macOS私人DNS设置教程：Mac 配置DoT/DoH加密DNS TL;DR： Mac 的「系统设置 → 网络 → DNS」里只能填普通明文 DNS IP，没有加密开关。要在 Mac 上使用 DoT（DNS over TLS）或 DoH（DNS over HTTPS），需要安装一个网络配置描述文件（.mobileconfig），或者直接装第三方应用（如 AdGuard for Mac、Cloudflare 1.1.1.1）。macOS Big Sur（11.0）及以上版本系统原生支持加密 DNS，但 Apple 没有在图形设置里暴露开关，全部走描述文件或 App。Mac 系统设置里的 DNS 只能设普通 DNS先说结论，避免你白找半天：打开「系统设置 → 网络 → 详细信息 → DNS」，你能看到的只是「DNS 服务器」列表，填的是 1.1.1.1 这类 IP 地址。这个界面没有任何加密选项——它发出去的 DNS 请求仍然是明文 UDP 53 端口，和你在路由器里设 DNS 一样。Apple 从 macOS Big Sur（11.0）开始就在系统底层支持 DoT 和 DoH，但出于设计上的考虑，Apple 没有在这个 DNS 设置面板里加一个「开启加密」的按钮。加密 DNS 的配置统一通过「描述文件（Configuration Profile）」或者「系统扩展类 App」来下发。这一点和 iPhone 类似：iPhone 的「设置 → 通用 → VPN与设备管理」里装一个 DNS 描述文件就能全局加密，Mac 也是同一套机制。关于 iPhone 的具体步骤可以参考本站的 iPhone 私人 DNS 教程。方法一：安装 DNS 描述文件（.mobileconfig）这是 Apple 官方推荐的原生方式，不需要装任何常驻 App。第一步：选一个支持加密 DNS 的服务商常见的选择：服务商DoH 地址DoT 主机名Cloudflarehttps://cloudflare-dns.com/dns-queryone.one.one.oneGooglehttps://dns.google/dns-querydns.googleQuad9https://dns.quad9.net/dns-querydns.quad9.net第二步：获取描述文件最简单的方式是直接下载服务商或社区提供的现成描述文件：Cloudflare、Google 等官方文档页会提供一键下载的 .mobileconfig 文件。也可以用开源社区维护的「encrypted-dns」项目生成自己需要的描述文件。如果你想自己写一个描述文件，它本质上是一个 XML 文件，里面用 com.apple.dnsSettings.managed payload 声明加密 DNS 参数。关键参数包括：Protocol：选 HTTPS（DoH）或 TLS（DoT），必填。ServerURL：DoH 的完整 HTTPS URL，Protocol 选 HTTPS 时必填。Hostname：DoT 模式下填服务器的主机名（用于证书校验和 SNI）。Server addresses：DNS 服务器 IP 列表（可选，但建议填）。第三步：安装描述文件双击下载好的 .mobileconfig 文件。系统会提示「此网站正在尝试下载一个配置描述文件」，点击「允许」。打开「系统设置」，往下滑找到「隐私与安全性」，拉到最下面点「描述文件」。在「已下载的描述文件」里找到你刚下载的那个，点「安装」。输入你的 Mac 登录密码确认安装。安装完成后，这个描述文件会自动全局接管 DNS。安装完不需要重启。打开浏览器随便访问一个网站，DNS 就已经走加密通道了。方法二：用第三方应用（最省心）如果你不想折腾描述文件，直接装一个带加密 DNS 功能的 Mac 应用是最快的方式。AdGuard for MacAdGuard 官方 Mac 版内置了 DoH 和 DoT 支持：从 AdGuard 官网下载 AdGuard for Mac 并安装。打开 AdGuard → 设置 → DNS。选择一个 DNS 服务器（内置了 Cloudflare、Google、Quad9 等）。协议默认就是加密的（DoH），也可以手动切到 DoT。开启后全局生效，不需要额外配置。AdGuard 的好处是它同时是广告拦截工具，装一次既能加密 DNS 又能拦广告。如果你的目标是 用私人 DNS 拦截广告，这个方案一举两得。Cloudflare 1.1.1.1 AppCloudflare 官方也有 Mac 客户端，安装后一键开启加密 DNS，非常简洁，适合只想要加密、不需要广告过滤的用户。怎么验证加密 DNS 真的生效了？方法一：用浏览器检测访问 https://1.1.1.1/help，页面会显示：-「Connected to 1.1.1.1」：Yes-「Using DNS over HTTPS (DoH)」：Yes-「Using DNS over TLS (DoT)」：视你的协议而定三项全 Yes 就说明加密已经生效。方法二：用 dig 命令行确认打开「终端」，运行：dig google.comdig 默认走的是系统解析器。