdGuard在官方隐私政策里的承诺：不专门收集任何用户个人信息——你的IP地址和身份信息不会被记录只存储汇总性能指标（总请求数、拦截数、处理速度）保存过去24小时内请求域名的匿名数据库，但没有任何信息能把这些域名关联回具体用户AdGuard的优势在于它本身就是做广告拦截起家的，DNS服务自带广告和跟踪过滤，隐私保护和去广告二合一。隐私保护型私人DNS怎么选？一张表帮你对比服务商加密协议广告/跟踪拦截日志政策适合人群Cloudflare 1.1.1.1DoT/DoH基础版无拦截，家庭版有无个人日志，查询数据25小时追求速度、只要加密不要过滤AdGuard DNSDoT/DoH内置广告+跟踪+恶意网站拦截无用户特定数据，仅聚合指标想去广告又想保护隐私Google Public DNSDoT/DoH无拦截临时IP日志24-48h，保留城市级位置习惯谷歌服务、求稳定Quad9DoT/DoH恶意软件拦截隐私优先政策偏安全防护场景选择建议：如果你最在意「没人知道我在查什么域名」→ 选Cloudflare 1.1.1.1，它的隐私透明度做得最好如果你想「加密 + 去广告 + 防跟踪」一步到位 → 选AdGuard DNS，省得自己搭服务器如果你完全不信任第三方 → 那就自己搭AdGuard Home，数据全在你自己手里（参考本站自建AdGuard Home教程）加密了就万事大吉了吗？小心DNS泄露就算你开了私人DNS、选了零日志服务商，还有一个坑叫「DNS泄露」——意思是你的某些DNS查询绕过了加密通道，又走回了明文DNS。尤其是在你同时用VPN的情况下，DNS泄露是很常见的问题。怎么检测自己有没有DNS泄露？怎么防止？本站下一篇会专门讲这个话题：私人DNS会泄露吗？DNS泄露检测与防止指南。常见问题Q：零日志DNS是不是真的完全不记录任何东西？A：不是。几乎所有服务商都会保留一些聚合的运行统计数据（比如总请求量、拦截数），这是正常的运维需要。「零日志」真正指的是不记录「谁在什么时间查了什么域名」这种可以定位到个人的查询日志。具体要看每家的隐私政策原文。Q：用了加密DNS，运营商就完全看不到我上网了吗？A：运营商看不到你查了什么域名，但它还是能看到你在和哪些IP通信（比如你访问了哪个网站的服务器IP）。加密DNS保护的是「域名查询」这一层，不是全部网络流量。想完全匿名还是得配合VPN。Q：AdGuard DNS和Cloudflare DNS哪个隐私更好？A：Cloudflare在隐私透明度和第三方审计方面做得更彻底；AdGuard DNS胜在自带广告和跟踪拦截，一站式解决。两者都宣称不记录个人查询日志，隐私底线都是可靠的，主要看你需不需要过滤功能。参考来源Cloudflare官方隐私政策 - 公共DNS解析器 — 支撑Cloudflare 1.1.1.1的日志保留时长与隐私承诺Google Public DNS官方隐私页面 — 支撑Google Public DNS的日志策略与数据保留说明AdGuard DNS官方隐私政策 — 支撑AdGuard DNS零日志与聚合数据的官方声明AdGuard DNS官方介绍页 — 支撑AdGuard DNS的隐私定位与GDPR合规说明

用私人DNS拦截广告：DNS广告过滤原理与开启方法 TL;DR：DNS广告过滤的原理很简单——把广告和跟踪器的域名加入黑名单，当你的设备查询这些域名时，DNS服务器直接返回空地址（0.0.0.0）或「域名不存在」，浏览器就加载不出广告了。优点是全设备生效、不用装任何APP；缺点是拦不了网页内嵌的JS广告和视频贴片广告。想体验的话，最快的方式是把手机私人DNS改成 dns.adguard-dns.com。DNS广告过滤到底是怎么工作的？要理解DNS怎么拦广告，先得知道一个基本常识：每个广告都来自某个域名。