全球 DNS 污染应对与 DNS-over-HTTPS (DoH) / DoT 防劫持指南

很多人在使用代理上网或者日常浏览网页时，都遇到过下面这些让人极其恶心的场景：

“明明代理客户端显示节点连通正常，但打开某个海外网站时，浏览器却弹出了一个莫名其妙的运营商广告页面，或者提示‘无法找到服务器’！”
“在百度搜索某个软件，点击第一个链接却被强制重定向到了一个满屏赌博弹窗的垃圾假冒网站！”

这并不是你的电脑中病毒了，而是你的网络遭遇了DNS 域名污染（DNS Cache Poisoning）与运营商 DNS 劫持！

在互联网世界中，DNS 相当于导航仪。如果导航仪给出了错误的假地址，你的所有流量都会跑偏。

为了应对这一安全威胁，现代网络技术推行了加密 DNS 解析标准：DoH（DNS-over-HTTPS） 与 DoT（DNS-over-TLS）。

本文用大白话带你彻底理清 DNS 污染的原理，并教你如何搭建一套防污染、去广告的纯净 DNS 解析体系！

一、一句话搞懂：普通 DNS vs 加密 DNS (DoH/DoT)

我们先用一个生动的邮寄比喻看懂两者的区别：

传统 UDP DNS (明文): 相当于你把想问的门牌号写在一张明信片上寄出去。
                    路上的中间人（GFW 或不良运营商）一眼就看清了你写的是 google.com，
                    于是当场把明信片擦掉，改写成一个死地址（0.0.0.0）或者广告 IP 投递给你。

DoH / DoT (加密):  相当于你把查询请求装进了一个带有 4096 位高强度加密的保险箱（TLS 握手）。
                    中间人根本看不清保险箱里查的是什么域名，只能原封不动地帮你传递给公共 DNS 服务器（如 1.1.1.1），
                    返回的真实 IP 同样经由加密通道传回给你！

• DoT (DNS-over-TLS)：基于 853 端口的 TLS 加密，专门用于 DNS 安全传输。
• DoH (DNS-over-HTTPS)：基于 443 端口的 HTTPS 伪装。在防火墙眼里，你的 DNS 查询流量和普通人看网页完全一样，防污染与防拦截能力最强！

二、2026 年主流防污染公共 DoH / DoT 节点清单

在客户端或路由器中，建议使用以下经过加密的公共 DNS 节点替代传统的 114.114.114.114：

1. 国内直连防劫持加密节点（适合国内网站快速解析）

• 阿里 AliDNS (DoH)：https://dns.alidns.com/dns-query
• 腾讯 DNSPod (DoH)：https://doh.pub/dns-query

2. 海外纯净安全加密节点（适合海外域名防污染）

• Cloudflare DNS (DoH)：https://1.1.1.1/dns-query
• Google DNS (DoH)：https://dns.google/dns-query
• AdGuard Default (DoH 去广告)：https://dns.adguard-dns.com/dns-query

三、实战一：在 Clash / Sing-box 中配置 DoH 防污染

在代理客户端中，开启 DoH 是解决“DNS 泄漏与污染”的最有效手段：

1. Clash / Mihomo 配置

在 config.yaml 的 dns 模块中配置 DoH：

dns:
  enable: true
  ipv6: false
  enhanced-mode: fake-ip # 采用 Fake-IP 模式，彻底避免本地 DNS 污染
  nameserver:
    - https://doh.pub/dns-query
    - https://dns.alidns.com/dns-query
  fallback:
    - https://1.1.1.1/dns-query
    - https://dns.google/dns-query
  fallback-filter:
    geoip: true
    ipcidr:
      - 240.0.0.0/4

2. Sing-box 配置

{
  "dns": {
    "servers": [
      {
        "tag": "dns-local",
        "address": "https://doh.pub/dns-query",
        "detour": "direct"
      },
      {
        "tag": "dns-remote",
        "address": "https://1.1.1.1/dns-query",
        "detour": "proxy"
      }
    ],
    "rules": [
      {
        "outbound": "direct",
        "server": "dns-local"
      }
    ],
    "final": "dns-remote"
  }
}

四、实战二：Docker 5 分钟部署 AdGuard Home 防污染去广告网关

如果你想在家庭局域网里为所有手机、电视和电脑统一防污染并过滤全网视频/网页广告，可以使用 AdGuard Home：

docker run -d \
  --name adguardhome \
  --restart always \
  -v /opt/adguardhome/work:/opt/adguardhome/work \
  -v /opt/adguardhome/conf:/opt/adguardhome/conf \
  -p 53:53/tcp -p 53:53/udp \
  -p 3000:3000/tcp \
  adguard/adguardhome

部署完成后，访问 http://你的IP:3000 初始化配置：

1. 在 “上游 DNS 服务器” 中填入：
   TEXT

   折叠 复制

   https://doh.pub/dns-query
   https://dns.alidns.com/dns-query
   tls://1.1.1.1

2. 在 “DNS 封锁清单” 中加入 AdGuard 官方去广告规则。
3. 将你家主路由器/软路由的默认 DNS 改为 AdGuard Home 的 IP。从此全家设备享用无广告、无污染的纯净网络！

五、常见报错与排查速查表

六、怎么验证你的 DNS 已经没有污染？

1. 打开 https://browserleaks.com/dns —— 点击开始检测。如果检测出来的 DNS 服务器全部为你配置的加密 DoH 节点或代理节点 IP，说明 DNS 泄漏与污染已被彻底解决！
2. 打开终端，测试一个被污染的域名：nslookup google.com。确认返回的 IP 属于真实的 Google 节点而非 0.0.0.0 或随机垃圾 IP。

七、一句话总结

导航不出错，上网才顺畅！ 告别明文 UDP 53 端口，客户端开启 DoH / Fake-IP 模式，搭配 AdGuard Home 纯净网关，彻底封杀域名污染与运营商劫持！