🌐DNS加密、认证与隐私保护
2024-11-18
| 2026-9-13
字数 0阅读时长≈ 1 分钟
🤖
AI总结 DNS服务的具体操作指南。该文章探讨了DNS安全协议DoH（DNS over HTTPS）、DoT（DNS over TLS）和DNSSEC，分析了它们在保护网络通信安全方面的原理和特点。文章推荐了国内外可靠的DNS服务器，如阿里DNS、Cloudflare DNS等，并提供了在浏览器和Android系统中配置安全DNS服务的具体操作指南。此外，文章还介绍了Clash Verge和V2RayN的配置，以增强DNS隐私保护和绕过网络限制。
English Version
The article provides a practical guide to DNS services, exploring DNS security protocols such as DoH (DNS over HTTPS), DoT (DNS over TLS), and DNSSEC, and analyzing their principles and features in safeguarding network communication security. It recommends reliable DNS servers both domestically and internationally, such as AliDNS and Cloudflare DNS, and offers step-by-step instructions for configuring secure DNS services in browsers and Android systems. Additionally, the article covers configurations for Clash Verge and V2RayN to enhance DNS privacy protection and bypass network restrictions. 

一，DNS安全协议

1，概述

DoH和DoT能够加密客户端到递归DNS解析器之间的查询流量，降低运营商、校园网或公共Wi-Fi等链路中间方直接观察、重定向或篡改DNS查询的能力；但所选择的递归DNS服务商仍能看到查询内容，因此“加密DNS”并不等于完全匿名。
DNSSEC是一套用于验证DNS数据真实性和完整性的安全扩展协议。它通过数字签名和从根区开始的信任链验证DNS记录是否来自授权区域、是否遭到篡改，但DNSSEC本身并不加密DNS查询。
DoH/DoT也不是通用的网络封锁绕过技术。网络管理方仍可通过封锁DoT的853端口、限制DoH服务域名/IP、TLS/SNI策略或直接封锁目标网站IP等方式阻断访问；对于已正确建立TLS连接的DoH流量，中间网络通常不能像明文UDP/53那样直接注入并伪造DNS应答。

2，DoT和DoH

（1）DNS over TLS (DoT)

①工作原理：
  • 使用TLS协议加密DNS查询
  • 使用专门的853端口
  • 直接在TLS层面加密DNS通信
②主要特点：
  • 使用独立端口,便于网络管理
  • Android系统默认支持
  • 更容易被网络管理员识别和管理

（2）DNS over HTTPS (DoH)

①工作原理：
  • 通过HTTPS协议加密DNS查询
  • 使用443端口(标准HTTPS端口)
  • DNS查询被包装在HTTPS流量中
②主要特点：
  • 加密客户端到递归解析器之间的DNS查询，降低链路窃听和明文DNS篡改风险
  • 使用HTTPS 443端口，与普通HTTPS共享传输机制，相比独立853端口的DoT更不容易被简单按端口识别
  • 不能替代DNSSEC，也不能保证绕过IP封锁、SNI/TLS限制或其他网络访问控制

3，DNSSEC

（1）工作原理：

  • 使用公钥加密技术对DNS数据进行签名
  • 建立信任链，从根区开始验证
  • 通过RRSIG记录存储数字签名
  • 使用DNSKEY记录存储公钥

（2）特点：

  • 提供DNS数据源身份认证，确保数据完整性
  • 提供认证式否定应答
  • 不提供数据加密和可用性保护

（3）应用：

  • 防止DNS缓存投毒和欺骗攻击
  • 验证DNS记录的真实性，保证解析安全

（4）与DoH/DoT的区别

特性
DNSSEC
DoH/DoT
保护范围
解析器到权威服务器
客户端到解析器
安全重点
数据真实性
传输加密
实现方式
数字签名
TLS加密
部署难度
较高
较低

二，DoT和DoH服务商推荐

1，国内直连服务

服务商
IPv4
DoT地址
DoH地址
备注
阿里公共DNS
223.5.5.5 223.6.6.6
dns.alidns.com
https://dns.alidns.com/dns-query
官方推荐使用域名形式的加密DNS入口。免费版实施智能流量管控，高并发来源可能受到限制。
DNSPod Public DNS
119.29.29.29
dot.pub
https://doh.pub/dns-query
腾讯云公共递归DNS不再公开推荐DoH/DoT的IP直连方式，应优先使用doh.pub / dot.pub。119.29.29.29在部分运营商出现解析异常，建议配置备用DNS。
360安全DNS
101.226.4.6 218.30.118.6 123.125.81.6
dot.360.cn
https://doh.360.cn/dns-query
电信/移动/铁通：101.226.4.6、218.30.118.6；联通：123.125.81.6。
OneDNS
以当前产品页面为准
以当前产品页面为准
以当前产品页面为准
OneDNS互联网安全接入服务目前更偏向企业、家庭及公益安全DNS产品。旧版固定公共IP及DoH/DoT端点不再建议作为长期静态配置。
114DNS
114.114.114.114 114.114.115.115
ㅤ
ㅤ
114dns

