DNS 服务器搭建与加密解析完全指南

搭建私有 DNS 服务器，实现去广告、防污染和加密查询，全面掌控域名解析过程，提升网络安全与隐私。本指南主讲 AdGuard Home 完整部署与进阶调优，并带您玩转 Mosdns 国内外分流与 Tailscale 组网统一 DNS。

📚 DNS 基础知识

每次您访问网站时，您的设备都会先向一个 DNS 服务器查询该网站的 IP 地址，然后再通过 IP 地址与网站服务器建立连接。您使用的 DNS 服务器的优劣，直接决定了网络体验的安全性、隐私性和速度。

🚀 为何自建 DNS 服务器

虽然您的 ISP 或路由器已经提供了默认的 DNS 服务，但自建 DNS 服务器能带来革命性的体验提升。

🤔 DNS 方案选择

在 VPS 上搭建 DNS 服务，有多种成熟方案可选：

🔐 加密 DNS 协议对比

传统 DNS 查询（端口 53）是明文传输的，任何网络中间人（ISP/公共 WiFi）都能看到您访问了哪些网站。为了防泄漏和防劫持，现代 DNS 引入了加密协议：

🛡️ AdGuard Home 完整部署

推荐使用 Docker 部署 AdGuard Home，隔离环境且易于管理。提供两种方式：

方式一：Docker Compose（推荐，便于维护）

创建 /opt/adguard/docker-compose.yml：

# 文件路径：/opt/adguard/docker-compose.yml

services:
  adguardhome:
    image: adguard/adguardhome:latest
    container_name: adguardhome
    restart: unless-stopped
    network_mode: host          # host 模式直接使用宿主机网络，避免 NAT 问题
    volumes:
      - ./workdir:/opt/adguardhome/work
      - ./confdir:/opt/adguardhome/conf
    # 如果不用 host 模式，用以下 ports 配置：
    # ports:
    #   - "53:53/tcp"
    #   - "53:53/udp"
    #   - "80:80/tcp"
    #   - "3000:3000/tcp"
    #   - "853:853/tcp"

启动：

cd /opt/adguard && docker compose up -d

方式二：Docker Run（快速启动）

docker run --name adguardhome \
    -v /opt/adguard/workdir:/opt/adguardhome/work \
    -v /opt/adguard/confdir:/opt/adguardhome/conf \
    -p 53:53/tcp -p 53:53/udp \
    -p 80:80/tcp -p 443:443/tcp \
    -p 853:853/tcp \
    -p 3000:3000/tcp \
    -d --restart unless-stopped \
    adguard/adguardhome

配置上游加密 DNS（防污染核心）

在 设置 → DNS 设置 → 上游 DNS 服务器 中填入以下地址（推荐选 2-3 个并开启"并行请求"）：

🔧 必读：53 端口占用解决方案

在 Ubuntu 20.04+ / Debian 12+ 系统上，systemd-resolved 默认占用 53 端口，导致 AdGuard Home 无法启动。这是最高频的部署卡点，以下提供三种解决方案：

# ── 检查 53 端口占用情况 ─────────────────────────────────────────────────────
ss -tlunp | grep ':53'
# 如果看到 systemd-resolved 或 dnsmasq 占用，按下面步骤处理

# ── 方案一：停用 systemd-resolved（Debian/Ubuntu 最常见原因）────────────────
# 1. 停止并禁用 systemd-resolved
systemctl stop systemd-resolved
systemctl disable systemd-resolved

# 2. 删除 /etc/resolv.conf 的符号链接，创建真实文件
rm /etc/resolv.conf
cat > /etc/resolv.conf << 'EOF'
nameserver 1.1.1.1
nameserver 8.8.8.8
EOF

# 3. 验证 53 端口已释放
ss -tlunp | grep ':53'
# 无输出说明端口已释放，可以启动 AdGuard Home

# ── 方案二：修改 systemd-resolved 不监听 53（保留其他功能）──────────────────
# 编辑 /etc/systemd/resolved.conf，找到 DNSStubListener 行修改为：
# DNSStubListener=no
sed -i 's/#DNSStubListener=yes/DNSStubListener=no/' /etc/systemd/resolved.conf
systemctl restart systemd-resolved

# ── 方案三：让 AdGuard Home 监听非标准端口 + iptables 转发 ────────────────────
# AdGuard 监听 5300 端口，再用 iptables 把外部 53 流量转到 5300
iptables -t nat -A PREROUTING -p udp --dport 53 -j REDIRECT --to-port 5300
iptables -t nat -A PREROUTING -p tcp --dport 53 -j REDIRECT --to-port 5300
# 使用 iptables-persistent 持久化规则

