明文DNS有多危险？DNS劫持、污染、泄露风险与私人DNS能做什么 TL;DR： 传统 DNS 查询默认是明文的：你每访问一个网站，"我要查 xxx.com"这句话会以不加密的形式，从手机一路传到 DNS 服务器。这意味着局域网里的人、你连接的路由器、以及运营商，都能看到你查了哪些域名，中途还可能被人篡改回答、把你导去假网站。私人 DNS（DoT/DoH）通过 TLS 加密这条查询通道，能挡住"偷看"和"中途篡改"，但它挡不住恶意软件改 hosts、也挡不住网页内容层面的攻击——它只保护"查地址"这一段路。明文DNS有多"裸"？你的每一次上网都像寄明信片RFC 7858 在引言里开门见山地指出：今天几乎所有 DNS 查询都是不加密发送的，这使得能够访问网络通道的攻击者可以窃听这些查询，从而降低查询者的隐私。打个比方：明文 DNS 就像你把要找的地址写在明信片上寄出去。明信片在邮局（路由器、WiFi、运营商）之间转递时，任何经手人都能看到上面写的是什么。你刚查了一次某银行的域名、又查了一次某医院的挂号页面、再查了一次某消费金融平台——这些域名串起来，就是一份相当完整的生活画像。更麻烦的是，明信片不仅能被看，还能被路上的人涂改：把你写的"某银行地址"偷偷改成另一个 IP，你就被导向了一个钓鱼网站。下面分四类风险具体说。风险一：DNS劫持——有人把你"拐"去假网站DNS 劫持指的是攻击者通过某种方式，让你的设备把域名解析到他指定的错误 IP。常见发生位置有三类，需要客观看待：公共 WiFi 中间人：在未加密的咖啡馆、机场 WiFi 下，同一网络里的攻击者可以通过 ARP 欺骗等手段冒充网关，拦截并篡改你的 DNS 回答，把你引到仿冒的登录页、网银页。这是明文 DNS 最现实的风险之一。路由器被入侵：家用路由器如果长期不更新固件、管理密码过于简单，攻击者可能登入后直接把路由器的 DNS 服务器改成恶意地址，于是全屋设备的查询都被引偏。网络侧的强制跳转：在某些网络环境下，你输入未备案或特定域名时可能被带到一个提示页、登录页或广告页。这类行为的成因复杂（既有设备/网络配置层面的拦截，也有运营商侧的策略），普通用户难以逐一分辨，但它的技术本质仍是"你的 DNS 回答被中途替换了"。私人 DNS（加密）对前两类"中间人篡改"是有效的：因为回答来自经过 TLS 证书校验的加密服务器，路上被涂改的伪造回答会校验失败。风险二：DNS污染与缓存投毒缓存投毒（Cache Poisoning）是另一种经典攻击：攻击者向递归 DNS 服务器抢着发一个伪造的回答，赌它比真实回答先到。一旦骗过服务器，这条错误记录就会被缓存下来，之后所有用这台服务器的人查同一个域名，都会被指向错误地址，直到缓存过期。它利用的正是传统 DNS 基于 UDP、缺乏身份校验的弱点——服务器"先到先得"，不验明回答者身份。加密 DNS 通过 TLS 把客户端和服务器绑成一条经过身份认证的通道，让攻击者无法再在这条通道上插入伪造回答，从而缓解这类风险。需要说明的是，加密保护的是"客户端到递归服务器"这一段；要彻底验证域名本身的真伪，还需要 DNSSEC，那是另一套独立机制。风险三：隐私窥探——谁在记录你访问了哪些域名这是对普通人最"无感"却最持续的一类风险。即使没有人攻击你，明文 DNS 也意味着：你连的这台路由器能看到你查询过的每一个域名；你所用的运营商网络能记录你在什么时间查了哪些域名；公共 WiFi 的运营方理论上也能收集同样的数据。把这些域名按时间串起来，足以推断出你的作息、职业、健康关注、财务行为等。私人 DNS 的价值就在这里：加密之后，这些中间环节只能看到"你在和某台加密 DNS 服务器通信"，看不到具体查了什么域名。当然，那台加密 DNS 服务器本身仍然知道你的查询——所以选一家承诺零日志的服务商同样重要；本站DNS 知识库里有"私人 DNS 防跟踪与零日志"相关专题可深入了解。风险四：DNS泄露——VPN场景下的"说漏嘴"很多人开了 VPN 以为全程加密了，但如果 DNS 查询仍然走明文、仍然发给本地运营商的 DNS 服务器，那么"VPN 加密了网页流量、却在 DNS 这一环把你访问的域名泄露出去"——这就是常说的 DNS 泄露。它会让你的真实身份和访问记录在 DNS 这一环重新关联起来。加密 DNS（私人 DNS）正是堵住这个缺口的关键一步：让 DNS 查询本身也走加密通道，不再向本地网络"说漏嘴"。至于"开了 VPN 为什么还会泄露、怎么排查"，本站的DNS 知识库收录了包括 DNS 泄露排查在内的三十个专题，可按需翻查。私人DNS能挡住哪些风险，又有哪些盲区风险加密私人 DNS 能否应对公共 WiFi 下偷看你的域名查询能中间人篡改 DNS 回答、导向假网站能路由器/网络侧记录你的域名浏览能（中间环节看不到）递归服务器缓存投毒能缓解（绑定加密通道）VPN 场景下 DNS 明文泄露能恶意软件在本机改 hosts 文件不能，那是本地系统文件被改你主动访问了钓鱼网站、点了恶意链接不能，域名本身是"真的"网页内容（HTTP）被窃听或篡改不能，需靠 HTTPS 解决那台加密 DNS 服务器自己记日志不能，需选零日志服务商为什么说加密DNS不是万能药看完上表，应该能理解一个分寸：私人 DNS 解决的是"传输层的隐私与完整性"，不是"终端安全"也不是"内容安全"。 