DNS 全称 Domain Name System，中文叫域名系统。它做的事情就是把浏览器里输入的网址，翻译成服务器能识别的IP地址。输入 baidu.com，电脑没办法直接识别这个域名对应的位置，只能看懂像110.242.68.66这样一串数字。DNS就充当中间翻译，把域名和对应的IP绑定在一起。要是没有这套系统，每次上网都要记住一长串数字，根本没法正常使用网络。
整个解析流程耗时很短，大多只需要几百毫秒。按下回车之后，电脑会先检查本地缓存，看看之前有没有保存这个域名对应的IP。缓存里面有记录，就直接调用；没有的话，就向DNS服务器发送查询请求。DNS服务器本身没有答案，就会逐级向上询问根服务器、顶级域名服务器、权威服务器，拿到结果之后再传回给电脑，同时把这条解析结果缓存一段时间。缓存时长由TTL参数控制，超时之后会重新发起查询，避免网站更换IP之后，你还在访问旧地址。
日常上网，默认用的DNS服务器基本都是宽带运营商提供的。安装宽带的时候，光猫或者路由器会自动获取两组地址，就是运营商DNS。这套地址可以正常使用，但偶尔会出状况。解析速度慢、页面弹出广告，或是域名被劫持跳转到异常页面，都是比较常见的问题。公共DNS就是替代方案，114.114.114.114、223.5.5.5、119.29.29.29都属于这类，任何人都能直接使用，不受运营商限制，稳定性往往比运营商默认DNS更好。
私人DNS这个说法，在不同场景指代不一样，核心都是放弃默认解析通道，手动指定DNS服务。安卓手机系统设置里就有私人DNS选项，英文名称Private DNS。开启之后需要填写主机名，例如dns.google或者1dot1dot1dot1.cloudflare-dns.com。开启之后手机发出的DNS查询会加密，走DNS over TLS协议传输。普通DNS查询是明文传输，传输链路里的节点都能看到你查询的域名。私人DNS把查询内容加密，就算数据被截获，第三方也无法读取。
电脑浏览器对应的加密方案是DNS over HTTPS，简称DoH。Chrome和Firefox都支持这个功能，开启之后DNS查询会通过HTTPS通道传输，和网页流量混在一起，更难被识别、干扰。苹果设备想要启用加密DNS，需要安装配置描述文件。这些实现方式，都归属于私人DNS的范畴。
还有一种私人DNS，是自己动手搭建的。比如在家用树莓派部署AdGuard Home或者Pi-hole，把路由器的DNS指向这台设备。局域网所有设备的DNS请求都会先经过它，由它判断域名放行还是拦截。这套方案可以拦截广告、设置上网管控，还能查看家庭网络里各个设备访问过的站点。本质上属于本地递归解析器外加过滤功能，数据不会流出家庭内网，隐私完全由自己掌控。
私人DNS能带来三方面好处。查询加密之后，运营商或者公共WiFi环境无法看到你查询的域名。网络劫持会篡改DNS返回结果，把用户导向钓鱼网站，加密DNS可以抵御这类篡改。自建的私人DNS，还能自定义域名过滤规则。
但使用它同样存在短板。加密DNS会增加少量延迟，多一层TLS握手流程，正常网络环境下基本感知不到，网络本身质量差的时候延迟会更明显。另外选择的私人DNS服务商必须可靠。虽然传输链路加密，但解析请求最终还是会提交给服务商，服务商依旧可以查看你查询的域名。换成不靠谱的私人DNS，只是把信任对象从运营商转移到另一家陌生企业。速度上私人DNS不一定优于运营商DNS，运营商DNS节点距离更近，物理延迟更低。私人DNS的优势体现在隐私保护和抗干扰，并不是解析速度。
要不要开启私人DNS，看个人需求。经常使用公共WiFi，或是运营商DNS频繁出现故障，切换靠谱的加密DNS是合适的选择。只用家庭宽带，运营商DNS长期稳定，没有劫持问题，维持默认设置就足够。自建DNS适合愿意折腾，需要广告拦截、家庭网络管控的用户。普通用户想尝试，安卓手机直接在设置填写公共私人DNS主机名，操作最简单，效果也能立刻看到。