如果 systemd-resolved（macOS 上是 mDNSResponder）已经接管到描述文件的加密配置，dig 返回的结果和正常一样，但底层传输已经是加密的。要更直观地看到加密流量，可以用 tcpdump 或 Wireshark 抓包：sudo tcpdump -i any port 53如果开启了 DoH/DoT，你会发现 53 端口上几乎看不到明文 DNS 查询了（因为流量走了 443 或 853 端口的加密隧道）。方法三：查看描述文件状态打开「系统设置 → 隐私与安全性 → 描述文件」，确认你的 DNS 描述文件在列表中且状态为已安装。如果描述文件被移除，DNS 会自动回退到明文。常见问题 FAQQ：我在 Mac 的网络设置里填了 1.1.1.1，为什么还是明文？A：因为 macOS 的网络设置面板只接受 IP 地址，没有加密开关。你填的 1.1.1.1 会以明文 UDP 方式发送。要加密必须装描述文件或第三方 App。Q：DoT 和 DoH 在 Mac 上选哪个好？A：两者都是 TLS 加密，安全性差不多。DoH 走 443 端口，和普通 HTTPS 流量混在一起，更不容易被网络运营商封锁；DoT 走 853 端口，有些企业网络或公共 Wi-Fi 会直接封 853。日常家用推荐 DoH，更通用。关于两种协议的详细区别，可以看本站的 DoH/DoT/DoQ 协议对比。Q：装了描述文件之后 VPN 还能用吗？A：可以，但要注意优先级。macOS 上 VPN 通常会接管全局路由，加密 DNS 描述文件一般会配合 VPN 工作。如果你同时开了 VPN 和私人 DNS，建议看一下 私人 DNS 和 VPN 冲突怎么办 这篇排查思路。Q：怎么关闭 Mac 上的加密 DNS？A：打开「系统设置 → 隐私与安全性 → 描述文件」，选中对应的 DNS 描述文件，点减号删除即可。如果是第三方 App（AdGuard 等），在 App 设置里关掉加密 DNS 开关就行。参考来源Apple Support — DNS Settings device management payload settings：支撑 macOS 加密 DNS 通过 com.apple.dnsSettings.managed 描述文件 payload 配置，Protocol 可选 HTTPS/TLS、ServerURL 为 DoH 必填项等参数定义。URL：https://support.apple.com/guide/deployment/dep86469ba99/webApple Support — Filter content for Apple devices：支撑 DNS Settings payload 用于配置 DoH/DoT、增强 DNS 隐私，以及 macOS Big Sur 及以上版本支持加密 DNS 的官方说明。URL：https://support.apple.com/guide/deployment/filter-content-dep1129ff8d2/webApple Developer — DNSSettings.DNSSettings Data Dictionary：支撑 DNSProtocol 枚举值为 HTTPS 和 TLS 的开发者文档定义。URL：https://developer.apple.com/documentation/devicemanagement/dnssettings/dnssettings-data.dictionaryApple Developer Videos — WWDC2020 Enable encrypted DNS：支撑 Apple 平台从 iOS 14/macOS Big Sur 开始原生支持 DoT 和 DoH 的官方介绍。URL：https://developer.apple.com/videos/play/wwdc2020/10047/

Windows 11/10私人DNS设置教程：开启DoH加密DNS（设置+注册表两种方法） TL;DR： Windows 11 已原生支持 DoH（DNS over HTTPS），在「设置 → 网络和 Internet → Wi-Fi/以太网 → DNS 服务器分配」里手动指定 DNS 后即可选择加密模式；Windows 10 原生界面没有 DoH 开关，需要通过注册表 EnableAutoDoh 或第三方工具开启。本文分别给出两种方法的完整步骤、适用版本对比和验证方式。Windows 11 怎么设置私人 DNS（图形界面方法）Windows 11（22H2 及以上版本）在系统设置里直接集成了 DoH 开关，这是最推荐的方式，不需要改注册表。第一步：打开网络设置按下 Win + i 打开「设置」。左侧选择「网络和 Internet」。根据你当前的联网方式，点击「Wi-Fi」或「以太网」。点击你正在连接的网络名称（Wi-Fi 需要点击已连接网络右边的箭头或「属性」）。第二步：手动指定 DNS 服务器找到「DNS 服务器分配」，点击右侧的「编辑」。在弹出的编辑窗口里，把「自动（DHCP）」改成「手动」。打开 IPv4 开关。