它不能代替杀毒软件、不能代替 HTTPS、更不能代替你自己对链接的判断。RFC 7858 在"安全考虑"一节也明确写道：DoT 是为解决"窃听 DNS 消息"这类隐私风险而设计的，并不解决 DNS 的其他安全问题，残留风险依然存在——例如 TLS 自身的中间人攻击、明文环节被中间人改写、以及基于报文时序和大小的流量分析等。所以正确的姿势是：把私人 DNS 当作"上网隐私的基础一环"，和 HTTPS、零日志服务商、及时更新系统配合使用，而不是指望它一个功能解决所有安全问题。想动手配置的话，本站私人 DNS 设置教程合集按设备整理了逐步操作。常见问题 FAQQ：开了私人 DNS，是不是就绝对不会被钓鱼了？A：不是。它只保证"域名被正确解析、且没人偷看你的查询"；如果你自己访问了一个本身就骗人的网站，它拦不住。Q：加密 DNS 会不会让运营商完全看不到我上网？A：运营商仍能看到你在和哪台加密 DNS 服务器通信、以及你访问的目标网站 IP，但看不到你具体查了哪些域名。Q：家里路由器被改了 DNS，手机开私人 DNS 有用吗？A：有用。因为手机的加密查询不再经过路由器指定的那台明文 DNS，路由器被改成什么地址都不影响你这条加密通道。参考来源RFC 7858 — Specification for DNS over TLS, IETF, 2016（引言与安全考虑章节）：支撑"传统 DNS 明文易被窃听与中途篡改、DoT 仅解决窃听类隐私风险、残留风险包括中间设备干扰与流量分析"等事实。RFC 8484 — DNS Queries over HTTPS (DoH), IETF, 2018（隐私与安全章节）：支撑"DoH 加密 DNS 流量、缓解被动监听与主动把流量导向恶意服务器的攻击、但不替代 DNSSEC"等事实。RFC 7626 — DNS Privacy Considerations, IETF, 2015：作为 RFC 7858/8484 共同引用的 DNS 隐私权威文档，支撑"在线窃听与服务器端隐私"两类风险划分。Google Support — Manage advanced network settings on your Android phone：支撑"安卓私人 DNS 三档模式、开启后整机查询走加密"的官方说明。

私人DNS是什么？一文看懂私人DNS原理、作用与适用人群 TL;DR： 手机设置里的"私人DNS"，是安卓 9（Android Pie）开始由系统原生提供的一项功能，本质是把原本明文发出的域名查询，通过 TLS 加密隧道发给指定的加密 DNS 服务器（协议即 DNS over TLS，简称 DoT，标准端口 853，见 RFC 7858）。它能防止你"查了哪个网站"被局域网、运营商偷看或中途篡改，但它不是 VPN——只加密"查域名对应地址"这一步，不加密网页内容，也挡不住恶意软件去改 hosts 文件。私人DNS到底是什么？先从一个比喻说起我们可以把上网想象成打电话：你想联系"张三"，但手机只能拨号码，于是需要先查一本"电话簿"——你说一句"张三的号码是多少"，电话簿回给你一串数字。这本电话簿就是 DNS（域名系统），那个查询动作就是 DNS 查询。问题在于，传统 DNS 查询是明文的，像一张写在明信片上的便签：从你的手机到电话簿服务器之间，路过的每一个环节（家里的路由器、咖啡店的 WiFi、运营商的线路）都能读到你写了什么。你查了哪家银行、哪个购物网站、哪台设备，全程可见。"私人 DNS"做的事，就是把这张明信片塞进一个密封信封：查询内容在手机本地用 TLS 加密，到达加密 DNS 服务器后才拆开。路上任何人只能看到"你在和某个加密 DNS 服务器通信"，看不到具体查了哪个域名。安卓设置里的"私人DNS"：官方定义到底是什么很多人第一次见到"私人 DNS"这四个字，是在安卓手机的「设置 → 网络和互联网 → 高级」里面。根据 Android 官方文档，从 Android 9（Pie）开始，系统引入了名为"Private DNS"的机制，它使用 DNS over TLS 为 DNS 查询提供安全与隐私保护。进入该菜单后，通常有三个选项：选项含义关闭退回传统明文 DNS，完全不加密自动（Automatic）系统尝试用加密 DNS，若网络不支持则静默回退到明文（即 RFC 7858 所说的"机会式隐私"）指定主机名（Private DNS provider hostname）强制走你填写的加密 DNS 服务器，连不上就直接报错，不回退明文（严格模式）需要强调：安卓这个"私人 DNS"菜单，走的是 DoT（端口 853），而不是浏览器里常见的 DoH。 如果你在浏览器设置里看到"安全 DNS"，那通常是另一套基于 HTTPS 的实现。两者最终目的相似，但技术路径不同，下文和本站加密 DNS 首页有专门区分。