安卓“私人 DNS”与 VPN 如何配合

安卓从 9 版本起就提供了“私人 DNS”设置，而 VPN 同样会改变手机查询网站域名的方式。两者同时开启时，很多人会疑惑：到底谁说了算？是不是把同一件事保护了两遍？为什么有时网页突然就打不开了？答案取决于你选的模式、安卓版本，以及 VPN 应用向系统提出了什么要求。

本文只讲两者相遇的这个点。我们不会从头解释 DNS，那是 DNS 是如何工作的 的内容；也不会泛泛比较加密 DNS 与 VPN，那部分见 DNS over HTTPS 与 VPN。这里只盯住一部手机、一个设置页面和一个问题：私人 DNS 遇上 VPN，你的域名查询会发生什么。

私人 DNS 到底做了什么

私人 DNS 是安卓内置的加密 DNS 开关。启用后，手机会通过 DNS over TLS（RFC 7858）把域名查询发往解析器，通常使用 853 端口，而不是用 53 端口发送明文。结果是：同一个 Wi-Fi 下的其他人，无法再读取或偷偷篡改“这个网站在哪个地址”这类问题。

菜单位置因厂商而异，通常在“设置”里的“网络和互联网”（或“连接”下的“更多连接设置”），再找到“私人 DNS”。共有三种选择。

模式	含义	常见结果
关闭	只使用普通 DNS	查询发往网络指定的解析器，不加密
自动	先尝试用网络自带的解析器加密，不支持就退回普通方式	解析器支持时加密，否则不加密
私人 DNS 提供商主机名	只通过 TLS 使用指定的服务商，不会退回	始终加密，但服务商连不上时查询会失败

有两点要记住。第一，主机名模式非常严格：出问题时不会悄悄降级为普通 DNS，所以被拦截时你看到的是网页打不开，而不是在不知情的情况下降低了安全性。第二，私人 DNS 只覆盖“查询域名”这一步，它不隐藏你随后访问的站点、不隐藏 IP 地址，也不保护非 HTTPS 流量的内容。

VPN 对 DNS 做了什么

安卓上的 VPN 应用会创建一个虚拟网络接口，并要求系统把流量送进去。设置过程中，应用可以向系统提供一组 DNS 服务器，供隧道存续期间使用，并要求域名查询与其他流量一起在隧道内传输。在面向普通用户的 VPN 设计里，解析器通常由 VPN 服务方运营，所以你的查询是经加密隧道到达它的，而不是以明文跨越本地网络。

这一安排和私人 DNS 堵的是同一个口子，只是从另一侧堵。Wi-Fi 的所有者读不到查询，因为它们在隧道里。同时信任也发生了转移：看到你查询的人变成 VPN 服务方的解析器，而不是咖啡店或移动运营商的解析器。做得好的 VPN 还会努力防止相反的问题，也就是 DNS 泄漏，即部分查询绕过隧道发给本地解析器。安卓自带的私人 DNS 是独立于这种防护的另一套机制，所以两者叠加时可能出现意料之外的结果。

两者同时开启，谁说了算

没有一条规则适用于所有手机，但表现大致遵循下面的规律。请把它当作需要自己验证的参考，而不是保证。

私人 DNS 为“自动”，VPN 开启。 VPN 给隧道网络提供 DNS 服务器，安卓会尝试用 TLS 与其通信。如果 VPN 的解析器不支持 DNS over TLS（这很常见），安卓就在隧道内退回普通 DNS。你的查询由隧道本身保护，也不会出现可见的故障。这是最省事的组合，大多数人保持这样即可。

私人 DNS 为主机名，VPN 开启。 安卓被要求通过 TLS 使用该服务商做域名查询。查询本身仍从当前生效的网络路径离开手机，通常就是隧道。因此 Wi-Fi 所有者仍然读不到，但此时负责回答的是你指定的 DNS 服务商，而不是 VPN 的解析器。有人正需要这样，比如使用会拦截广告和恶意域名的过滤型解析器。但这也意味着你把不同的事交给了两方信任，而且 VPN 解析器提供的内部名称不会被用到。

