私有DNS（Private DNS）

每次打开网站或应用连接服务器时，设备都要先向DNS解析服务器查询，把域名转换成IP地址。默认情况下，这个解析服务器通常由你的宽带运营商（ISP）提供，查询内容也是明文传输。私有DNS是把它换成你选定的解析服务器，并通过加密通道访问，让你所在的网络无法查看或篡改解析记录。

这个词有两层意思。在VPN应用里，"私有DNS"一般指服务商自建DNS服务器，所有DNS查询都通过VPN隧道发到这些服务器。在Android上，"私人DNS"（Private DNS）还是一个系统设置（Android 9及以上），可以用DNS over TLS把解析请求发到你指定的服务器。

工作原理

传统DNS走UDP 53端口，完全不加密。传输路径上的任何一方，包括ISP、Wi-Fi提供方、公共热点上的攻击者，都能看到你查询了哪些域名，还能返回伪造的结果。私有DNS有两种解决方式：

• 在VPN隧道内解析。 VPN应用把设备的DNS设为服务商自己的服务器，查询和其他流量一起走加密隧道，由服务商的解析器完成查询。ISP只能看到加密的VPN流量。
• 加密DNS协议。 DNS over TLS（DoT，853端口）和DNS over HTTPS（DoH，443端口）会加密设备或浏览器与解析服务器之间的每一条查询，不用VPN也能用。

为什么重要

最主要的原因是DNS泄露。就算开着VPN，配置不当的应用或系统也可能继续把查询发给ISP的DNS。这样流量内容虽然藏住了，浏览过哪些网站却暴露了。VPN自建DNS并强制所有查询走隧道，就能堵上这个缺口。

私有DNS还能防止DNS劫持，也就是ISP或热点把输错的域名或被屏蔽的域名重定向到它们自己的页面。它也能绕过基于DNS的简单网站屏蔽。部分服务商还会在解析层拦截广告、跟踪器和恶意域名。

局限与风险

• 信任只是转移了，并没有消失。 解析服务的运营方仍然能看到你查询的每个域名。用VPN时，隐私程度取决于服务商的无日志政策，以及它有没有经过审计。
• 只加密DNS，不等于隐藏了访问目标。 不用VPN的话，ISP仍能看到你连接的IP地址，而且往往能从TLS握手中的SNI看到网站名，除非网站支持加密客户端问候（ECH）。
• 设置之间可能冲突。 系统级私人DNS、浏览器内置的DoH或路由器上的自定义DNS，可能覆盖或绕过VPN的解析器。有些VPN应用会建议你关掉这些设置。
• 重连时可能泄露。 隧道断开时，查询可能退回到ISP的DNS，除非有Kill Switch阻断流量。
• 分流的副作用。 通过分流（Split tunneling）排除在外的应用可能使用普通DNS，这是正常现象，但要心里有数。

对比工具时要看什么

• 服务商是自建解析服务器，还是把查询转发给第三方DNS服务。
• 无日志政策是否覆盖DNS记录，有没有经过独立审计。
• 你用的每个平台是否都有DNS和IPv6泄露保护，而不只是桌面端。
• 应用的解析服务是否支持DoH或DoT，还是只在隧道内使用普通DNS。
• 有没有可选的广告、跟踪器和恶意软件DNS过滤，能不能关闭。
• 如果你想用自己的解析器，能不能设置自定义DNS。

连接后做一次DNS泄露测试。结果里只应出现你的VPN服务商或你所选服务的解析服务器。

相关概念

私有DNS与Smart DNS： Smart DNS把部分域名查询转到代理服务器，用来解锁流媒体内容。它不加密，也不隐藏你的IP。DoH与DoT： 两者都加密DNS。DoT使用独立端口，网络很容易识别或封锁。DoH混在普通HTTPS流量里，更难区分。