它的工作原理：TLS 隧道到底包了一层什么按照 RFC 7858 的规定，一台支持 DoT 的 DNS 服务器必须在 TCP 的 853 端口上监听并接受连接；客户端想获得隐私时，也要主动向服务器的 853 端口建立一条 TCP 连接，紧接着完成 TLS 握手。握手通过后，这条通道就被加密了，之后所有的查询和响应都在这条加密通道里传输。RFC 7858 还明确了一条安全细节：853 端口上绝不允许传输明文 DNS 消息，哪怕 TLS 握手失败也不行——这样做是为了防止"降级攻击"，即有人故意让你的加密连接失败，逼你退回明文。和这个机制配套的还有两种"信任等级"：机会式隐私（Opportunistic）：能加密就加密，连不上就算了，优先保证能用；密钥固定/指定主机名（Key-pinned）：你事先认准某台服务器的身份证书，只信它一家，连不上就报错，安全性更强但更"挑网络"。安卓的"自动"对应前者，"指定主机名"对应后者。私人DNS能帮你挡住什么，又挡不住什么这是最容易被误解的地方。一张表说清楚：场景私人DNS（加密）能防吗在公共 WiFi 下，别人偷看你查了哪些域名能，查询内容被 TLS 加密中途有人篡改你的 DNS 回答、把你导去假网站能，TLS 校验服务器身份，伪造回答通不过运营商或本地网络记录你的浏览域名偏好能，他们只能看到你在和加密 DNS 服务器通信加密网页（HTTPS）本身的内容不需要——网页内容本来就该由 HTTPS 加密不加密网页（HTTP）的内容不能，私人 DNS 只管"查地址"那一步恶意软件在你手机里改 hosts 文件不能，那是系统本地文件层面的问题病毒、钓鱼链接、木马下载不能，那是内容与终端安全范畴一句话总结：私人 DNS 保护的是"你和 DNS 服务器之间这一段路"，不是你的整段上网。 它不是 VPN，VPN 加密的是你几乎所有流量；私人 DNS 只加密域名查询这一小类流量。它和运营商DNS、公共DNS、自建DNS是什么关系这几个概念经常被混在一起，其实它们是不同维度的东西：运营商 DNS：你插卡、连宽带后自动分配的那台 DNS，通常明文、默认开启；公共 DNS：像 Google、Cloudflare 等提供的免费递归 DNS 服务，你可以手动指定地址；其中一部分同时支持 DoT/DoH 加密；自建 DNS：自己在服务器上搭一套解析服务（比如 AdGuard Home），地址由你说了算。"私人 DNS"描述的是传输方式（加密），而不是某一台特定的服务器。你可以把私人 DNS 指向某家公共加密 DNS，也可以指向自己家搭的加密 DNS。本站的免费加密 DNS 服务汇总整理了常见可选地址，可按需挑选。你属于该开私人DNS的那一类人吗？如果你符合下面任意两条，就建议开启：经常在咖啡店、机场、酒店等公共 WiFi 下上网；在意"运营商能看到我访问了哪些网站"这种长期隐私画像；曾遇到过打开网页被强制跳到广告页、运营商登录页；想要一个"设一次、全局生效"的加密方案，而不是每个 App 单独配。反过来，如果你长期只在自己家里、受信任的网络环境使用，且对隐私不敏感，那它对你的提升有限；部分校园网、企业内网还依赖内网域名，强制指定严格模式的私人 DNS 可能导致内网服务打不开——这时建议先用"自动"模式观察。具体连不上时的排查，可参考本站安卓私人 DNS 连不上的排查全流程。常见问题 FAQQ：私人 DNS 开了之后会不会变慢？A：加密握手确实增加了一点点开销，但主流加密 DNS 服务器都有任播节点，实测多数场景下差异很小，某些情况下反而比运营商 DNS 更快。Q：iPhone 上也有"私人 DNS"吗？A：iOS 没有安卓那个同名菜单，它通过"配置描述文件"来开启加密 DNS，设置路径和安卓不同，但底层同样是 DoT/DoH 这类加密协议。Q：私人 DNS 能代替 VPN 吗？A：不能。私人 DNS 只加密域名查询，VPN 加密的是你几乎所有网络流量，两者解决的问题范围完全不同。参考来源RFC 7858 — Specification for DNS over Transport Layer Security (TLS), IETF, 2016：支撑"DoT 标准、TCP 853 端口、机会式与密钥固定两种隐私剖面、853 端口禁止明文传输"等事实。Android Developers — Behavior changes in Android 9 (Pie) DNS privacy：支撑"Android 9 起系统引入 Private DNS、应用需遵循 DNS-over-TLS 行为"的官方定义。Google Public DNS — Get Started (Android Private DNS 配置说明)：支撑"Android 9+ 在 设置 → 网络和互联网 → 高级 → 私人 DNS 中配置主机名"的操作路径。Google Support — Manage advanced network settings on your Android phone (Private DNS 三模式)：支撑"关闭 / 自动 / 指定主机名"三档模式的官方说明。