在「首选 DNS」和「备用 DNS」框里填入支持 DoH 的公共 DNS 地址，例如 Cloudflare 的 1.1.1.1 和 1.0.0.1，或者 Google 的 8.8.8.8 和 8.8.4.4。注意：只有 Windows 内置「已知 DoH 服务器列表」里的 IP 地址，加密下拉框才会被点亮。如果你填的 DNS 不在列表中（比如自建 DNS），需要选「手动模板」并填入 DoH 地址。第三步：开启 DNS 加密填完 DNS IP 后，下方会出现「DNS over HTTPS」（或「DNS 加密」）下拉菜单。三个选项的含义如下：选项说明关闭（Off）DNS 请求明文发送，不加密开启（自动模板）自动使用 Windows 内置的 DoH 模板，推荐新手选这个开启（手动模板）手动填写 DoH 服务器地址（HTTPS URL），适合自建或小众 DNS如果你选了「自动模板」，模板地址一般会自动补全（例如 https://cloudflare-dns.com/dns-query）。「回退到明文」开关：建议关闭。关闭后如果 DoH 连不上，DNS 请求会直接失败而不是降级成明文——这样就不会被偷偷降级。对 IPv6 做同样的操作（如果你用 IPv6）。点击「保存」。设置完成后不需要重启电脑，DNS 加密立即生效。Windows 10 怎么开启私人 DNS（注册表方法）Windows 10 原生设置界面不支持 DoH——微软官方文档明确写了「DNS over HTTPS setting is not available in Windows 10」。这是 Windows 11 才加进图形界面的功能。但 Windows 10 的较新版本（20H2 及以上）底层其实已经支持 DoH，只是没有界面开关。你可以通过注册表手动开启。方法一：注册表开启自动 DoH 升级按下 Win + R，输入 regedit，回车打开注册表编辑器。定位到以下路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters在右侧找到（或新建）一个名为 EnableAutoDoh 的 DWORD（32 位）值：0 = 关闭自动 DoH（默认）1 = 开启 DoH，但允许明文回退2 = 强制 DoH，尽量不降级推荐设为 2。重启 DNS 客户端服务（以管理员身份打开命令提示符）：net stop dnscache && net start dnscache然后回到网络设置，手动把 DNS 改成 1.1.1.1 这类支持 DoH 的服务器 IP。这个注册表项的作用是：当你手动指定了一个「已知支持 DoH」的 DNS IP 时，Windows 会自动把它升级成 DoH 连接。它不会帮你凭空创造 DoH 地址。方法二：第三方工具（适合小白）如果你觉得改注册表太麻烦，Windows 10 用户也可以用第三方工具一键开启 DoH，例如：Cloudflare 1.1.1.1 应用：官方客户端，安装后勾选加密 DNS 即可。AdGuard for Windows：自带 DoH/DoT 开关，还能顺便过滤广告。这些工具本质上是在本地跑一个加密 DNS 代理，把系统 DNS 指向本地代理端口，效果和系统级 DoH 一致。两种方法对比对比项Windows 11 图形界面Windows 10 注册表适用系统Windows 11 22H2+Windows 10 20H2+操作难度简单（点鼠标）中等（改注册表）是否需要第三方软件不需要不需要（或用第三方工具）加密协议仅 DoH仅 DoH加密开关位置设置→网络→DNS注册表 + 系统设置推荐人群Win11 用户Win10 用户、进阶用户怎么验证私人 DNS 是否生效？方法一：用浏览器检测打开浏览器，访问 Cloudflare 的加密 DNS 检测页 https://1.1.1.1/help，页面会显示「Using DNS over HTTPS (DoH)」是否为 Yes。方法二：用 nslookup 看端口打开命令提示符，运行：nslookup example.com这个命令本身看不出是否加密，但你可以配合 PowerShell 或资源监视器确认 DNS 走的是 443 端口（DoH）而不是 53 端口（明文）。更直观的方式是装一个 Wireshark，过滤 tcp.port == 853（DoT）或 tcp.port == 443 看有没有 DNS-over-HTTPS 流量。方法三：检查系统 DNS 状态以管理员身份打开 PowerShell，运行：Get-DnsClientServerAddress可以看到当前各网卡的 DNS 服务器 IP，确认你设置的地址已经生效。常见问题 FAQQ：设置了 DoH 但还是显示明文，怎么办？A：先确认你填的 DNS IP 在 Windows 已知 DoH 服务器列表里。可以打开注册表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters\DohWellKnownServers 查看内置列表。不在列表里的 IP 必须选「手动模板」并填写完整 DoH URL。