私人 DNS 关闭，VPN 开启。 由 VPN 的解析器在隧道内回答，不再叠加 DNS over TLS。在已加密的隧道里这通常没有问题，因为隧道本身已经把查询对本地网络隐藏。

私人 DNS 为主机名，VPN 关闭。 手机把查询加密发给你选择的服务商。Wi-Fi 所有者读不到查询，但仍能看到你紧接着连接的 IP 地址。

由于不同版本、不同 VPN 应用表现不一，最可靠的办法就是自己测试，下面的清单几分钟就能完成。

为什么两者同时开启会导致 DNS 失败

最常见的抱怨是“VPN 已连接，但什么都打不开”。在严格的主机名模式下，多数情况来自三个原因。

1. 853 端口被拦截或过滤。 酒店、学校和办公网络有时会屏蔽 DNS over TLS。走隧道时概率较小，但 VPN 一侧的防火墙规则，或尚未完成的 Wi-Fi 登录页，仍可能阻断 TLS 握手。没有退回方案，每次查询都会超时。
2. 从隧道里连不到服务商。 如果 VPN 只让部分流量走隧道，或者隧道启动后通往服务商地址的路由发生变化，手机可能就无法访问被指定的主机名。
3. VPN 已启动，DNS 状态没有刷新。 偶尔安卓会在短时间内保留上一个网络的解析器状态。开关一次飞行模式，或重新连接 VPN，就能清除。

症状看起来像网络断了：已有连接的应用可能还能撑一会儿，而新开的网页会出现“找不到服务器”或 DNS_PROBE_FINISHED 之类的提示。如果和你遇到的一致，请直接看下面的排查清单，更完整的原因列表见 VPN 已连接但无法上网。

十分钟逐步测试

你需要一部手机、一个浏览器，以及在两个标签页中打开的 DNS 泄漏测试页。任何口碑可靠的测试页都行，重点是对比，而不是只信一个结果。

1. 把私人 DNS 设为关闭，断开 VPN。运行测试并记下页面报告的解析器。这是基准，通常是移动运营商或 Wi-Fi 路由器的解析器。
2. 连接 VPN，私人 DNS 仍为关闭。再测一次。如果报告的解析器变成与你的运营商或 Wi-Fi 无关的另一个，说明 VPN 在处理查询。
3. 把私人 DNS 设为自动，VPN 保持开启，再测。多数情况下结果与第 2 步相同，这说明自动模式没有抢走 VPN 的职责。
4. 把私人 DNS 设为服务商主机名，VPN 开启，再测。如果报告的解析器变成你指定的服务商，说明主机名设置接管了查询；如果网页打不开，你就找到了冲突点。
5. 断开 VPN，在仍填写主机名的情况下再测一次。这一步确认主机名设置单独能否工作，让你知道是哪一侧出了问题。

把结果记下来，因为你需要的是规律。如果第 4 步失败而第 5 步正常，说明 VPN 路径与该主机名不兼容；如果两步都失败，可能是主机名填错了，或者服务商本身出了故障。输入错误很常见：这一栏要的是类似 dns.example.net 的主机名，不是 IP 地址，也不是前面带 https:// 的网址。

如何解决冲突

从影响最小的改动开始。

• 把私人 DNS 改回“自动”。 这是第一步，因为它能在可行时保持加密，又不会让查询失败。多数冲突到这里就消失了。
• 改动 DNS 设置后重新连接 VPN。 VPN 应用在连接时才把 DNS 服务器告知系统，改完后关掉再打开，可以从干净的状态重新开始。
• 开关十秒飞行模式。 这会重置网络状态，包括缓存的解析器选择。
• 检查主机名有没有输错。 多一个空格、少一个字母，或者粘贴了完整网址，都足以让所有查询失败。
• 换一个网络试试。 如果主机名在移动数据下可用、在某个 Wi-Fi 下不可用，说明那个 Wi-Fi 过滤了 853 端口，在那里把私人 DNS 留在“自动”即可。
• 移除其他会改 DNS 的应用。 以本地 VPN 方式运行的广告拦截器、儿童上网过滤工具、部分安全软件都想接管 DNS。安卓同一时间只允许一个 VPN 服务，本地过滤器和 VPN 应用会争夺同一个名额。
• 更新 VPN 应用和安卓系统。 解析器的处理在多个版本中做过调整，你遇到的问题也许已经修复。