2，私人部署DNS

（1）特点

优点：功能更丰富，提供例如去广告等自定义服务
缺点：延迟可能较高，且存在服务器不稳定的问题
有些会提供付费服务，请慎重考虑

（2）部分网址

名称
官网
18bit DNS
https://www.18bit.cn/index.html
果冻域名解析
https://dns.66a.net/
XLXBJ DNS
https://www.xlxbk.cn/xlxbjdns/
冷莫 DNS
https://dns-cdn.trli.club/

（3）自建DNS

如果拥有个人服务器，可考虑自行部署AdGuardHome
项目地址：
AdGuardHome
AdguardTeam • Updated Sep 13, 2026
CF-Workers-DoH
cmliu • Updated Sep 10, 2026

3，国际直连服务

服务商
IPv4
DoT
DoH
备注
Google Public DNS
8.8.8.8 8.8.4.4
dns.google
https://dns.google/dns-query
dns64.dns.google 仅用于 DNS64/NAT64 场景
Cloudflare 1.1.1.1
1.1.1.1 1.0.0.1
one.one.one.one
https://cloudflare-dns.com/dns-query
免费公共递归 DNS
Quad9
9.9.9.9 149.112.112.112
dns.quad9.net
https://dns.quad9.net/dns-query
默认开启恶意域名拦截与 DNSSEC
DNS.SB
185.222.222.222 45.11.45.11
dot.sb
https://doh.dns.sb/dns-query
官方推荐 Global CDN；No Logging、DNSSEC
AdGuard DNS
94.140.14.14 94.140.15.15
dns.adguard-dns.com
https://dns.adguard-dns.com/dns-query
默认版本会过滤广告、追踪和恶意域名

4，数据主要来源

以下配置优先以服务商官方文档为准，第三方聚合站只作为补充参考（更新于2026-09-11）：

三，DoT/DoH应用与代理推荐

1，在浏览器中应用

现代Edge和Chrome均已内置“安全DNS / Secure DNS”设置，一般无需再通过实验性Flags启用。是否默认启用以及是否自动升级到DoH，取决于浏览器版本、系统DNS和策略配置。
Edge：edge://settings/privacy（或在设置中搜索DNS）
Chrome：chrome://settings/security

（1）在Edge浏览器上使用DoH

  1. 打开edge://settings/privacy，或在设置中搜索“安全DNS”。
  1. 开启“使用安全DNS指定如何查找网站的网络地址”。
  1. 选择内置提供商，或填写自定义DoH模板，例如https://dns.alidns.com/dns-query、https://doh.pub/dns-query、https://cloudflare-dns.com/dns-query。
  1. 现代Edge已原生提供DoH设置，一般无需再通过edge://flags启用实验功能。

（2）在Chrome浏览器上使用DoH

  1. 打开chrome://settings/security。
  1. 开启“使用安全DNS（Use secure DNS）”。
  1. 选择内置服务商，或选择自定义并填写DoH模板，例如https://dns.alidns.com/dns-query。
  1. 现代Chrome已原生提供该设置，一般无需再使用chrome://flags/#dns-over-https。

（3）出现您的浏览器由所属组织管理情况

在Windows系统下（以Chrome为例）
  1. 以管理员权限运行 cmd
  1. 输入以下命令：
可通过chrome://policy 查看显示的企业策略列表

2，在Windows 11中应用

Windows 11原生支持DoH。进入设置 → 网络和 Internet → WLAN/以太网 → DNS服务器分配 → 编辑，将DNS设置为“手动”，填写解析器IPv4地址，并为首选/备用DNS启用“DNS over HTTPS”。
如果系统要求填写“DNS over HTTPS模板”，可填写对应服务商的DoH URI：
  • 阿里公共DNS：https://dns.alidns.com/dns-query
  • DNSPod：https://doh.pub/dns-query
  • 360安全DNS：https://doh.360.cn/dns-query
  • Cloudflare：https://cloudflare-dns.com/dns-query
  • Google：https://dns.google/dns-query
在校园网、企业网等可能对UDP/TCP 53进行重定向或过滤的环境中，DoH可以降低明文DNS被中间网络观察、重定向或篡改的风险。但DoH只保护客户端到递归解析器这一段，解析器本身仍然能够看到查询内容。