Q：Windows 10 真的完全不能用 DoH 吗？A：原生界面没有开关，但 20H2 以后的版本底层协议已支持。通过注册表 EnableAutoDoh=2 或第三方客户端（Cloudflare App、AdGuard）都可以实现加密。如果你的 Win10 版本太老，建议升级系统或直接用第三方工具。Q：DoH 和 DoT 有什么区别？Windows 支持哪个？A：Windows 目前原生只支持 DoH（基于 HTTPS/443 端口），不原生支持 DoT（853 端口）。关于两种协议的详细对比，可以参考本站的 DoH/DoT/DoQ 协议对比文章。Q：开了 DoH 之后网速变慢了正常吗？A：DoH 多了一层 TLS 加密握手，首次查询可能略慢。但 Windows 有本地 DNS 缓存，日常浏览感知不明显。如果明显变慢，可以换一个离你近的公共 DNS，或者看看 免费加密 DNS 地址推荐 选个更快的节点。参考来源Microsoft Support — Essential Network Settings and Tasks in Windows：支撑 Windows 11 图形界面 DoH 设置路径、Off/On automatic template/On manual template 三个选项的含义、以及「DNS over HTTPS setting is not available in Windows 10」的官方说明。URL：https://support.microsoft.com/en-US/Windows/Experience/Connectivity-Networking/essential-network-settings-and-tasks-in-windowsMicrosoft Learn Q&A — DoH error during the configuration process：支撑注册表路径 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters 及 EnableAutoDoh=2 的配置方法。URL：https://learn.microsoft.com/en-us/answers/questions/6fc0a8f3-b374-44fa-b784-013a698b1cb7/doh-error-during-the-configuration-processMicrosoft Learn — netsh dnsclient 命令参考：支撑 netsh dnsclient add encryption 命令格式与 DoH 加密配置的官方命令行方法。URL：https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/netsh-dnsclientMicrosoft Learn Q&A — Windows 10 Pro 22H2 does not support DoH via Settings/netsh：支撑 Windows 10 原生不支持 DoH 图形界面与 netsh 加密命令的说明。URL：https://learn.microsoft.com/en-my/answers/questions/4376537/netsh-encryption-commands-are-missing

安卓原生私人DNS在哪设置？Android 9+ 私人DNS入口与hostname写法 TL;DR：安卓原生（Pixel 等）私人DNS入口在「设置 → 网络和互联网 → 高级 → 私人DNS」。它是 Android 9 Pie 开始引入的系统级功能，底层就是 DNS over TLS（DoT）。选「指定私人DNS主机名」，填入 dns.google 或 one.one.one.one 即可。关键：必须填域名，不能填IP，这是官方硬性要求。什么是安卓原生私人DNS私人DNS（Private DNS）是 Google 在 Android 9（Pie，API Level 28）中正式加入系统的加密DNS功能。它的作用是把手机所有的域名查询请求通过 TLS 协议加密后发送给指定的DNS服务器，防止运营商、公共Wi-Fi监听者篡改或窃听你的DNS查询。在安卓原生系统（Stock Android，代表机型是 Google Pixel 系列）上，这个功能从设置第一天起就摆在明面上，不需要Root、不需要装任何App。国内各品牌（小米、华为、三星、OPPO、vivo、荣耀）的系统都是基于安卓深度定制的，虽然底层都支持DoT，但菜单名称和位置各不相同——这也是为什么各品牌要单独出教程。原生安卓私人DNS的三种模式进入私人DNS设置页后，你会看到三个选项：模式英文行为说明关闭Off完全不使用加密DNS，所有查询走网络分配的默认明文DNS自动Automatic系统自动探测当前网络是否支持DoT，支持就加密，不支持就回退明文指定私人DNS主机名Private DNS provider hostname手动指定一个DoT服务器域名，强制所有查询走加密通道普通用户建议直接选第三项「指定私人DNS主机名」，效果最明确、最可控。