你打开一个网页，浏览器要加载的东西远不止正文——它还要向一堆第三方域名发请求：广告联盟的域名、统计跟踪的域名、字体CDN的域名、图片CDN的域名等等。其中广告和跟踪请求往往来自独立的域名，比如 doubleclick.net、googleadservices.com、hm.baidu.com 这类。DNS广告过滤就是在这个「域名查询」的环节动手脚：你的手机要加载网页，先问DNS服务器：「doubleclick.net 的IP是多少？」DNS服务器查了一下黑名单，发现这个域名在广告拦截列表里它不返回真实IP，而是返回 0.0.0.0（一个不存在的地址）或者直接说「NXDOMAIN，域名不存在」浏览器拿到这个无效地址，尝试连接失败，广告就根本不会加载出来整个过程发生在网络请求的最底层——DNS查询阶段，还没到真正下载广告内容那一步。所以它的好处是：只要你的设备走了这个DNS，所有APP、所有浏览器的广告请求都会被统一拦掉，不需要每个APP单独装插件。哪些广告能拦？哪些拦不了？（务必先搞清楚局限）很多人开了私人DNS之后发现怎么还有广告，然后觉得「DNS去广告是骗人的」。其实不是骗人，是你对它的能力边界理解错了。下面这张表说清楚：广告类型DNS能不能拦原因独立域名的横幅广告能拦来自独立广告域名，DNS层直接掐断第三方跟踪器/统计脚本能拦跟踪域名通常是独立的恶意软件/钓鱼网站域名能拦靠威胁情报域名列表拦截网页内嵌的JS弹窗广告拦不了广告脚本和正文在同一个域名下下发视频网站贴片广告拦不了视频广告内容和视频本身同域名下发已经缓存的广告拦不了浏览器缓存了广告资源，不会重新发DNS请求微信公众号文章底部广告拦不了和正文同域名，DNS层无法区分一句话总结：DNS过滤是「域名级」的拦截，只能按域名整块挡掉；同一个域名下面既放正文又放广告的情况，DNS就分不出来了。 这种时候你需要的是浏览器扩展（比如uBlock Origin）那种「元素级」的过滤，两者搭配使用效果最好。开启DNS广告过滤的四种途径途径一：直接用AdGuard公共加密DNS（最简单）什么都不用装，直接在手机或电脑上把私人DNS改成AdGuard的公共地址就行：DoT地址：dns.adguard-dns.comDoH地址：https://dns.adguard-dns.com/dns-queryAdGuard公共DNS内置了广告和跟踪域名拦截规则，你改完设置就能生效。适合不想折腾服务器、想要开箱即用的用户。本站有一篇免费加密DNS服务地址汇总，里面列了更多类似的选择。途径二：自己搭AdGuard Home，完全可控如果你想自己决定拦哪些规则、看自己的查询日志、完全掌握数据，可以自己在VPS上搭一个AdGuard Home。详细搭建步骤可以看这篇自建AdGuard Home教程。自建的好处是规则列表你自己选、日志你自己管、用不用零日志由你定。缺点是你要自己维护服务器和证书。途径三：在自建AdGuard Home里加规则订阅搭好AdGuard Home之后，默认拦截能力很弱，你需要添加规则订阅才能真正去广告。推荐的规则源和添加方法，本站有一篇专门讲AdGuard Home规则订阅怎么配置的文章，里面列了OISD、Hagezi等几个口碑最好的规则源，跟着一步步加就行。途径四：浏览器开启安全DNS（仅浏览器内生效）如果你只想在浏览器里去广告，不想改系统级DNS，可以在Chrome、Firefox里开启「安全DNS」（也就是DoH），选AdGuard或Cloudflare的带过滤功能的DNS服务器。这种方式只对浏览器生效，手机APP里的广告还是拦不住。DNS广告过滤 vs 浏览器广告拦截扩展，对比一下很多人会纠结：我到底该用DNS过滤还是装个uBlock Origin？