首页 / DNS 设置教程 / 路由器全屋加密 DNS

路由器怎么设置加密 DNS，让全屋设备生效？

TL;DR：把路由器作为网关，把对 LAN 下发的 DNS 指向自己，再由路由器以 DoT/DoH 转发给上游加密解析器，全屋手机/电脑/电视无需逐个设置。华硕/梅林：外部网络(WAN)→互联网连接→「DNS 隐私协议」选 DNS-over-TLS (DoT)，配置文件选「严格」；OpenWrt：装 https-dns-proxy，把 dnsmasq 上游指到 127.0.0.1:5053。

原理：为什么改路由器就全屋生效？

家用路由器通过 DHCP 告诉所有设备「DNS 服务器是网关自己」。设备把明文 DNS 发给路由器后，路由器再用加密通道（DoT 853 端口 / DoH 443 端口）转发给真正的解析器。这样即使某台设备不支持私人 DNS（老电视、IoT 摄像头），也能跟着走加密通道。

固件	加密方式	主要入口
华硕 Asuswrt / 梅林 Merlin	DoT（官方原生）	外部网络(WAN)→互联网连接→DNS 隐私协议
OpenWrt	DoH（https-dns-proxy）或 DoT（stubby/dnsproxy）	软件包安装 + /etc/config 配置
原厂入门路由（小米/TP 等）	通常不支持	只能改普通 DNS IP，不加密

华硕 / 梅林固件（Asuswrt-Merlin）步骤

登录后台浏览器打开 192.168.1.1（或 router.asus.com），输入管理员账号密码。

进入 WAN 设置左侧「外部网络(WAN)」→「互联网连接」。

关闭自动 DNS把「连到 DNS 服务器自动」设为「否」，填入上游 DNS IP（如本站 8.210.55.60）。

开启 DoT找到「DNS 隐私协议」下拉，选 DNS-over-TLS (DoT)；「DNS-over-TLS 配置文件」建议选「严格」（仅在证书校验通过时才使用）。

填 TLS 主机名在 DoT 服务器列表的地址/主机名栏填 dns.23-4.cn，应用设置。

梅林固件额外提供「DNS Director」可强制把某台设备的 DNS 重定向到路由器；不同型号/固件版本菜单位置以实际界面为准。

OpenWrt 步骤（DoH 方式）

OpenWrt 本身不带加密上游，通过安装 https-dns-proxy 把 DoH 成本地明文端口，再让 dnsmasq 转发过去：

opkg update
opkg install https-dns-proxy

# 配置一个实例：上游 DoH 地址 + 引导 DNS + 监听端口
uci set https-dns-proxy.cfg01='https-dns-proxy'
uci set https-dns-proxy.cfg01.resolver_url='https://dns.23-4.cn/dns-query'
uci set https-dns-proxy.cfg01.bootstrap_dns='8.8.8.8,1.1.1.1'
uci set https-dns-proxy.cfg01.listen_addr='127.0.0.1'
uci set https-dns-proxy.cfg01.listen_port='5053'
uci commit https-dns-proxy
/etc/init.d/https-dns-proxy enable
/etc/init.d/https-dns-proxy start

# 让 dnsmasq 把上游指向本地 DoH 代理
uci set dhcp.@dnsmasq[0].noresolv='1'
uci add_list dhcp.@dnsmasq[0].server='127.0.0.1#5053'
uci commit dhcp
/etc/init.d/dnsmasq restart

命令为常见 OpenWrt 23.05/24.10 的 UCI 写法，不同版本包名与配置项可能不同；刷固件前确认你的设备有对应支持包，有变砖风险。

路由器填什么上游地址？

服务	路由器填写	方式
23-4.cn 加密DNS	IP 8.210.55.60 + TLS 主机名 dns.23-4.cn	DoT / DoH
Cloudflare	IP 1.1.1.1 + 主机名 cloudflare-dns.com	DoT / DoH
Google	IP 8.8.8.8 + 主机名 dns.google	DoT / DoH

234 加密DNS 服务地址

https://dns.23-4.cn/dns-query

tls://dns.23-4.cn

dns.23-4.cn

华硕 DoT 填主机名 dns.23-4.cn；OpenWrt https-dns-proxy 填 resolver_url。

设置后怎么验证全屋生效？

连这个 Wi-Fi 的手机浏览器打开 dnsleaktest.com 跑扩展测试，看出口解析器 IP 是否变成你配置的服务器；详细命令行与抓包方法见怎么验证私人 DNS 有没有生效。

常见问题

路由器开了加密DNS，手机电脑还要再设吗？+

不用。路由器作为全屋网关，把对 LAN 内设备下发的 DNS 指向自己，再由路由器以 DoT/DoH 形式转发给上游加密解析器，连接这个路由器的所有设备（手机、电视、IoT）自动走加密通道。

华硕路由器的 DoT 开关在哪？+

登录路由器后台 → 外部网络(WAN) → 互联网连接 → 把「连到 DNS 服务器自动」设为否 → 在「DNS 隐私协议」下拉选 DNS-over-TLS(DoT) → 配置文件建议选「严格」→ 在服务器列表填上游 IP 与 TLS 主机名。不同固件版本菜单位置略有差异。

普通家用路由器没有 DoT 选项怎么办？+

原厂固件不带加密上游的入门路由器，只能靠更换为支持的固件（如 OpenWrt、Asuswrt-Merlin）或加一台跑 AdGuard Home/DoH 代理的旁路设备；不熟悉刷机不建议尝试，有变砖风险。

改了路由器 DNS 后 IPTV/有线电视异常？+

部分运营商 IPTV 依赖默认 DNS 或组播。遇到这种情况，把 WAN 侧 DNS 改回自动，改为只在 LAN DHCP 里下发加密 DNS，或用策略把 IPTV 网段排除；出问题先记录原 DNS 再改。

路由器怎么设置加密 DNS，让全屋设备生效？

原理：为什么改路由器就全屋生效？

华硕 / 梅林固件（Asuswrt-Merlin）步骤

OpenWrt 步骤（DoH 方式）

路由器填什么上游地址？

234 加密DNS 服务地址

设置后怎么验证全屋生效？

常见问题

相关阅读

信息来源