「自动」模式看似省事，但在很多国内网络环境下要么探测不到、要么来回切换不稳定。原生安卓私人DNS入口位置（Pixel 等）不同安卓小版本菜单位置可能略有调整，但总体路径如下：打开「设置」App。找到「网络和互联网」（Network & Internet），有些版本叫「网络和Internet」。点击「高级」（Advanced）展开折叠菜单。点击「私人DNS」（Private DNS）。如果你的安卓版本把入口收得更深，可以直接在设置首页顶部搜索框输入「私人DNS」或「Private DNS」，一步到位。各品牌定制系统虽然界面不同，但搜索功能一般都保留了。hostname怎么填：必须是域名，不能是IP这是新手最容易踩的坑。安卓私人DNS的输入框叫「主机名」（hostname），它只接受域名形式，不能填 8.8.8.8 这种IP地址。原因在于 DoT 的工作机制：手机要和DNS服务器建立 TLS 加密连接，TLS握手时会校验服务器证书上的域名是否和你填写的主机名一致。IP地址没有对应的证书，填上去系统会直接报「无法连接」或一直转圈。常用的DoT主机名速查表：服务商DoT主机名特点Google Public DNSdns.google全球节点，海外服务解析快Cloudflareone.one.one.one零日志，隐私优先Cloudflare（备用写法）1dot1dot1dot1.cloudflare-dns.com同上，部分App教程用这个写法AdGuard（去广告）dns.adguard-dns.com拦截广告和跟踪器AdGuard（不过滤）unfiltered.adguard-dns.com纯加密，不拦截任何请求Quad9dns.quad9.net恶意网站防护腾讯DNSPoddot.pub国内节点，国内访问稳定阿里公共DNSdns.alidns.com国内节点填好后点「保存」，系统会立即尝试连接。连接成功后没有任何提示音或弹窗，但状态已经切换。怎么验证私人DNS是否生效设置完成后，可以用以下方法确认：系统状态确认：再次进入「设置 → 网络和互联网 → 高级 → 私人DNS」，确认选中的是「指定私人DNS主机名」，下方显示你填写的域名。在线检测：用浏览器访问 https://1.1.1.1/help，页面会显示「Using DNS over TLS (DoT)」是否为 Yes。实际体验：打开几个常用App和网页，如果都能正常加载，说明DNS解析正常工作。设置后连不上网怎么办（快速排查）如果你填完hostname保存后发现微信、浏览器都打不开，大概率是以下三个原因：服务器在国内网络下不通：dns.google、one.one.one.one 这类海外DoT服务器在国内可能被阻断或延迟极高。换成 dot.pub 或 dns.alidns.com 这类国内地址试试。填了IP而不是域名：回到设置页检查输入框，确认填的是完整域名，不要带 https:// 前缀，不要带端口号，不要填IP。Wi-Fi网络本身有问题：先把私人DNS切回「关闭」，看是否恢复上网。如果恢复了，就说明确实是DNS服务器的问题，不是网络断了。更完整的排查步骤（包括证书错误、特定App连不上、换机迁移等场景），请参考这篇专门的排查指南：安卓手机私人DNS连不上的排查全流程。私人DNS和DoH是什么关系很多人会把「私人DNS」和「DoH」混为一谈，这里简单厘清：私人DNS是安卓系统里的一个功能开关名称，它底层只实现了 DoT（DNS over TLS），不支持 DoH。DoH（DNS over HTTPS）是另一种加密DNS协议，走443端口。安卓原生私人DNS不支持DoH，如果你需要DoH，得靠浏览器内置（Chrome/Firefox）或第三方App实现。想深入了解两种协议的区别和怎么选，可以阅读DoH/DoT/DoQ 三种加密协议对比。另外，本站也整理了一份免费加密DNS服务地址与一键配置清单，可以直接抄作业。常见问题（FAQ）问：安卓哪个版本开始有私人DNS？我的手机是Android 8.1能用吗？答：私人DNS从 Android 9（Pie）开始引入。Android 8.1 及更早的系统没有这个系统级开关，只能靠第三方App实现加密DNS。可以在「设置 → 关于手机」里查看Android版本号。问：私人DNS对所有App都生效吗？包括微信、抖音这些？答：是的。私人DNS是系统级功能，所有走系统DNS解析的App都会经过加密通道。但如果某个App内置了自己的DNS解析器（硬编码服务器地址），它可能绕过系统私人DNS，这种情况比较少见。问：我填了 dns.google，为什么国内网站打开反而慢了？答：Google Public DNS 的节点主要在海外，国内域名解析时它返回的可能是海外CDN节点IP，导致访问变慢。国内用户建议优先用 dot.pub（腾讯）或 dns.alidns.com（阿里）这类国内节点，访问国内网站更快更稳。参考来源Android Developers - Android 9 行为变更（Private DNS / DNS over TLS） —— 支撑文中 Android 9 引入 Private DNS、底层为 DoT 的官方事实。Google Public DNS 官方文档 - DNS over TLS 设置步骤 —— 支撑文中 dns.google 主机名、Android 9+ 配置路径。Google Public DNS 官方文档 - 使用 Android 私人DNS —— 支撑文中「设置 → 网络和互联网 → 高级 → 私人DNS」路径及 hostname 填写方式。Cloudflare 1.1.1.1 官方文档 - DNS over TLS —— 支撑文中 one.one.one.one 作为 DoT 主机名。