📋 优质广告过滤规则推荐

⚙️ 进阶：高级调优与 DNS 重写

1. 乐观缓存（Optimistic Caching）

在 设置 → DNS 设置 → DNS 缓存配置 中强烈建议开启乐观缓存。原理：当缓存记录 TTL 过期时，立刻返回旧记录给用户（极速响应），同时后台异步更新缓存。用户感知不到任何延迟，上网流畅度大幅提升。

2. DNS 重写（自定义解析）

在 过滤器 → DNS 重写 中可以为内网设备设置友好域名，免去记忆 IP 地址的烦恼：

# 将 nas.lan 解析到内网 IP（局域网设备友好域名）
nas.lan → 192.168.1.100

# 将 router.lan 解析到路由器
router.lan → 192.168.1.1

# 强制将广告追踪平台解析到本地环回（彻底拦截）
bad-tracker.com → 127.0.0.1

# 为外网特定域名指定 IP（无需修改 hosts 文件）
my-server.yourdomain.com → 198.51.100.10

✏️ 进阶：自定义过滤规则语法

AdGuard Home 支持与 AdBlock 兼容的规则语法，可以在 过滤器 → 自定义过滤规则 中直接编写：

# ── AdGuard Home 自定义过滤规则语法速查 ─────────────────────────────────────

# 1. 屏蔽域名（最基础）
||example.com^
# 等效写法（也会屏蔽所有子域名）
||*.example.com^

# 2. 放行域名（白名单，优先级高于屏蔽规则）
@@||example.com^
@@||cdn.example.com^

# 3. 屏蔽特定子域名（不影响主域名）
||ads.example.com^

# 4. 仅屏蔽完全匹配的域名
|example.com|

# 5. 屏蔽包含关键词的域名
/ads/
/tracker/

# 6. 注释行（不生效）
# 这是注释

# ── 实用场景示例 ─────────────────────────────────────────────────────────────
# 屏蔽所有广告相关子域名
||ad.*.com^
||ads.*.com^
||adservice.google.com^

# 放行被误杀的必要域名
@@||api.github.com^
@@||raw.githubusercontent.com^
@@||update.googleapis.com^

# 屏蔽已知追踪域名
||analytics.google.com^
||connect.facebook.net^
||doubleclick.net^

📡 实战：对外提供自建 DoH 服务

如果希望在出差时，手机在蜂窝网络下也能使用 VPS 上的去广告 DNS，需要对外暴露加密 DNS 服务（直接暴露 53 端口会被当作 DDoS 放大攻击肉鸡）。最佳实践是用 Nginx 反代 AdGuard Home，提供 DoH 服务：

Nginx 配置（/etc/nginx/conf.d/dns-doh.conf）：

server {
    listen 443 ssl;
    http2 on;
    server_name dns.yourdomain.com;

    ssl_certificate     /etc/letsencrypt/live/dns.yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/dns.yourdomain.com/privkey.pem;

    # 将请求反向代理到 AdGuard Home 的 DoH 端口
    location /dns-query {
        proxy_pass http://127.0.0.1:3000/dns-query;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

配置完成后，您的私人加密 DNS 地址是 https://dns.yourdomain.com/dns-query，可以填入手机或浏览器的"私有 DNS"选项。

🔀 2026新玩法：Mosdns 国内外分流解析

AdGuard Home 是广告过滤的利器，但上游 DNS 只能统一配置。对于国内用户，最理想的状态是：国内域名（baidu.com/taobao.com）走国内 DNS（速度快），国外域名（google.com/github.com）走 DoH（防污染）。这需要 Mosdns 在中间做分流路由。

安装 Mosdns

# ── 安装 Mosdns v5（2025-2026 主流版本）────────────────────────────────────
# 项目地址：https://github.com/IrineSistiana/mosdns

# 下载最新版
VERSION=$(curl -s https://api.github.com/repos/IrineSistiana/mosdns/releases/latest   | grep '"tag_name"' | cut -d'"' -f4)
wget "https://github.com/IrineSistiana/mosdns/releases/download/${VERSION}/mosdns-linux-amd64.zip"
unzip mosdns-linux-amd64.zip
mv mosdns /usr/local/bin/
chmod +x /usr/local/bin/mosdns

# 创建配置目录
mkdir -p /etc/mosdns

# 安装为 systemd 服务
mosdns service install -d /etc/mosdns -c /etc/mosdns/config.yaml
systemctl enable --now mosdns

分流配置文件

创建 /etc/mosdns/config.yaml：

# 文件路径：/etc/mosdns/config.yaml
# Mosdns 分流配置：国内域名走国内 DNS，国外域名走 DoH
# 效果：国内网站解析快 + 国外域名防污染

log:
  level: info

# 插件定义
plugins:
  # ── 上游 DNS 插件 ──────────────────────────────────────────────────────────
  # 国内权威 DNS（直接查询，不加密，速度最快）
  - tag: forward_cn
    type: forward
    args:
      upstreams:
        - addr: "https://doh.pub/dns-query"     # DNSPod DoH
        - addr: "https://dns.alidns.com/dns-query"  # AliDNS DoH