其实这俩不是二选一的关系，是互补的。对比维度DNS广告过滤浏览器扩展（uBlock Origin等）生效范围全设备、全APP仅浏览器内拦截精度域名级，粒度粗元素级，粒度细视频广告拦不了能拦网页内嵌广告拦不了能拦手机APP广告能拦（广告域名）管不到APP误拦风险较高（域名整挡）较低（精确到元素）配置难度改个DNS地址就行需要安装和配置扩展最佳实践是两者搭配用：DNS层拦掉一大批独立域名的广告和跟踪器，浏览器扩展再处理剩下的网页内嵌广告。这样既能全设备覆盖，又能保证拦截精度。常见问题Q：用私人DNS真的能拦视频广告吗？比如B站、YouTube的贴片广告？A：不能。视频贴片广告的内容是和视频资源从同一个CDN域名下发的，DNS层没法区分「这一段是广告」还是「这一段是正片」。想拦视频广告需要用专门的浏览器扩展或者APP去广告工具，DNS做不到。Q：为什么我开了过滤DNS，有些网站还是会弹出广告窗口？A：弹窗广告很多是网页内嵌的JS脚本生成的，不是从独立域名加载的。DNS层只能拦域名级的请求，拦不住网页内部的JS行为。这种情况需要浏览器扩展来处理。Q：DNS过滤会不会让网站变慢？A：正常情况下不会，反而可能更快——因为广告域名的请求直接被挡掉了，不用再去连那些广告服务器。但如果你的DNS服务器本身离你很远、延迟很高，可能会感觉到打开网页变慢。选一个离你近的、有缓存的DNS很重要。参考来源AdGuard DNS官方 - 广告过滤原理说明 — 支撑DNS过滤规则的工作机制AdGuard DNS官方隐私与功能介绍 — 支撑AdGuard公共DNS的广告拦截能力说明OISD官方网站 - 过滤范围说明 — 支撑DNS规则源的拦截范围与分类Cloudflare 1.1.1.1 官方文档 — 支撑加密DNS与安全DNS的工作方式

私人DNS速度怎么样？DNS延迟测速方法与工具推荐 TL;DR：一句话结论测私人DNS速度，最靠谱的方法是命令行 dig 或 nslookup 多次查询取中位数，配合在线工具 DNSPerf 看全球平均值。判断标准：国内DNS延迟10-50ms算快，100ms以上就偏慢了；但延迟低不等于上网快，解析成功率和缓存命中率同样重要。很多人换了私人DNS之后心里没底：我换的这个到底快不快？怎么测？这篇文章教你从零开始，用命令行和在线工具，科学地测出你当前用的私人DNS到底什么水平。如果你还没选好要用哪家DNS，可以先看本站之前的公共DNS服务商对比，五家主流服务横向分析完再测。为什么不能只凭感觉判断DNS速度DNS解析是上网的第一步——打开任何一个网站，浏览器都要先问DNS服务器："这个域名对应的IP是什么？"然后才去连那个IP。DNS慢，体现在实际体验上就是"打开网页前卡那一两秒"。但人对一两秒的延迟感知很模糊。你感觉"好像快了"，可能只是因为缓存命中了；你感觉"好像慢了"，可能只是网络波动。要客观比较，必须量化测量。方法一：命令行 dig 测速（最推荐）dig 是Linux和macOS自带的DNS查询工具，能直接告诉你一次DNS解析花了多少毫秒。Windows用户可以用 nslookup 替代。Linux / macOS 命令示例打开终端，输入：dig @223.5.5.5 baidu.com这里的 @223.5.5.5 表示"向阿里DNS发起查询"，你可以换成任何你想测的DNS服务器。查询 baidu.com 这个域名。怎么看结果里的"query time"dig输出的最后几行长这样：;; Query time: 23 msec ;; SERVER: 223.5.5.5#53(223.5.5.5) ;; WHEN: Thu Oct 1 23:40:00 2026 ;; MSG SIZE rcvd: 56关键看 Query time 那一行，单位是毫秒（ms）。