iPhone私人DNS设置教程：iOS 用描述文件开启DoT加密DNS TL;DR：iPhone（iOS/iPadOS）没有安卓那种系统级「私人DNS」开关。要在 iPhone 上使用加密DNS（DoT 或 DoH），唯一的官方途径是安装一份配置描述文件（.mobileconfig）。本文以 AdGuard DNS 官方提供的免费描述文件为例，手把手教你下载、安装、信任证书，并验证生效。整个过程大约5分钟。为什么iPhone不像安卓那样有私人DNS开关这是很多从安卓换到iPhone的用户最大的困惑：我在安卓上三两下就能开好私人DNS，到了iPhone翻遍「设置」也找不到。原因很简单——苹果在 iOS 14 开始才原生支持加密DNS，但它没有给普通用户开放手动填写hostname的入口。苹果的设计思路是：加密DNS属于「系统级网络配置」，要么由 MDM（移动设备管理）企业推送，要么由 App 通过 NetworkExtension 接口实现，要么通过安装一份现成的配置描述文件来完成。对普通个人用户来说，安装描述文件是最简单、最不需要技术基础的方式。描述文件本质上是一个 XML 格式的配置包（后缀 .mobileconfig），里面写好了你要用的 DoT/DoH 服务器地址、协议类型、证书等信息。iPhone 读取后就会把系统DNS切换到加密通道。准备工作开始之前，请确认以下几点：你的 iPhone 系统版本在 iOS 14 或以上（iPhone 6s 及更新机型均可升级）。更早的系统不支持加密DNS描述文件。你需要用 Safari 浏览器打开描述文件下载页面（用微信或其他浏览器打开可能无法触发安装流程）。记住你的锁屏密码，安装描述文件时需要输入。第一步：下载加密DNS描述文件我们以 AdGuard 官方公共DNS为例，它提供免费、可直接下载的 DoT/DoH 描述文件，不需要注册。打开 iPhone 上的 Safari 浏览器。访问 AdGuard 公共DNS页面：https://adguard-dns.io/en/public-dns.html页面往下滑，找到 iOS 板块。选择你想要的DNS服务器类型：Default server：拦截广告和跟踪器Non-filtering server：不过滤任何内容，纯加密（推荐只想要隐私保护的用户）Family protection：拦截广告+成人内容+安全搜索选好后点击 「Download configuration profile」（下载配置描述文件）按钮。Safari 会弹出提示：「此网站正尝试下载一个配置描述文件，要允许吗？」，点「允许」。如果你想自定义（比如排除某些Wi-Fi网络不走加密DNS），可以点「Open profile constructor」进入定制页面，选择协议类型（DoT 或 DoH）后再下载。第二步：在设置中安装描述文件下载完成后，描述文件并不会自动安装，你需要手动确认：打开 iPhone 自带的「设置」App。在设置首页顶部，你会看到一条「已下载描述文件」（Profile Downloaded）的提示，点进去。如果没看到这条提示，手动进入「设置 → 通用 → VPN与设备管理」，在「已下载的描述文件」下方找到刚才下载的 AdGuard DNS 描述文件，点它。进入描述文件详情页后，点右上角的「安装」。系统会要求输入你的锁屏密码，输入继续。接下来会弹出警告，说明该描述文件将被安装，再次点右上角「安装」确认。等待几秒，屏幕顶部出现「已安装」字样即表示描述文件安装成功，点「完成」。第三步：手动信任根证书（关键！很多人卡在这一步）这是iPhone加密DNS流程里最容易被忽略、但又最关键的一步。描述文件装好了不代表立刻生效——如果描述文件里包含根证书，iOS出于安全考虑，默认不信任手动安装的根证书，必须手动打开信任开关。操作路径：打开「设置」→「通用」。滑到页面最底部，点「关于本机」。一直滑到最底部，找到「证书信任设置」（Certificate Trust Settings），点进去。你会看到一个叫「针对根证书启用完全信任」的区域，下面列出了你刚安装的描述文件带来的证书（通常名字里带 AdGuard 或 DNS）。打开该证书对应的开关，在弹出的确认框中点「继续」。完成这一步后，加密DNS通道才真正建立起来。如果你跳过了这步，DNS查询可能仍然走明文，或者直接报错。第四步：验证加密DNS是否生效怎么确认iPhone已经在用加密DNS了？打开 Safari，访问 https://1.1.1.1/help（Cloudflare 的检测页）。