公共 DNS 解析器选型指南
当你在浏览器中输入一个域名时，你的电脑需要查找对应的 IP 地址。这个过程由 DNS 解析器（DNS resolver）完成，而对大多数用户来说，这个解析器默认就是 ISP 提供的那个。但随着人们对隐私、速度和安全的关注日益增长，越来越多的人开始转向公共 DNS 解析器。
什么是公共 DNS 解析器？
公共 DNS 解析器是一种任何互联网用户都可以免费使用的 DNS 服务。你不用 ISP 提供的 DNS 服务器，而是在设备上配置使用第三方解析器，比如 Cloudflare（1.1.1.1）、Google（8.8.8.8）、Quad9（9.9.9.9）或 OpenDNS（208.67.222.222）。
隐私考量
并不是所有 DNS 解析器在隐私方面都一样：
- Cloudflare（1.1.1.1）：承诺从不将查询 IP 数据写入磁盘，并在 24 小时内清除所有日志。每年由 KPMG 进行审计。支持 DNS-over-HTTPS（DoH）和 DNS-over-TLS（DoT）。
- Quad9（9.9.9.9）：总部位于瑞士（隐私法律严格）。自动拦截已知恶意域名。不记录查询 IP 地址。以非营利组织形式运营。
- Google Public DNS（8.8.8.8）：为诊断目的记录截断 IP 的查询日志，保留 24-48 小时。拥有遍布全球的庞大基础设施。
- OpenDNS（Cisco）：日志保留时间更长。提供内容过滤和钓鱼保护等额外功能。
安全特性
DNS 解析器还能保护你免受威胁：
恶意软件/钓鱼拦截
恶意软件/钓鱼拦截
Quad9 会自动拦截已知托管恶意软件、钓鱼网站或僵尸网络 C&C 服务器的域名。
DNSSEC 验证
Cloudflare 和 Quad9 等解析器会执行 DNSSEC 验证，确保 DNS 响应未被篡改。
性能
性能因地理位置和 ISP 而异。需要考虑的因素：
解析时间（全球中位数）：
Cloudflare 1.1.1.1: 12ms
Google 8.8.8.8: 18ms
Quad9 9.9.9.9: 22ms
OpenDNS: 35ms
然而，本地测试结果可能差异很大。建议使用 dig 或 dnsping 等工具从你的实际位置进行测试。
DNS-over-HTTPS 与 DNS-over-TLS
这两种协议都对 DNS 查询进行加密以防止窃听：
- DNS-over-TLS（DoT）：使用端口 853。加密整个连接。部分防火墙可以识别并可能阻断。
- DNS-over-HTTPS（DoH）：使用端口 443（与 HTTPS 相同）。混入普通网络流量中，更难被阻断。现代浏览器广泛支持（Firefox、Chrome、Edge）。
- DNS-over-QUIC（DoQ）：最新标准。使用 QUIC 协议（基于 UDP 构建）。延迟更低。AdGuard 和 Quad9 已支持。
如何更换 DNS 解析器
Linux
编辑 /etc/resolv.conf 或通过 NetworkManager 配置。
Windows
设置 → 网络和 Internet → 更改适配器选项 → IPv4 属性 → 使用自定义 DNS。
macOS
系统设置 → 网络 → 高级 → DNS → 添加服务器。
浏览器级别 DoH（Chrome）
设置 → 隐私和安全 → 安全 → 使用安全 DNS。
推荐方案
| 使用场景 | 推荐解析器 |
|---|---|
| 最大隐私 | Cloudflare 1.1.1.1（无日志策略 + 审计） |
| 安全 + 拦截 | Quad9 9.9.9.9（默认开启恶意软件拦截） |
| 家长控制 | OpenDNS（FamilyShield: 208.67.222.123） |
| 最低延迟 | 本地测试；通常是 Cloudflare 或 ISP |
| 高级用户 | AdGuard DNS（多种过滤级别可选） |
结论
没有单一的「最佳」公共 DNS 解析器——选择取决于你的优先级。对大多数用户来说，Cloudflare（隐私 + 性能）或 Quad9（安全 + 隐私）是优秀的默认选择。最重要的是：换掉 ISP 默认的解析器，这既能让隐私更好，通常也能获得更好的性能。