智能电视和电视盒子怎么设置私人DNS？安卓TV 图文教程 TL;DR 一句话结论：不是所有智能电视/电视盒子都有"私人 DNS"开关。原生安卓 TV（如 Google TV、Nvidia Shield、部分外贸盒子）在 设置 → 网络和互联网 → 私人 DNS 里可以填 DoT 主机名；但国内大部分定制系统（小米盒子、当贝、天猫魔盒、运营商 IPTV 盒子）都把这个入口阉割掉了。找不到选项时，最现实的办法是在路由器上统一改 DNS（或旁路由跑 AdGuard Home），让电视自动跟着走，不用动电视本身。先搞清楚：你的电视/盒子是什么系统？智能电视和电视盒子的"私人 DNS"支持情况，比手机复杂得多。因为厂商五花八门，系统版本从安卓 7 到安卓 14 都有，而且国内厂商普遍会把原生安卓的功能砍掉一大半。动手前先对号入座：原生安卓 TV / Google TV：Sony 部分新款、Nvidia Shield、Chromecast with Google TV、部分外贸盒子，这类设备最接近原生安卓，私人 DNS 入口基本都在。国内定制安卓：小米盒子/小米电视、当贝盒子、极米/坚果投影仪、天猫魔盒、腾讯极光盒子等，系统是厂商二次定制的，很多把"私人 DNS"藏起来或干脆删掉。运营商 IPTV 盒子：移动/联通/电信送的机顶盒，系统锁得最死，基本没有任何 DNS 自定义入口。非安卓系统：Apple TV、三星 Tizen、LG webOS、海信自研系统，这些压根没有"私人 DNS"这个概念。下面按情况分别说。情况一：有"私人 DNS"入口的盒子怎么设基于 Android 9 及以上版本的原生安卓 TV，私人 DNS 用的是 DoT（DNS over TLS）协议。通用步骤如下：打开电视/盒子的 设置（一般在主界面右上角齿轮图标，或按遥控器设置键）。进入 网络和互联网（有的版本叫"网络"或"WLAN"）。找到 私人 DNS（英文是 Private DNS）。如果首页没看到，就进"高级"或者用设置里的搜索框搜"DNS"。选择 专用 DNS 提供商主机名（或叫"私人 DNS 提供方主机名"）。填入一个支持 DoT 的 DNS 主机名，例如：阿里公共 DNS：dns.alidns.comCloudflare：one.one.one.oneGoogle：dns.googleQuad9：dns.quad9.net点 保存，等几秒钟生效。注意：这里填的是主机名，不是 IP 地址。DoT 靠域名做证书校验，填 IP 是不行的。这一点和手机上的私人 DNS 完全一致，安卓端的排查思路可以参考本站的安卓私人 DNS 排查文章。情况二：找不到"私人 DNS"选项怎么办？（多数人遇到的情况）如果你在设置里翻遍了也找不到"私人 DNS"，基本可以断定是你的电视厂商把这个入口阉割了。这时候不要硬找，直接走下面两条路：方案 A：在路由器上统一改 DNS（最推荐）既然电视自己改不了，那就让路由器把正确的 DNS 地址通过 DHCP 下发给所有设备——包括电视。这样电视什么都不用动，连上 Wi-Fi 就自动用新 DNS。具体怎么在 TP-Link、小米路由器、OpenWrt 上设置，以及"路由器填 IP ≠ 加密"的概念辨析，我们在路由器设置私人 DNS 教程那篇里详细讲过。这里只说结论：如果只是想换个更快/更少劫持的 DNS，在路由器 DHCP 里填 223.5.5.5 这类公共 DNS IP 即可，电视自动跟着走。如果想要真加密，需要刷 OpenWrt 用 Stubby 做 DoT 上游，或者旁路由跑 AdGuard Home。方案 B：旁路由跑 AdGuard Home（进阶）如果主路由不能刷 OpenWrt，可以用一台旧手机、树莓派或者便宜的小主机跑 AdGuard Home，作为旁路由接进家里网络。主路由把 DHCP 的 DNS 指向这台旁路由，电视就自动用上了加密 DNS + 广告过滤。这种方式对电视本身零要求，哪怕是十年前的老盒子也能受益。在电视 Wi-Fi 里改 DNS，算不算私人 DNS？很多电视/盒子在"已连接 Wi-Fi → 修改网络 → 高级选项 → IP 设置改成静态"里，允许你手填 DNS 1 和 DNS 2。这里要泼一盆冷水：这只是把明文 DNS 换成另一个明文 DNS 服务器，不是加密。 和路由器 WAN 口填 1.1.1.1 是一个道理。你填了 8.8.8.8，查询依然走 53 端口裸奔，运营商和中间设备照样能看到你查了什么域名，照样能劫持。想真加密，必须走 DoT（853 端口）或 DoH（443 端口），而电视静态 Wi-Fi 设置里填不了主机名，也选不了协议。用第三方 App 给电视加 DoH 可行吗？理论上可行——安卓 TV 上确实有一些 DoH/DoT 客户端 App（比如基于 Intra、1.1.1.1 App 的电视版）。但实际体验很劝退：国内电视盒子大多没有 Google Play，装 App 要自己找 APK、用 U 盘侧载或者 adb 命令推。电视系统后台管控很严，这类 VPN 模式的 App 经常被系统杀进程，看一集视频就断了。每台电视都要单独装、单独配，家里三台电视就要折腾三遍，远不如路由器一次搞定。