页面会自动检测你的网络环境，其中「Using DNS over HTTPS (DoH)」或「Using DNS over TLS (DoT)」一项显示 Yes，就说明加密DNS已经生效。也可以进入「设置 → 通用 → VPN与设备管理」，在「描述文件」一栏看到你刚才安装的 AdGuard DNS 描述文件，说明它处于激活状态。如果想临时关闭，在同一描述文件详情页点「删除描述文件」即可恢复默认DNS。iPhone加密DNS的几种实现方式对比除了本文介绍的描述文件方式，iPhone上还有其他实现加密DNS的途径，简单对比一下：方式原理优点缺点配置描述文件系统级DNS配置免费、原生、不耗电需要手动装证书DNS类App（如1.1.1.1、AdGuard App）通过VPN隧道接口实现图形界面友好、可一键开关后台常驻，略有耗电路由器级加密DNS在路由器上配DoT/DoH所有设备统一生效需要路由器支持描述文件方式是苹果官方支持的、最干净的方案——它不依赖任何App后台运行，重启手机后依然生效。如果你还不确定 DoT 和 DoH 该选哪个，可以先阅读DoH/DoT/DoQ 三种加密协议对比了解区别，再回到本教程选择对应的描述文件。常见问题（FAQ）问：iPhone 支持 DoH 吗？和 DoT 有什么区别？答：支持。从 iOS 14 开始，苹果同时支持 DoT（DNS over TLS）和 DoH（DNS over HTTPS）两种加密协议，都可以通过描述文件配置。两者加密效果类似，主要区别在于端口和兼容性——DoT 用 853 端口，部分老旧防火墙可能拦截；DoH 走 443 端口，和正常网页流量混在一起更难被屏蔽。如果不确定选哪个，DoH 的兼容性通常更好。问：不装描述文件，iPhone 能开私人DNS吗？答：不能。苹果没有在系统设置里给普通用户开放手动填写DoT主机名的入口。你要么装描述文件，要么装一个通过 NetworkExtension 实现加密DNS的App（如 Cloudflare 的 1.1.1.1 App、AdGuard App），没有第三种「开关式」的方法。问：安装描述文件安全吗？会不会被监控？答：只要你从官方来源（如 AdGuard、Cloudflare、Google 官方页面）下载描述文件，就是安全的。描述文件只修改你的DNS解析服务器地址，不会读取你的其他数据。但不要从不明第三方网站下载描述文件，因为恶意描述文件可能包含VPN配置、证书等，存在风险。问：换了Wi-Fi或者用蜂窝数据，加密DNS还生效吗？答：生效。描述文件配置的是系统级DNS，Wi-Fi 和蜂窝移动数据都走同一条加密通道，不需要分别设置。如果你在描述文件构造器里排除了某些Wi-Fi名称，那在那些Wi-Fi下会自动回退到明文DNS。参考来源Apple 官方支持 - 在 iPhone 上安装或移除配置描述文件 —— 支撑文中「设置 → 通用 → VPN与设备管理」查看和安装描述文件的流程。Apple 官方支持 - 手动安装的证书描述文件如何开启信任 —— 支撑文中「设置 → 通用 → 关于本机 → 证书信任设置」手动信任根证书的步骤。Apple Developer 文档 - DNSSettings Payload —— 支撑文中 iOS 14+ 通过描述文件配置 DoT/DoH 的技术事实。AdGuard DNS 官方页面 - Connect to public AdGuard DNS servers（iOS板块） —— 支撑文中下载AdGuard描述文件、选择服务器类型、安装步骤的具体操作。

荣耀手机私人DNS设置教程：MagicOS 开启私人DNS步骤 TL;DR：荣耀 MagicOS 手机的私人DNS入口在「设置 → 更多连接 → 加密DNS」。进入后选择「指定加密DNS服务」，填入 dns.google、one.one.one.one 或国内可用的 dot.pub，保存即可。荣耀官方在 MagicOS 9.0 固件中将该功能命名为「加密DNS」而不是「私人DNS」，找的时候别被名字迷惑。荣耀手机为什么叫「加密DNS」而不是「私人DNS」很多荣耀用户第一次找私人DNS时都会困惑：我照着网上安卓教程翻遍了「WLAN」「移动网络」，就是找不到「私人DNS」四个字。原因是荣耀在脱离华为之后，MagicOS 系统对原生安卓的菜单做了中文化重命名——Android 原生的「Private DNS」在荣耀 MagicOS 里被翻译成了「加密DNS」，功能本质完全一样，底层都是 DNS over TLS（DoT）。荣耀官方俱乐部客服在回复用户时也明确给出了路径：进入「设置 > 更多连接 > 加密DNS」即可根据需求进行设置。这是 MagicOS 9.0 上经官方确认的路径。荣耀 MagicOS 开启加密DNS完整步骤第一步：打开「设置」，进入「更多连接」在桌面找到齿轮图标「设置」，往下滑动找到「更多连接」。注意：荣耀的「加密DNS」不在「WLAN」里面，而是在和 WLAN、蓝牙同级的「更多连接」大菜单下，这一点和三星放在「连接 → 更多连接设置」里思路类似。