浏览器本地生成 · 不上传任何数据
一条描述文件，
让 DNS 全程加密
为 iPhone、iPad 与 Mac 生成自定义 DoH / DoT 描述文件。填入服务器地址，下载安装，全系统 DNS 立即加密——无需常驻 App。
- iOS 14+ / macOS 11+
- DoH & DoT
- 自建 / 公共 DNS 均可
HOW IT WORKS
三步启用，全系统生效
描述文件由系统直接接管 DNS 设置，不依赖后台 App，也不会显示 VPN 图标。
-
下载描述文件
在 iPhone / iPad 上用 Safari 打开本页并下载；在 Mac 上直接双击下载的
.mobileconfig文件。 -
在设置中安装
iPhone / iPad：设置 → 通用 → VPN 与设备管理 → 已下载的描述文件 → 安装。Mac：双击文件，按提示在“系统设置 → 隐私与安全性 → 描述文件”中安装。
-
验证是否生效
访问 dnsleaktest.com，确认 DNS 服务器已变为你的服务器；若没有变化，检查地址、证书和端口是否可达。
关于“未签名”：本工具没有 Apple 开发者证书，因此 iOS 会提示描述文件未签名，但这不影响安装与使用。文件内容完全透明——你可以在下载前逐行查看。请只安装你信任的来源生成的配置；同一时间建议只保留一条 DNS 描述文件。
WHY ENCRYPTED DNS
明文 DNS，是隐私链路上最薄的一环
你访问的每个域名，都要先经过一次 DNS 查询。传统 DNS 不带加密，运营商、公共 Wi-Fi 以及链路中间的设备都能看到、记录，甚至篡改查询结果。
- 隐藏你访问的域名，减少流量画像
- 防止 DNS 劫持、广告注入与钓鱼跳转
- 一条描述文件同时覆盖 Wi-Fi 与蜂窝网络
运营商看得一清二楚
- 每个域名都能被记录
- 查询结果可被劫持或插入广告
- 公共 Wi-Fi 可以伪造 DNS 响应
只暴露你用了哪台 DNS
- 查询内容封装在 TLS 加密通道内
- 篡改需要突破 TLS，难度大幅提高
- 系统级生效，无需逐个 App 配置
这个描述文件安全吗？会上传我的数据吗？
页面没有任何后端服务，描述文件完全在你的浏览器里生成，不会上传。文件本身只包含 DNS 服务器地址、显示名称和可选的域名匹配规则，不包含证书、密码或任何个人数据。
为什么系统提示描述文件“未签名”？
签名需要 Apple 开发者证书，本工具不持有证书，因此生成的文件是未签名的。iOS 仍允许手动安装，只是会多一步确认。你可以在下载前查看完整内容，确认服务器地址可信后再安装。
安装后如何关闭或删除？
打开“设置 → 通用 → VPN 与设备管理”，找到对应的描述文件并选择“移除描述文件”。移除后 DNS 会立即恢复为系统默认。也可以在“设置 → 无线局域网 → 当前网络 → 配置 DNS”中确认 DNS 是否仍被接管。
DoH 和 DoT 该怎么选？
两者都能加密 DNS 查询。DoH 走 443 端口，流量看起来和普通 HTTPS 一样，在受限网络中更容易通过；DoT 使用专用 853 端口，协议更纯粹，部分网络会封锁 853。没有特殊需求时，优先选 DoH 即可。
可以用自建 DNS 吗？
可以。AdGuard Home、Pi-hole（需配合 DoH/DoT 前端）、CoreDNS 或企业 DNS 只要对外提供标准的 DoH / DoT 端点，就能填进本页。DoT 还需要一个与证书匹配的主机名，以及至少一个可连接的 IP 地址。
会和 VPN、代理 App 冲突吗？
可能会。VPN 或 Clash、Surge 等代理工具通常会接管 DNS，其优先级高于系统描述文件。如果你主要使用代理，建议直接在代理 App 内配置 DNS；两者同时使用时，以实际网络路径上最后生效的设置为准。
Android 或 Windows 可以用吗？
Apple 描述文件只适用于 iOS、iPadOS 与 macOS。Android 9+ 可以在“网络和互联网 → 私人 DNS”中填写 DoT 主机名；Windows 11 支持在设置中配置 DoH。切换到本页的 “Android” 或 “Clash” 标签，可以复制对应格式的配置片段。