使用我们的公共 DNS

把设备指过来。

三个解析器,全球同一个 anycast 网络。一个原样解析,一个拒绝广告、追踪器与已知恶意域名,一个为纯 IPv6 网络提供 DNS64。三者都不记录你查询了什么。

地址

无过滤解析器

原样解析一切,不做任何过滤。

IPv4177.177.83.83
IPv62602:f3ff:83::83
DoHhttps://dns.yunzheng.space/dns-query
DoT / DoQdns.yunzheng.space

过滤解析器

拒绝广告、追踪器与已知恶意域名。

IPv4177.177.83.84
IPv62602:f3ff:83::84
DoHhttps://filter.dns.yunzheng.space/dns-query
DoT / DoQfilter.dns.yunzheng.space

DNS64

不过滤;没有 IPv6 地址的域名以 64:ff9b::/96 下合成的地址应答。仅适用于把该前缀交给 NAT64 网关的纯 IPv6 网络。

IPv4177.177.83.64
IPv62602:f3ff:83::64
DoHhttps://dns64.dns.yunzheng.space/dns-query
DoT / DoQdns64.dns.yunzheng.space

设备同时有 IPv4 与 IPv6 时,两个都要设。只改了一半的设备大约有一半时间在用另一个解析器 —— 这会让过滤看起来失效,也让任何隐私承诺失去意义。

无论填的是哪个地址,设备连到的都是离它最近的位置。缓存里有就直接应答,没有才去问权威名字服务器。

Windows 与 macOS

Windows 11:设置 → 网络和 Internet → 当前连接 → DNS 服务器分配 → 编辑 → 手动。同时打开 IPv4 与 IPv6,填入上面的地址,并把 通过 HTTPS 的 DNS 设为开(自动模板)。
macOS:系统设置 → 网络 → 当前连接 → 详细信息 → DNS,用 + 添加地址,并删除原有的。

在 Chromium 系浏览器里也可以只为浏览器设置:设置 → 隐私和安全 → 安全 → 使用安全 DNS → 自定义,粘贴 DoH 地址。

iOS 与 Android

Android 9 及以上内置支持:设置 → 网络和互联网 → 私人 DNS → 私人 DNS 提供商主机名 → dns.yunzheng.space(想要过滤则填 filter.dns.yunzheng.space)。这是 DNS over TLS,对整机生效,Wi-Fi 与移动数据都适用。

iOS 与 iPadOS 需要一个 DNS 描述文件才能全局生效;没有它就只能在设置 → 无线局域网 → (i) → 配置 DNS → 手动中按 Wi-Fi 设置,且不覆盖移动数据。

Linux 与路由器

systemd-resolved,启用 DNS over TLS

# /etc/systemd/resolved.conf.d/orbit.conf
[Resolve]
DNS=177.177.83.83#dns.yunzheng.space 2602:f3ff:83::83#dns.yunzheng.space
DNSOverTLS=yes

然后

sudo systemctl restart systemd-resolved

在路由器上只需在 DHCP 设置里配一次,网络内所有设备都会跟随。这也是覆盖那些自身没有 DNS 设置的设备(打印机、电视、各种嵌入式设备)的唯一办法。

DNS64:面向纯 IPv6 网络

在完全没有 IPv4 的网络上,只有 IPv4 地址的域名必须经过转换才能访问。网络里的 NAT64 网关负责转换;DNS64(RFC 6147)负责命名:域名没有 IPv6 地址时,DNS64 解析器用 64:ff9b::/96 前缀下、内嵌该域名 IPv4 地址的地址应答,由网关把连接转成 IPv4。

只在 NAT64 网关使用众所周知前缀 64:ff9b::/96 的网络上使用 DNS64 地址 —— 多数移动运营商和纯 IPv6 接入商都是这样。在其他网络上,合成出来的地址无法连接。已有 IPv6 地址的域名照常应答;设置了 CD 位的查询不做合成;合成的应答不带 authenticated-data 标志。

设备通过查询 ipv4only.arpa(RFC 7050)自行发现前缀,因此前缀发现与反向查询都可用:

dig +short @177.177.83.64 AAAA ipv4only.arpa
# 64:ff9b::c000:aa
# 64:ff9b::c000:ab

dig +short @177.177.83.64 -x 64:ff9b::808:808
# dns.google.

验证是否生效

先确认解析器确实在为你应答:

dig +short @177.177.83.83 example.com

再确认设备确实在使用它。查询一个会被过滤解析器拒绝的名字。在过滤地址上,答案会是解析器自己的地址 —— 那是提示页面,不是广告服务器:

dig +short @177.177.83.84 googleads.g.doubleclick.net
# 177.177.83.84   ← refused, answered with the notice page

dig +short googleads.g.doubleclick.net
# 177.177.83.84   ← your device is using the filtered resolver

如果第二条命令返回的是普通地址,说明设备仍在通过别的解析器解析 —— 最常见的是漏改了 IPv6 那一条,或者浏览器在自行做加密 DNS。

常见问题

免费吗?

是,对所有人免费,也不需要账号。由一家非营利实验室作为公共服务运营。

会做 DNSSEC 验证吗?

会。签名校验不通过的域名会以 SERVFAIL 被拒绝,验证为真的答案会带上 authenticated-data 标志。没有签名的域名照常解析 —— 没有签名不等于出错,而且互联网上仍以未签名居多。如果你自己在做验证、想拿到原始答案,dig 时加 <code>+cd</code>。

你们也提供 NAT64 网关吗?

不提供。DNS64 只负责给出地址,转换由你所在网络的网关完成。公共 NAT64 网关等于向整个互联网开放的 IPv4 中继,本网络不提供这种服务。

有速率限制吗?

每个节点每秒 500 次,按 /24 或 /64 计而非按单个地址。超出不会造成拦截:地址类查询会得到一个说明页面,其他类型返回空应答。家庭或办公网络远远用不到。

继续