3，在Android中应用

  1. 在系统设置中搜索私人DNS、Private DNS或加密DNS。
  1. 选择“指定私人DNS提供商主机名”。
  1. 填入DoT主机名，例如dns.alidns.com、dot.pub、dot.360.cn或one.one.one.one。Android 9及以上原生支持Private DNS（DoT）。

4，在iPhone/iPad中应用

iOS/iPadOS支持通过配置描述文件或相关DNS客户端应用启用DoH/DoT。不同服务商的描述文件和配置方式不同，建议优先参考服务商官方文档；不要直接把DoH URL填入普通Wi-Fi DNS服务器IP字段。

5，其他推荐代理软件

详细内容可参考：https://www.haitunt.org/app.html
（1）Karing：支持多端系统，包括MacOS/Win/Android/IOS
karing
KaringX • Updated Sep 13, 2026
（2）NekoBox：仅支持Android
NekoBoxForAndroid
MatsuriDayo • Updated Sep 13, 2026
（3）V2rayU：仅支持MacOS，已删库
V2rayU
yanue • Updated Sep 13, 2026
（4）V2rayN：支持MacOS/Win/Linux
v2rayN
2dust • Updated Oct 25, 2026
（5）V2rayNG：仅支持Android
v2rayNG
2dust • Updated Sep 13, 2026
（6）ClashVerge：支持MacOS/Win/Linux
clash-verge-rev
clash-verge-rev • Updated Sep 13, 2026
（7）ClashMeta：仅支持Android
ClashMetaForAndroid
MetaCubeX • Updated Sep 13, 2026

四，常用DNS命令推荐

1，Windows平台（PowerShell）

Windows 下做 DNS、网络连通性、路由和代理排查，常用命令主要集中在 PowerShell、ipconfig、ping、tracert、nslookup、netsh 这些工具里。
DNS 查询方面：
指定 DNS 服务器：
强制 TCP DNS：
看当前 DNS 配置：
清 DNS 缓存：
查看 DNS 缓存：
查看网络配置：
查看网卡：
查看接口优先级：
测试指定端口：
PowerShell：
代理相关，WinHTTP查看与重置：
当前用户系统代理：
看本地端口监听：
查特定端口：
查是谁占用端口：
然后根据 PID：
网络栈修复常用：
DHCP 续租：
查看当前 WLAN：
看保存的 Wi-Fi：
看 Wi-Fi 驱动能力：

五，推荐的ClashVerge与ClashMeta配置

参考来源：来源1 来源2 来源3

1，DNS防止泄露

在Clash Verge中的全局扩展配置文件中设置（右键编辑文件）：
全局扩展配置
在Clash Verge中的全局扩展脚本文件中设置（右键编辑文件）：
fastly.jsdelivr.net
https://fastly.jsdelivr.net/gh/dahaha-365/YaNet@main/Mihomo/global_script.js

2，添加DNS密码

在设置 → Clash设置 → 外部控制 → 修改API访问密码

3，DNS防泄露检测网址

https://ipleak.net/
https://browserleaks.com/dns
https://ipcheck.ing/#/
https://www.browserscan.net/zh/dns-leak
https://ip125.com/myip/
https://www.dnsleaktest.com/
https://whoer.net/zh/dns-leak-test
https://ip.skk.moe/

五，推荐的V2RayN与V2RayNG配置

1，DNS设置

在v2rayN的设置 → DNS设置 → V2ray DNS设置 → 点击导入默认DNS配置
在v2rayN的设置 → DNS设置 → sing-box DNS设置 → 点击导入默认DNS配置
上述配置好，出现相关规则参数后点击确定进行保存