  # 国外可信 DNS（走 DoH 加密，防污染）
  - tag: forward_global
    type: forward
    args:
      upstreams:
        - addr: "https://cloudflare-dns.com/dns-query"
        - addr: "https://dns.google/dns-query"

  # ── 规则匹配插件 ──────────────────────────────────────────────────────────
  # 国内域名列表（来自 v2fly/domain-list-community）
  - tag: geosite_cn
    type: domain_set
    args:
      files:
        - "/etc/mosdns/geosite_cn.txt"        # 国内域名列表文件

  # 国内 IP 列表（用于验证返回的 IP 是否为国内 IP）
  - tag: geoip_cn
    type: ip_set
    args:
      files:
        - "/etc/mosdns/geoip_cn.txt"          # 国内 IP 段文件

  # ── 主处理流程 ─────────────────────────────────────────────────────────────
  - tag: main_sequence
    type: sequence
    args:
      - matches: qname $geosite_cn           # 如果是国内域名
        exec: forward $forward_cn            # 走国内 DNS
      - exec: forward $forward_global        # 否则走国外 DoH

# 监听配置
servers:
  - exec: main_sequence
    listeners:
      - protocol: udp
        addr: "127.0.0.1:5335"               # 监听本地 5335 端口
      - protocol: tcp
        addr: "127.0.0.1:5335"

下载规则数据并与 AdGuard Home 联动

# ── 下载规则数据文件 ─────────────────────────────────────────────────────────
cd /etc/mosdns

# 下载国内域名列表（v2fly 社区维护）
wget -O geosite_cn.txt   https://raw.githubusercontent.com/Loyalsoldier/v2ray-rules-dat/release/direct-list.txt

# 下载国内 IP 段
wget -O geoip_cn.txt   https://raw.githubusercontent.com/Loyalsoldier/geoip/release/text/cn.txt

# ── 将 AdGuard Home 的上游指向 Mosdns ────────────────────────────────────────
# 在 AdGuard Home 管理面板 → 设置 → DNS 设置 → 上游 DNS 服务器 中填入：
# 127.0.0.1:5335
# 这样：用户请求 → AdGuard Home（广告过滤）→ Mosdns（分流）→ 国内/国外 DNS

# ── 设置每周自动更新规则 ──────────────────────────────────────────────────────
# 添加 crontab（每周日凌晨 3 点更新）：
# 0 3 * * 0 cd /etc/mosdns && wget -q -O geosite_cn.txt https://raw.githubusercontent.com/Loyalsoldier/v2ray-rules-dat/release/direct-list.txt && wget -q -O geoip_cn.txt https://raw.githubusercontent.com/Loyalsoldier/geoip/release/text/cn.txt && systemctl restart mosdns

🦖 进阶：结合 Tailscale 组网统一 DNS

如果您已经按照第24篇搭建了 Tailscale 组网，可以将 VPS 上的 AdGuard Home 设为整个组网的统一 DNS 服务器。这样组网内所有设备（手机、电脑、其他 VPS）无论在哪里，都自动享受广告过滤和防污染解析，无需在每台设备上单独配置。

# ── 将 AdGuard Home 设为 Tailscale 组网内的统一 DNS ─────────────────────────

# 1. 查看 AdGuard Home 所在设备的 Tailscale IP
tailscale ip -4
# 输出类似：100.64.1.2（记录下来）

# 2. 在 Tailscale 管理后台配置全局 DNS
# 访问：https://login.tailscale.com/admin/dns
# → 点击 "Add nameserver"
# → 填入步骤1的 Tailscale IP（如 100.64.1.2）
# → 勾选 "Override local DNS"（覆盖所有设备的 DNS）

# 3. 验证组网内其他设备的 DNS 是否指向 AdGuard Home
# 在任意组网设备上执行：
nslookup google.com 100.64.1.2
# 或者直接访问 AdGuard Home 面板，查看查询日志是否有该设备的请求

# ── 效果 ─────────────────────────────────────────────────────────────────────
# 组网内所有设备（手机/电脑/服务器）自动使用 AdGuard Home 作为 DNS
# - 统一广告过滤（手机浏览器广告也没了）
# - 统一防污染（所有设备 DNS 查询走 DoH）
# - DNS 重写（nas.lan 在所有设备上都能解析到正确 IP）
# - 无需在每台设备上单独配置 DNS

💻 客户端配置

服务器搭建好后，需要将设备指向它。最佳实践是在路由器上设置，让所有连接 WiFi 的设备自动享受广告过滤。

🌐 权威 DNS 简介

🔧 故障排查

❓ 常见问题解答