所以除非你就一台盒子、且动手能力很强，否则不推荐在电视上装 App 实现加密 DNS，走路由器/旁路由方案省心得多。不同设备对照设备类型有"私人 DNS"入口吗推荐方案原生安卓 TV / Google TV有，在网络和互联网里直接填 DoT 主机名国内定制安卓盒子（小米/当贝等）多数被阉割，找不到路由器 DHCP 下发 / 旁路由运营商 IPTV 盒子几乎都没有只能路由器层解决Apple TV / 三星 Tizen / LG webOS无此功能只能路由器层解决电视里改静态 Wi-Fi 的 DNS—只是换明文服务器，不算加密常见问题 FAQQ1：我在电视 Wi-Fi 高级设置里把 DNS 改成了 1.1.1.1，这算私人 DNS 吗？不算。这只是把明文 DNS 服务器从运营商换成了 Cloudflare，查询依然是明文的。私人 DNS 的核心是"加密"（DoT/DoH），不是"换地址"。Q2：电视开了私人 DNS 后，看视频会卡吗？走 DoT 加密后理论上多了一层 TLS 握手，首次解析可能略慢，但通常在几十毫秒内，看在线视频几乎感知不到。如果选了国外服务器（如 Cloudflare 1.1.1.1）在国内可能反而慢，建议优先选阿里 DoT（dns.alidns.com）这种国内有节点的。Q3：怎么快速判断我的电视有没有私人 DNS 选项？进设置后直接在设置里搜"私人 DNS"或"Private DNS"。搜得到就按情况一操作；搜不到就是被厂商阉割了，直接走路由器方案。不同厂商系统位置可能略有差异，实在找不到可以查对应品牌的官方说明书。Q4：运营商送的 IPTV 盒子能不能破解出私人 DNS？不建议。运营商盒子系统锁得很死，强行破解可能导致 IPTV 直播功能失效，甚至变砖。最稳妥的办法就是在家庭路由器层统一做 DNS 加密，盒子自动跟着受益，不用动盒子本身。更多设备端的私人 DNS 设置教程，可以浏览本站的 私人 DNS 设置教程合集。参考来源Google Android 帮助《管理 Android 手机上的高级网络设置》——支撑"私人 DNS"官方入口路径（设置→网络和互联网→专用 DNS）、三个选项（关闭/自动/专用DNS提供商主机名）及"专用DNS只保障DNS问答数据安全"的说明。https://support.google.com/android/answer/9654714?hl=zh-HansCloudflare 开发者文档《Set up 1.1.1.1 on Android》——支撑 Android 9+ 通过 Private DNS 使用 DoT、设置路径（Settings > Network & internet > Advanced > Private DNS）及主机名形式（非IP）的事实。https://developers.cloudflare.com/1.1.1.1/setup/android/Google Public DNS 开发者文档《Get started》——支撑 Android 私人 DNS 使用 DoT 协议、填写 dns.google 作为主机名的配置方式。https://developers.google.com/speed/public-dns/docs/using

浏览器开启私人DNS教程：Chrome/Edge/Firefox 设置DoH TL;DR 一句话结论：Chrome、Edge、Firefox 三大桌面浏览器都内置了"安全 DNS"功能，本质就是 DoH（DNS over HTTPS），不用装任何插件。Chrome 路径：设置 → 隐私和安全 → 安全 → 使用安全 DNS；Edge 路径：设置 → 隐私、搜索和服务 → 安全 → 使用安全 DNS；Firefox 路径：设置 → 常规 → 网络设置 → 设置 → 启用 DNS over HTTPS。开启后浏览器自身的域名查询会走 HTTPS 加密通道，但只保护浏览器内的流量，不影响系统里其他 App。为什么要在浏览器里单独开 DoH？很多人以为在路由器或手机系统里设了私人 DNS 就够了。但现实是：你在公司网络、学校机房、酒店 Wi-Fi 下，往往碰不到路由器后台；公司发的笔记本也未必让你改系统 DNS。这时候浏览器内置的 DoH 就是你能自己掌控的最后一道防线——它只对浏览器自己生效，不需要管理员权限，点开开关就走加密通道。需要注意的是，浏览器 DoH 保护的范围仅限于浏览器发出的 DNS 查询，系统里其他软件（比如迅雷、Steam、各种客户端）依然走系统默认的明文 DNS。想全家/全系统加密，还是得靠路由器或系统级方案，这两者并不冲突，可以叠加使用。关于 DoH、DoT、DoQ 三种协议的区别，可以参考本站的协议对比文章。Google Chrome 怎么开启安全 DNSChrome 把这个功能叫"使用安全 DNS"，底层就是 DoH。按以下步骤操作：打开 Chrome，点击右上角三个点（⋮）→ 设置。左侧菜单选择 隐私和安全。点击 安全。往下滚到"高级"区域，找到 使用安全 DNS，打开开关。