小技巧：如果找不到，直接在设置首页顶部的搜索框输入「加密DNS」四个字，系统会直接定位到对应菜单。不同 MagicOS 小版本位置可能略有差异，搜索是最快的方法。第二步：点击「加密DNS」进入「更多连接」后，你会看到 VPN、移动网络共享、加密DNS等选项。点击「加密DNS」进入配置页。第三步：选择模式荣耀 MagicOS 的加密DNS提供以下模式：模式作用关闭不使用加密DNS，走默认明文DNS自动由系统自动协商，网络支持时使用加密DNS指定加密DNS服务手动填写一个DoT服务器域名（推荐）普通用户建议直接选第三项「指定加密DNS服务」。第四步：填写DNS服务器域名并保存在输入框中填写你想使用的加密DNS服务器域名。以下是国内可用的推荐列表：DNS服务商DoT主机名说明Google Public DNSdns.google海外网站解析更快Cloudflareone.one.one.one隐私保护强腾讯 DNSPoddot.pub国内节点，稳定阿里公共DNSdns.alidns.com国内节点，电商应用友好百度DNSdns.baidu.com国内节点AdGuardunfiltered.adguard-dns.com不拦截但加密，或 dns.adguard-dns.com 去广告填好后点击「保存」或「确定」，系统会自动建立到该服务器的 TLS 加密连接。再次提醒：填的是域名，不是IP地址。DoT 协议要求服务器提供 TLS 证书，证书和域名绑定，填 8.8.8.8 这类IP会导致证书校验失败、连不上。不同 MagicOS 版本的入口差异荣耀手机系统经历了从 Magic UI 到 MagicOS 的演进，不同版本入口位置略有不同：MagicOS 7.0 / 7.2（基于 Android 12）：早期版本可能沿用类华为 EMUI 的菜单结构，入口可能在「设置 → WLAN → 更多设置」或「设置 → 移动网络 → 接入点名称」附近，建议用设置搜索「私人DNS」或「加密DNS」直接定位。MagicOS 8.0（基于 Android 13/14）：菜单逐渐统一为「设置 → 更多连接 → 加密DNS」。MagicOS 9.0（基于 Android 15）：官方客服确认路径为「设置 → 更多连接 → 加密DNS」，即本文主路径。如果你实在找不到该选项，先确认系统已升级到最新版本：「设置 → 系统和更新 → 软件更新」。较旧的 Magic UI 版本可能未开放该功能。怎么验证加密DNS已经生效设置完成后，可以通过以下方法确认：回到加密DNS设置页，确认选中的是「指定加密DNS服务」，下方显示你填写的域名。打开浏览器访问 one.one.one.one/help/，Cloudflare 的检测页会告诉你当前是否使用了加密DNS。正常浏览几个网页，看有没有域名解析失败、App加载不出的情况。如果一切正常，说明加密通道已经建立。如果设置后突然上不了网，多半是你填的服务器在当前网络下不通，换回 dot.pub 或 dns.alidns.com 这类国内地址试试。更详细的排查思路可以参考安卓手机私人DNS连不上的排查全流程。开启加密DNS有什么实际好处很多人会问：我不开也能上网，为什么要折腾这个？主要原因有三个：防劫持：运营商默认DNS经常会在你输入错网址时弹广告页，或者把某些请求导向商业推广页面。加密DNS让运营商看不到你的查询，自然无法劫持。防污染：明文DNS在传输过程中可能被中间设备篡改返回结果，加密后整条链路被TLS保护，结果无法被中途伪造。隐私保护：你访问了哪些域名，除了你和DNS服务商之外，本地网络和运营商都看不到。关于加密DNS能防哪些具体风险，可以进一步阅读明文DNS有多危险了解全貌。常见问题（FAQ）问：荣耀加密DNS和我装的第三方DNS加速App冲突吗？答：如果第三方App（如某些游戏加速器、网络优化工具）内部也接管了DNS，可能和系统加密DNS产生优先级冲突。建议二选一：要么用系统级加密DNS，要么用App内的加速方案，不要同时开两个。问：填了 one.one.one.one 之后网速反而变慢了怎么办？答：Cloudflare 的服务器在国外，国内直连DoT可能延迟较高。换成 dot.pub（腾讯）或 dns.alidns.com（阿里）这类国内节点通常会快很多。问：荣耀平板 MagicOS 也一样设置吗？答：是的，荣耀平板运行的也是 MagicOS，菜单路径和手机基本一致，同样在「设置 → 更多连接 → 加密DNS」里配置。参考来源荣耀俱乐部官方回复 - MagicOS 9.0 如何设置私人DNS —— 支撑文中 MagicOS 9.0 路径「设置 > 更多连接 > 加密DNS」。荣耀俱乐部用户讨论 - 加密DNS国内可用服务器列表 —— 支撑文中 dot.pub、dns.alidns.com、dns.baidu.com 等国内DoT地址。Google Public DNS 官方文档 - DNS over TLS —— 支撑文中 dns.google 作为DoT主机名。AdGuard DNS 官方文档 - Android Private DNS 设置 —— 支撑文中 Android 私人DNS即DoT、主机名为域名而非IP的事实。