2，路由设置

在v2rayN的设置 → 路由设置 → 高级功能 → 添加规则集
将下述别名和规则分别复制到别名 和从剪切板中导入规则
  • GFWlist黑名单（PAC代理模式）
      • 这种模式只对被墙的网站使用代理，其他网站直接连接，类似于传统的PAC模式。
      GFWlist黑名单（PAC代理模式）详细介绍
      • 工作原理： v2rayN 会下载并使用一个预定义的网站列表 (GFWList)，这个列表包含了被 GFW（Great Firewall，中国国家防火墙）屏蔽的网站。当您访问网络时，v2rayN 会：
        • 检查您要访问的网站是否在这个黑名单列表中。
        • 如果 在列表内，则该网站的流量将通过 v2rayN 的代理服务器进行访问。
        • 如果 不在列表内，则该网站的流量将直接连接，不经过代理服务器。
      • 优点： 相对较好的平衡了代理速度和访问范围。只对被屏蔽的网站使用代理，国内网站访问速度不受影响。
      • 缺点：
        • GFWList 的更新可能不及时，导致一些新被屏蔽的网站无法访问。
        • 一些网站可能会使用复杂的反代理技术，仅仅通过域名匹配可能无法绕过封锁。
        • PAC文件的生成和更新有时会有延迟或错误。
  • Whitelist白名单（绕过大陆模式）
      • 这种模式是让中国大陆的网站直连，其他网站全部走代理。
      Whitelist白名单（绕过大陆模式）详细介绍
      • 工作原理： 与黑名单模式相反，白名单模式预设所有网站都走代理，只有在白名单列表中的网站才不走代理，直接连接。这个白名单通常包含了中国大陆的常用网站域名。
      • 优点： 可以绕过大部分的 GFW 封锁，因为大多数网站的流量都会经过代理服务器。
      • 缺点：
        • 访问国内网站的速度可能会受到代理服务器速度的影响。
        • 白名单需要维护，添加新的国内网站或服务才能让它们不通过代理访问。
        • 对服务器性能有更高的要求，因为大部分流量都通过代理服务器。
  • 全局代理
      • 所有网络连接都通过代理访问。
      全局代理详细介绍
      • 工作原理： v2rayN 会将您电脑上的 所有网络流量 都通过代理服务器进行访问，无论目标网站是什么。
      • 优点：
        • 可以最大程度地绕过网络审查和封锁。
        • 配置简单，不需要维护任何列表。
      • 缺点：
        • 访问国内网站的速度会明显变慢，因为流量都需要绕道国外服务器。
        • 会增加代理服务器的负担，可能导致代理速度下降，甚至被服务器提供商限制。
        • 可能会与需要直连的网络服务产生冲突导致无法访问或报错。
  • 全局直连
      • 所有网络连接都直接访问，不使用代理。
      全局直连详细介绍
      • 工作原理： v2rayN 不会对任何网络流量进行代理，所有网站都将直接连接，相当于关闭了代理。
      • 优点：
        • 访问国内网站的速度最快。
        • 不会对任何网站的访问造成影响。
      • 缺点： 无法访问被 GFW 屏蔽的网站。
  • 全局阻断
      • 阻断所有网络连接请求。
      全局阻断详细介绍
      • 工作原理：v2rayN启动后阻止所有的网络访问。电脑无法连接到互联网。
      • 优点：
        • 可用于临时中断所有网络连接。
        • 可以用于某些特殊场合，防止数据泄露。
      • 缺点： 电脑无法访问任何网站。
总结：
模式
代理范围
国内网站速度
国外网站速度
优点
缺点
GFWList 黑名单
GFWList 列表内
快
慢
平衡速度和访问范围
GFWList 更新不及时，反代理技术可能导致失效
Whitelist 白名单
除白名单外的所有
慢
慢
可以绕过大部分封锁
国内网站访问速度受影响，需要维护白名单
全局代理
所有
慢
慢
最大程度绕过封锁，配置简单
国内网站访问速度慢，增加代理服务器负担，可能与直连网络服务冲突
全局直连
无
快
无法访问被屏蔽网站
国内网站访问速度快
无法访问被屏蔽网站
全局阻断
所有都阻断
--
--
临时中断所有网络 或者防止数据泄露
电脑无法访问网络
参考设置
  • 希望访问被屏蔽的网站，同时兼顾国内网站访问速度： GFWList 黑名单模式（PAC 代理模式）
  • 希望尽可能访问所有网站，不介意国内网站访问速度变慢： Whitelist 白名单模式（绕过大陆模式）
  • 需要访问一些特殊的网站，这些网站无法通过域名判断是否需要代理： 全局代理模式
  • 不需要访问被屏蔽的网站： 全局直连模式
  • 需要完全禁止网络访问：全局阻断模式
相关参考来源：来源1、来源2、、

3，VrayNG部分推荐设置

如果出现io read/write on closed pipe问题，一般是由于时间出现问题，将设备时间与标准时间进行对比并修改，如果不行可以取消自动同步勾选再重新测试。
部分推荐开启设置
启用流量探测：True
启用本地DNS：True
启用虚拟DNS：True
追加HTTP代理至VPN：True
启用速度显示：True
删除配置文件确认：True
相关文章 :
软件
  • 工具
  • 网络
    • 工具激活文件Cloudflare服务
    目录
    0%