选择"使用当前服务提供商"（自动模式），或者选"自定义"，在下拉框里挑一个服务商（如 Cloudflare、Google），也可以直接填入你自己的 DoH URL。默认状态：Chrome 在自动模式下默认是开启的。如果你当前网络的 DNS 服务器支持 DoH，Chrome 会自动升级加密；如果不支持，就静默回退到明文，不会报错。但如果你选了"自定义"指定某个服务商，Chrome 就不会回退明文，一旦那个 DoH 服务器连不上，就会报"找不到服务器 IP 地址"的错误。注意：如果你的设备由公司统一管理（加入了域/MDM），或者开了家长控制，Chrome 会灰掉这个开关，你改不了——这是企业策略锁死的。Microsoft Edge 怎么开启安全 DNSEdge 基于 Chromium 内核，逻辑和 Chrome 几乎一样，但菜单位置稍有不同：打开 Edge，点击右上角三个点（⋯）→ 设置。左侧选择 隐私、搜索和服务。往下滚到"安全"区块。打开 使用安全 DNS 旁边的开关。然后选择"使用当前服务提供商"或者"选择服务提供商"，在下拉列表里挑一个（如 Cloudflare、Google DNS）。Edge 的安全 DNS 同样是 DoH 协议。开启后，Edge 在解析网站域名时会通过 HTTPS 加密发送查询，微软官方说明里提到这能帮助防范网络钓鱼和恶意软件——因为加密之后，中间人就没法把你劫持到钓鱼网站了。Mozilla Firefox 怎么开启 DoHFirefox 是最早大规模推送 DoH 的主流浏览器，设置入口和前两家不太一样：打开 Firefox，点击右上角菜单按钮（☰）→ 设置（或偏好设置）。在 常规 面板里，一直往下滚到"网络设置"。点击 设置… 按钮（在"网络设置"那一行的右侧）。在弹出的对话框里往下滚，找到 启用 DNS over HTTPS。勾选它，然后从下拉框选一个默认服务商（Mozilla 默认推荐 Cloudflare），或者选"自定义"填入你自己的 DoH 地址。点击"确定"保存。新版 Firefox（约 119 之后）把 DoH 入口挪到了左侧 隐私与安全 面板最下方的"DNS over HTTPS"区块，如果你在"常规"里找不到，就去左边栏点"隐私与安全"往下翻。默认状态：Firefox 在美国、加拿大等地区的桌面版默认就是开启的（fallback 模式：DoH 失败自动回退系统 DNS）。中国大陆版默认关闭，需要手动打开。三大浏览器对比浏览器菜单入口默认状态自定义服务商协议保护范围Chrome设置→隐私和安全→安全→使用安全DNS自动模式默认开启支持填 DoH URLDoH仅 Chrome 浏览器Edge设置→隐私、搜索和服务→安全→使用安全DNS跟随系统/默认开启支持下拉选择服务商DoH仅 Edge 浏览器Firefox设置→常规→网络设置→设置（或隐私与安全面板）部分地区默认开启支持填自定义 DoH URLDoH仅 Firefox 浏览器自定义 DoH 服务商地址怎么填？如果你选了"自定义"，需要填一个符合 RFC 8484 标准的 DoH URL。几个常用的免费 DoH 端点：Cloudflare：https://cloudflare-dns.com/dns-queryGoogle：https://dns.google/dns-queryQuad9：https://dns.quad9.net/dns-query阿里 DoH：https://dns.alidns.com/dns-query更多免费加密 DNS 地址可以参考本站整理的免费加密 DNS 地址清单。注意：浏览器 DoH 只认 https:// 开头的 URL，不认 IP 地址，也不认 DoT 的 853 端口形式。常见问题 FAQQ1：开了浏览器 DoH，还要不要在系统/手机上开私人 DNS？不冲突，建议都开。浏览器 DoH 只管浏览器；系统私人 DNS（安卓的"私人 DNS"、Windows 的 DoT 设置）管整个系统所有 App。两者叠加，覆盖更全面。Q2：开了浏览器 DoH 后某些网页打不开了怎么办？大概率是你选的那个 DoH 服务器在你当前网络下被墙了或者超时。解决办法：①换回"自动模式"让浏览器自己判断；②换一个国内能直连的 DoH 服务商（如阿里 DoH）；③临时关掉"使用安全 DNS"恢复明文。Q3：浏览器 DoH 和 VPN 会不会冲突？有可能。有些 VPN 客户端会自己接管系统 DNS，再叠加浏览器 DoH 可能导致解析异常。如果开了 VPN 后浏览器上不了网，可以先去浏览器设置里把"使用安全 DNS"关掉试试。Q4：Chrome 里找不到"使用安全 DNS"开关是怎么回事？先确认 Chrome 是不是最新版。如果是公司电脑/学校电脑，很可能被组策略或 MDM 锁死了——这种情况你改不了，需要找 IT 管理员。另外安卓和 iOS 版 Chrome 的 DoH 是跟随系统私人 DNS 的，没有独立开关。更多关于加密 DNS 的基础知识，可以从本站的加密 DNS 首页开始看。参考来源Google Chrome 帮助中心《管理 Chrome 的安全性》——支撑 Chrome"使用安全 DNS"的菜单路径（设置→隐私和安全→安全→高级）、自动模式默认开启及失败回退行为、受管理设备不可用等事实。