DNS安全服务

选择支持DoH/DoT加密协议的DNS服务，防止ISP或中间人监听/篡改DNS查询；纯明文53端口DNS在公共WiFi下查询记录可被完整嗅探

DNS级广告拦截只能过滤域名，无法处理与内容同域名的广告（如YouTube视频内嵌广告、Facebook信息流广告）；对这类平台需配合浏览器插件或客户端拦截

Cloudflare提供三档公共DNS：1.1.1.1（无过滤）、1.1.1.2（拦截恶意软件）、1.1.1.3（恶意软件+成人内容），均支持DoH/DoT且承诺不写查询记录到磁盘

自建软件方案（Pi-hole/AdGuard Home）拦截规则完全可控且免月费，但需要一台常开的树莓派/NAS并自行维护规则更新和高可用；断电或设备故障会导致全屋断网

家庭儿童过滤优先选带独立SafeSearch强制+YouTube受限模式的服务（如NextDNS/Cloudflare Family 1.1.1.3），单纯拦成人域名列表无法过滤搜索引擎结果页的不良图片

非技术用户/租房临时环境不建议自建Pi-hole，一旦软件宕机全家断网且难以远程排障，应直接在路由器或系统层填入云端DNS（如1.1.1.3、9.9.9.9）实现零维护

NextDNS支持按客户端/时间段设置不同过滤策略并提供查询日志可选保留天数（含0天不记录），是云端方案中配置粒度最细的选项之一

选择在本地/就近有Anycast节点的DNS以降低解析延迟，异地或海外DNS会增加10-100ms首字节延迟，影响网页打开速度；可用dnsperf或路由器ping测试实际响应时间

解决'全屋去广告+防钓鱼+儿童过滤'的标准路径：路由器/网关层设置支持DoH的DNS（覆盖所有设备）→ 云端方案选NextDNS按profile分设备策略，或自建AdGuard Home配置分组 → 单设备移动出门用DoH客户端保持同一策略

隐私敏感用户应选择明确承诺'不记录查询日志'或提供匿名化选项的服务；免费公共DNS（如部分运营商/大厂DNS）常将查询数据用于分析，Quad9和部分开源方案在隐私政策上更严格

全局广告过滤越激进越容易误伤正常网站（登录跳转、CDN、支付回调失败），过滤列表规则数超过10万条时误报率明显上升，家庭日常用中等强度列表（如StevenBlack Unified）更稳妥