安卓 VPN 故障排查指南列出了应用权限、电池限制和“始终开启”设置等基本检查，如果问题不在 DNS 上，值得一看。

按场景选择设置

不同的人需要不同的组合，以下是最常见的几种。

在酒店和机场用 Wi-Fi 的旅行者。 私人 DNS 保持“自动”，每次接入公共网络时开启 VPN。这样所有流量都有隧道，也没有可能被登录页弄坏的严格主机名。如果酒店登录页打不开，先关闭 VPN 一分钟，完成登录，再重新打开。

使用家庭安全解析器的家长。 用过滤型服务商的主机名，可以在任何网络下拦截已知的成人和恶意域名，适合孩子的手机。如果还想在这部手机上用 VPN，请先测试组合。即使没有用到 VPN 的解析器，过滤仍然有效，只是 VPN 提供的内部名称无法解析。对普通上网来说可以接受。

不想把信任押在单一解析器上的注重隐私的用户。 用你信任的服务商主机名，再用 VPN 负责网络路径，等于把角色分开：VPN 保护路线，服务商负责回答。这样更复杂，也要接受服务商会看到你的查询这一事实。请选一家你读过其政策的。

需要访问公司内部域名的远程办公者。 公司的解析器往往保存只在内部存在的名称。严格的主机名设置会让这些名称无法解析，因为公共服务商回答不了。连接工作 VPN 时，把私人 DNS 设为“自动”或“关闭”。

只想让它能用的人。 保持私人 DNS 为“自动”，用一个你信任的 VPN 应用，不要叠加超出自己测试能力的层数。

局限与注意事项

• 私人 DNS 不是 VPN。 它隐藏域名查询，不隐藏你访问的网站或 IP 地址。查询之后，到站点的连接对承载流量的一方仍然可见。
• 填写主机名是一种信任选择。 你指定的服务商会在所有网络（包括移动数据）上看到你的每一次查询，请先读它的政策。
• 严格模式没有退路。 这正是严格模式的意义，但也让出故障的服务商看起来像整部手机坏了。
• 厂商之间有差异。 菜单名称和具体行为可能不同，个别机型对移动网络和 Wi-Fi 应用该设置的方式也不一样。
• 应用可以自带 DNS。 某些浏览器使用自己的加密 DNS，完全忽略系统设置。请在你真正使用的浏览器里测试。
• 没有哪个设置能解决钓鱼或账号被盗。 如果查询对一个假网站返回了正确的地址，任何 DNS 设置都不会让那个页面变成真的。
• 登录 VPN 应用是另一回事。 如果你用免费的 VPNclient 应用配合 XPASS 通行证，用户名和密码来自 My Pass 页面。登录错误与 DNS 问题的表现不同：前者是 VPN 根本连不上，后者是连上了却打不开网页。

常见错误

• 在私人 DNS 一栏填了 IP 地址或完整网址。
• 把以前实验时设的主机名一直留着，自己都忘了。
• 同时运行两个类似 VPN 的应用，例如广告拦截器和 VPN。
• 只在一个浏览器里测试，就以为适用于所有应用。
• 明明换成移动数据就好了，还怪 VPN，其实是那个 Wi-Fi 过滤了 853 端口。
• 以为加密 DNS 和 VPN 可以互相替代，因为“已经开了私人 DNS”就把 VPN 关掉。

总结

安卓私人 DNS 用 DNS over TLS 加密“查询域名”这一步，VPN 加密整条路径。在“自动”模式下，两者通常相安无事。填写服务商主机名会接管域名查询，当网络或隧道把它拦住时可能失败，表现为 VPN 已连接却什么都加载不出来。用几分钟测试各种组合，拿不准时退回“自动”，并记住这两个设置都不能阻止诈骗，也不能让你匿名。

如果你想在安卓手机上试试 VPN，可以到下载页面获取免费的 VPNclient 应用，亲自把上面的测试做一遍。