23ms就是这次解析花了23毫秒。多次测量取中位数，别只测一次一次查询的数据不准——可能是缓存命中了显得特别快，也可能刚好赶上网络抖动显得特别慢。正确做法：for i in 1 2 3 4 5 6 7 8 9 10; do dig @223.5.5.5 baidu.com | grep "Query time"; done这行命令会连续查询10次，每次打印出query time。然后你把10个数字排序，取中间那个（第5或第6个）作为你的参考值。这叫"中位数"，比平均值更抗极端值干扰。Windows用户用 nslookupWindows命令提示符下：nslookup baidu.com 223.5.5.5nslookup不直接显示耗时，但你可以用 time 命令前缀，或者开两个窗口对比。更简单的方法是装一个 dig 的Windows版本，或者用PowerShell的 Resolve-DnsName。怎么测DoT/DoH加密DNS的速度上面的方法测的是明文UDP的速度。如果你想测安卓"私人DNS"用的DoT加密速度，命令行没法直接测，需要用专门的DoH/DoT客户端工具，或者看实际浏览器体验。关于DoT和DoH两种加密协议的详细原理区别，可以参考本站DoH/DoT/DoQ 协议对比。日常建议：DoT/DoH因为多了TLS握手，延迟通常比明文UDP高5-20ms，这是正常现象，换来的是加密安全。方法二：在线测速工具（不用装软件）如果你不想开命令行，浏览器里就能测。DNSPerf（推荐）网址：https://www.dnsperf.com/DNSPerf是一个专门做DNS性能监测的网站。它从全球200多个监测点，每分钟测试主流公共DNS的响应时间和可用性，数据每小时更新一次。你可以在上面查到Cloudflare、Google、阿里、腾讯等各家DNS的全球平均延迟排名。它还有一个 DNS Speed Benchmark 工具，输入一个域名，它会从全球各地帮你测这个DNS的解析速度，适合用来对比不同服务商在不同地区的表现。注意：DNSPerf的数据是全球平均，不代表你所在地的实际速度。国内用户看全球排名参考价值有限，主要用来横向比较各家的稳定性和趋势。其他在线工具DNS Checker（dnschecker.org）：全球多地DNS解析结果查询，能看你的DNS解析在不同地区是否一致Ping.cc / 站长工具：国内常用的网络测速站，有DNS延迟对比功能方法三：实际浏览器体验对比数据测出来再好看，最终还是要落到实际体验上。最简单的对比方法：先记下你现在的DNS设置换成另一家，清空浏览器缓存打开几个常用网站（百度、B站、淘宝），感受"点开网页到页面开始加载"之间的等待时间换回来，再感受一遍注意：第一次打开某个网站DNS会去查权威服务器，第二次就走本地缓存了。所以测速时要选你平时不常访问的域名，或者先清缓存。怎么解读测速结果延迟多少算快？Query time评价说明0-20ms很快国内优质节点，基本感觉不到延迟20-50ms正常绝大多数国内公共DNS的水平50-100ms偏慢但可用跨运营商或跨省，偶尔会感觉到100-200ms慢国际线路或节点远，日常使用会有明显感知200ms以上/超时不推荐高峰期可能打不开网页延迟低就一定快吗？不一定这是最常见的误区。DNS速度要看三个指标：延迟（Latency）：单次查询多快返回解析成功率：100次查询里有多少次成功返回了正确IP缓存命中率：很多热门域名本地有缓存，直接返回不用递归有些DNS测出来单次延迟很低，但解析成功率不稳定（偶尔超时），实际用起来反而时快时慢。有些DNS延迟略高，但缓存命中率极高、从不超时，日常体验反而更好。所以正确的测速方法是：分时段测多次（早中晚各测一轮），同时记录超时次数，综合判断。