https://support.google.cn/chrome/answer/10468685?hl=zh-HansMicrosoft 支持《在 Microsoft Edge 中安全地浏览 Web》——支撑 Edge 安全 DNS 的菜单路径（设置等→隐私、搜索和服务→安全→使用安全 DNS）及加密 DNS 查询防钓鱼的说明。https://support.microsoft.com/zh-cn/edge/securely-browse-the-web-in-microsoft-edgeMozilla 支持《Firefox DNS over HTTPS》——支撑 Firefox DoH 的开启/配置入口（常规→网络设置→设置→启用DNS over HTTPS）、默认推送地区、fallback 模式与风险说明。https://support.mozilla.org/en-US/kb/firefox-dns-over-httpsMozilla 支持《Configure DNS over HTTPS protection levels in Firefox》——支撑新版 Firefox DoH 保护级别设置及入口位置（隐私与安全面板）。https://support.mozilla.org/en-US/kb/dns-over-https/revision/331342

路由器设置私人DNS教程：全家设备统一加密DNS（小米/TP-Link/OpenWrt） TL;DR 一句话结论：在路由器 WAN 口或 DHCP 里填 1.1.1.1、8.8.8.8 这类地址，只是把运营商的明文 DNS 换成了公共明文 DNS，并不等于加密。想让全家手机、电脑、电视都用上加密 DNS，现实里只有三条路：①路由器 DHCP 下发自定义 DNS（最简单、全家生效、但不加密）；②刷 OpenWrt 后用 Stubby / AdGuard Home 做 DoT 上游（真加密、有一定门槛）；③旁路由跑 AdGuard Home（灵活、推荐进阶用户）。路由器填了 DNS 地址，为什么不等于"私人 DNS"？很多人搜"路由器怎么设置私人 DNS"，照着教程在后台填了一串 IP，以为就万事大吉了。这里必须先把概念讲清楚，否则后面全是白做。传统 DNS 查询是明文的：你的手机问"www.baidu.com 的 IP 是多少"，这个问题在网络上是裸奔的，运营商、公共 Wi-Fi 监听者、甚至路由器本身都能看到你查了哪些域名。所谓"私人 DNS"或"加密 DNS"，指的是用 DoT（DNS over TLS，端口 853）或 DoH（DNS over HTTPS，端口 443）把这个查询包加密起来，中间人看不到域名内容。而你在路由器后台填的 1.1.1.1、223.5.5.5，只是换了一个明文 DNS 服务器的 IP 地址。查询依然走 53 端口明文发送，只不过从运营商的 DNS 换成了 Cloudflare 或阿里的 DNS。好处是可能更快、更少劫持，但隐私保护层面和原来没有本质区别。两者的协议差异可以参考本站的 DoH/DoT/DoQ 协议对比文章。方案一：路由器 DHCP 下发自定义 DNS（最简单，但不加密）如果你只是想全家设备统一用某个公共 DNS（比如解决某个网站打不开、想更快解析），而不追求加密，这是最省事的方案。原理是：路由器通过 DHCP 告诉所有连进来的设备"请用这个 DNS"，设备自动获取后就跟着走。TP-Link 路由器操作路径浏览器登录路由器管理后台（新固件通常是 tplinkwifi.net，旧款可能是 192.168.0.1）。进入 高级设置 → 网络 → 互联网（WAN），找到"DNS"一栏，选择"使用以下 DNS 地址"。填入首选和备用 DNS（如 223.5.5.5、223.6.6.6），保存。旧款绿色/蓝色界面的 TP-Link，路径是 网络参数 → WAN 口设置 → 高级设置 → 手动设置 DNS 服务器。以上路径来自 TP-Link 官方服务支持文档。不同型号固件版本略有差异，找不到时就在后台左侧菜单里找"WAN"或"上网设置"。小米 / Redmi 路由器操作路径浏览器访问 miwifi.com 或默认地址 192.168.31.1 进入 Web 后台。进入 常用设置 → 局域网设置 → DHCP 服务，在这里可以配置 DHCP 相关参数。部分型号在"上网设置"里也能改 WAN 口 DNS，按界面提示填写即可。以上路径来自小米官方帮助中心的 DHCP 服务说明。注意：小米路由器官方固件目前不支持直接填写 DoT/DoH 加密 DNS 上游，只能填 IP 形式的明文 DNS。这个方案的优缺点优点：零门槛、所有连接设备自动生效、不用逐台设置。缺点：依然是明文 DNS，只是换了服务器；运营商仍能看到你的域名查询；不防劫持的场景下收益有限。方案二：OpenWrt + Stubby 实现全家 DoT 加密（真加密，有门槛）如果你有一台可以刷 OpenWrt 的路由器，这是实现"全家设备自动走加密 DNS"最干净的方案。