测速时的注意事项分时段测：网络高峰期（晚上8-11点）和凌晨的延迟可能差一倍。别只在凌晨测一次就下结论。测不同类型的域名：国内大站（百度、淘宝）几乎所有DNS都缓存了，测不出差别。要测一些不太热门的小站，才能看出递归解析的真实能力。关掉VPN/代理再测：VPN会改变DNS查询路径，测出来的数据不准。手机上测：安卓手机可以装终端APP（如Termux）跑dig命令，也可以用一些网络工具类APP。常见问题Q1：测出来延迟低，为什么打开网页还是慢？DNS只是上网的第一步。网页慢可能是带宽不够、服务器远、图片太大、运营商出口拥堵等各种原因。换DNS只能解决"域名解析慢"这一个环节，不能解决所有网速问题。Q2：DoT加密DNS比明文DNS慢多少？通常多5-20ms。因为多了一次TLS握手过程。但这个延迟在日常上网中几乎感觉不到，换来的是ISP无法窥探你的DNS查询内容。如果你的设备支持DoT（安卓9+），建议开启。Q3：为什么我在广东测阿里DNS快，朋友在北京测却觉得腾讯更快？DNS速度和你的地理位置、运营商线路强相关。阿里在华南节点多，腾讯在华北/华南都有布局。没有"全国统一最好"的DNS，只有"对你这条线路最好"的DNS。以你自己的实测为准。Q4：要不要把主DNS和备DNS设成不同厂商？可以，比如首选阿里，备用腾讯。这样一家挂了另一家顶上。但如果首选DNS响应慢，系统会等一会儿才切到备用，这个等待过程可能造成短暂卡顿。建议把你测速最快的那家设为首选。参考来源DNSPerf 官方网站 — 支撑文中DNSPerf在线测速工具的介绍、全球200+监测点、每分钟测试频率等事实。DNSPerf DNS Speed Benchmark — 支撑文中在线benchmark工具的使用方法说明。Google Public DNS FAQ — 支撑文中DNS查询方式、临时日志等DNS基础概念，以及测速方法论参考。Cloudflare 1.1.1.1 加密DNS文档 — 支撑文中DoT/DoH加密协议额外延迟的说明。

公共DNS服务商对比：Cloudflare/Google/阿里/腾讯/114 哪个更适合你？ TL;DR：一句话结论国内普通用户日常上网，优先选阿里公共DNS（223.5.5.5）或腾讯DNSPod（119.29.29.29），国内节点多、延迟低、支持DoT/DoH加密；隐私敏感且能接受国际线路的用户，选Cloudflare 1.1.1.1（有独立第三方审计的零日志承诺）；只想用最老牌、不折腾明文DNS的，114DNS依然稳定。 以上结论仅供参考，实际速度请以你所在地的测速结果为准。很多人搜"私人DNS哪个好"，本质上是在五家主流公共DNS之间做选择。本文不重复列地址清单（具体DoT/DoH地址可参考本站免费加密DNS服务：DoH/DoT 地址与一键配置），而是从国内可达性、隐私政策、过滤能力、加密协议支持四个维度做横向对比，帮你快速定位适合自己的那一个。五家主流公共DNS横向对比大表对比维度Cloudflare 1.1.1.1Google 8.8.8.8阿里 223.5.5.5腾讯 DNSPod 119.29.29.29114 114.114.114.114国内可达性一般（国际节点，偶有波动）较差（国际节点，国内访问不稳定）优秀（国内数百节点，电信联通移动全覆盖）优秀（腾讯云全国节点）良好（运营十余年，节点覆盖广）隐私/日志政策承诺零个人信息日志，非身份查询数据仅存25小时，有独立会计师审计报告客户端IP临时留存24-48小时，ISP与城市级位置数据保留更久用于服务优化国内合规要求，公开隐私承诺较少，面向企业有安全日志产品国内合规要求，公开隐私承诺较少老牌运营，未公开详细日志政策恶意网站过滤有：1.1.1.2拦恶意软件，1.1.1.3拦恶意软件+成人内容标准版无过滤（另有Family Shield产品）免费版基础防劫持；企业版有公网递归防火墙、黑白名单基础解析，安全过滤需企业版有：114.114.114.119拦木马钓鱼，114.114.114.110健康上网DoT加密支持支持（one.one.one.one）支持（dns.google）支持（dns.alidns.com）支持（dot.pub）不支持DoH加密支持支持（cloudflare-dns.com/dns-query）支持（dns.google/dns-query）支持（dns.alidns.com/dns-query）支持（doh.pub/dns-query）不支持DNSSEC验证支持支持支持支持支持适合人群隐私敏感、有国际网络环境的用户海外业务、谷歌生态用户国内日常上网、追求速度稳定国内日常上网、微信/腾讯生态用户不折腾、只要稳定明文DNS的用户国内可达性与速度：为什么国内用户优先选阿里或腾讯这是最现实的维度。Cloudflare和Google虽然在全球范围内口碑极佳，但它们的服务器节点主要部署在海外。国内用户直连1.1.1.1或8.8.8.8，DNS查询需要跨国往返，延迟通常在100ms以上，高峰期甚至可能超时。阿里公共DNS和腾讯DNSPod则在国内各大运营商都有节点。根据官方介绍，阿里公共DNS依托阿里云全球数百台服务器集群，在国内电信、联通、移动三大运营商均有部署；腾讯DNSPod Public DNS免费版同样依托腾讯云基础设施，国内解析速度通常在10-30ms之间。注意：速度因地区和运营商差异很大。广东联通测阿里快，不一定代表四川移动测阿里也快。最终请用本站另一篇私人DNS速度怎么样？DNS延迟测速方法与工具推荐里的方法实测。隐私政策对比：谁才是真正的"零日志"这是很多人关心的核心问题。五家中，只有Cloudflare把"零日志"写到了官方隐私承诺里，并且有独立第三方审计报告背书。根据Cloudflare开发者文档，其公共解析器不记录个人信息，除随机抽样最多0.05%的流量用于质量监控外，不保留DNS查询的源IP地址，非个人身份的查询数据仅存储25小时。Google公共DNS的隐私政策则相对保守。根据Google官方隐私页面，客户端IP地址仅临时记录（一两天内清除），但ISP和城市/都市圈级别的位置信息会保留更长时间，用于改进服务质量和安全。这不是"零日志"，而是"有限日志"。国内三家（阿里、腾讯、114）作为在中国大陆运营的服务商，需要遵守国内网络安全相关法规，日志留存要求与海外服务商不同，公开的隐私承诺也较少。如果你非常在意"我的DNS查询记录被谁存着"这个问题，Cloudflare是五家中承诺最透明的——但前提是你能稳定访问它的国际节点。过滤与安全能力：哪家自带广告/恶意网站拦截如果你想在DNS层面就拦截恶意网站、钓鱼网站甚至成人内容，各家能力差异明显：Cloudflare 1.1 for Families：提供两个子地址，1.1.1.2拦截恶意软件，1.1.1.3额外拦截成人内容。DoT/DoH对应域名分别是security.cloudflare-dns.com和family.cloudflare-dns.com。114DNS安全版：114.114.114.119拦截木马病毒和钓鱼网站，114.114.114.110是健康上网版（拦成人内容）。但注意114DNS不支持DoT/DoH加密。阿里公共DNS：免费版主打基础防劫持，高级过滤（威胁情报、黑白名单）属于企业付费产品"公网递归防火墙"。腾讯DNSPod：免费版以基础解析为主，安全过滤需开通企业版。Google Public DNS标准版：不提供内容过滤，仅做递归解析和DNSSEC验证。关于DoH和DoT两种加密协议的详细区别，可参考本站DoH/DoT/DoQ 协议对比。