OpenWrt 官方 Wiki 给出的标准做法是用 Stubby 做本地 DoT 存根解析器，流程是：局域网设备 → dnsmasq（53端口）→ stubby（5453端口）→ 加密 DoT 到上游（853端口）所有设备感知不到任何变化，它们还是向路由器的 53 端口发明文查询，但路由器内部已经用 TLS 加密转发到了上游 DoT 服务器。简要步骤（以官方 Wiki 为准）：进入路由器 SSH 命令行，执行 opkg update && opkg install stubby。编辑 /etc/stubby/stubby.yml，配置你要用的 DoT 上游（如 Cloudflare 的 one.one.one.one、Quad9 的 dns.quad9.net）。在 dnsmasq 配置里把转发地址指向 127.0.0.1#5453。确保路由器通过 DHCP 把自己广播为 DNS 服务器，这样局域网设备自动受益。建议在防火墙里封掉 WAN 口的 TCP/UDP 53 端口出站，防止设备绕过加密直发明文 DNS。上游 DoT 地址可以参考本站整理的免费加密 DNS 地址清单。方案三：旁路由跑 AdGuard Home（进阶推荐）如果你的主路由不能刷 OpenWrt（比如运营商定制光猫、品牌固件锁死），旁路由是另一条现实路线：用一台旧手机、树莓派、或者便宜的小主机跑 AdGuard Home，作为旁路网关接入现有网络，主路由把 DHCP 的 DNS 指向这台旁路由。这样做的好处是：主路由不用动，旁路由想刷就刷、想换就换；AdGuard Home 既支持 DoT/DoH 上游加密，又自带广告过滤和规则订阅，一台设备解决两个需求。详细搭建方法我们会在本系列后续的自建 AdGuard Home 教程里展开，这里先给概念。三种方案对比方案加密效果设置难度全家生效适合人群路由器 DHCP 填公共 DNS IP无加密，仅换服务器★ 极低是只想换个快 DNS 的普通用户OpenWrt + Stubby 做 DoT全链路加密（DoT 853）★★★★ 较高是有刷机经验、追求隐私的用户旁路由 AdGuard Home全链路加密 + 广告过滤★★★ 中等是不想动主路由、想兼顾去广告的用户常见问题 FAQQ1：我在路由器里填了 1.1.1.1，为什么还是被 DNS 劫持？因为 1.1.1.1 只是个明文 IP，运营商或中间设备依然可以在 53 端口上做劫持和污染。想真正防劫持，必须走 DoT 或 DoH 加密通道，也就是方案二或方案三。Q2：怎么判断我的路由器支不支持加密 DNS？普通品牌固件（TP-Link 家用款、小米官方固件、华为家用款）的后台通常只有填 IP 的地方，没有"DoT 主机名"或"DoH URL"输入框。支持加密上游的往往是 OpenWrt、梅林、pfSense 这类第三方固件，或者企业级路由器。Q3：改了路由器 DNS 后，家里所有设备都要重新连 Wi-Fi 吗？不需要重连 Wi-Fi。但设备需要重新获取一次 DHCP 租约才能拿到新的 DNS 地址——一般等几分钟自动刷新，或者手动断开重连一次 Wi-Fi 即可。Q4：旁路由和主路由是什么关系？会影响网速吗？旁路由不承担拨号和 NAT，只负责 DNS 和可选的过滤。正常上网流量还是主路由直接转发，旁路由只处理 53 端口的 DNS 查询，对网速几乎没有影响。更多设备端的私人 DNS 设置教程，可以浏览本站的 私人 DNS 设置教程合集。参考来源TP-Link 官方服务支持《如何修改路由器登录帐号以及判断 DNS 设置是否正常？》——支撑文中 TP-Link 旧固件 WAN 口/DHCP DNS 设置路径（网络参数→WAN口设置→手动设置DNS服务器）。https://service.tp-link.com.cn/detail_article_575.htmlTP-Link 官方 FAQ《How to change DNS Servers on TP-Link Routers》——支撑新固件界面路径（Advanced > Network > Internet > Use the Following DNS Addresses）。https://www.tp-link.com/ph/support/faq/1711/小米官方帮助中心《【路由器】DHCP服务》——支撑小米路由器 DHCP 服务入口（常用设置→局域网设置→DHCP服务）及管理地址 miwifi.com / 192.168.31.1。https://ics-resources.xiaomi.com/ics-resources/articles/60516fba5078534fd7632cbe.htmlOpenWrt 官方 Wiki《Stubby》——支撑 OpenWrt 上用 Stubby 做 DoT 加密的架构（dnsmasq:53 → stubby:5453 → encrypted:853）、安装命令与配置要点。https://openwrt.org/docs/guide-user/services/dns/stubby