加密协议支持：安卓私人DNS为什么必须看这一项安卓9及以上系统的"私人DNS"功能，本质上就是DoT（DNS over TLS）。如果你用安卓手机设置私人DNS，必须填对方的DoT主机名，而不是IP地址。这就直接淘汰了114DNS——它至今只支持明文UDP/TCP的53端口，没有公开DoT/DoH端点。因此，安卓用户选私人DNS，实际可选范围就缩小到四家：Cloudflare（one.one.one.one）、Google（dns.google）、阿里（dns.alidns.com）、腾讯（dot.pub）。再结合国内可达性，日常使用基本就是阿里和腾讯二选一。怎么选？按场景给你推荐场景一：国内手机/电脑日常上网，追求快和稳推荐：阿里223.5.5.5 或 腾讯119.29.29.29国内节点多，延迟低，DoT/DoH都支持，免费无门槛。两家差距不大，可以都测一下再定。场景二：隐私敏感，不想让ISP知道你访问了什么网站推荐：Cloudflare 1.1.1.1有独立审计的零日志承诺，DoT/DoH全支持。但注意国内直连速度可能不理想，如果你有稳定的国际网络环境再选它。场景三：想在DNS层面拦广告、拦恶意网站推荐：Cloudflare 1.1.1.2（拦恶意软件）或 1.1.1.3（再拦成人内容）114DNS虽然也有安全版，但不支持加密，且过滤规则不如Cloudflare透明。想要更精细的广告拦截，建议后续考虑自建AdGuard Home（后续文章会讲）。场景四：不折腾，只要个能用的备用DNS推荐：114.114.114.114运营超过十年，稳定可靠，作为备用DNS填在路由器第二栏很合适。缺点是不支持加密，纯明文。常见问题Q1：是不是Cloudflare 1.1.1.1就是世界上最好的DNS？不是。"最好"取决于你在哪里。Cloudflare在全球范围内节点多、隐私承诺好，但在中国大陆直连速度不一定比国内大厂快。选DNS没有银弹，适合自己网络环境的才是最好的。Q2：公共DNS会记录我的浏览历史吗？理论上，DNS只记录你查询了哪些域名，不记录你在网站上做了什么。但域名本身也能泄露不少信息。Cloudflare承诺不留存个人身份日志，Google留存城市级位置数据，国内三家受合规要求日志策略不同。在意隐私就选有明确零日志承诺且有第三方审计的服务商。Q3：能不能同时设置两个DNS，一个阿里一个Cloudflare？可以。绝大多数系统都支持首选DNS和备用DNS。但注意：当首选DNS响应慢时，系统会自动切到备用，这个切换过程可能造成短暂卡顿。建议把速度最快的设为首选。Q4：公共DNS是免费的，它们靠什么赚钱？Cloudflare、Google、阿里、腾讯提供公共DNS都不是为了直接靠DNS赚钱，而是作为生态的一部分——吸引用户使用自家云服务、提升整体网络体验、收集网络性能数据来优化基础设施。114DNS则通过企业级DNS解析和安全服务盈利。对普通用户来说，免费使用没有问题。参考来源Cloudflare 1.1.1.1 Public DNS Resolver 隐私承诺 — 支撑文中Cloudflare零日志政策、25小时数据留存、0.05%抽样率等事实。Google Public DNS 隐私页面 — 支撑文中Google临时日志24-48小时、城市级位置数据留存等事实。阿里云公共DNS官网 — 支撑文中阿里DNS IP地址、DoT/DoH支持、国内节点部署等事实。腾讯云 Public DNS 免费版接入说明 — 支撑文中DNSPod IP地址、DoH地址doh.pub、DoT地址dot.pub等事实。114DNS官网 — 支撑文中114DNS地址、安全版114.114.114.119/110、不支持DoH/DoT等事实。