手机设置里的私人DNS选项，不少人第一次看见不敢随意改动，担心配置错误无法上网。这个功能实用性很强，域名解析走加密通道，运营商没办法查看访问站点，还能拦截一部分广告和恶意钓鱼域名。
配置之前要抓住关键点：这里填写的不是IP地址，而是主机名。电脑手动配置DNS，填写的是8.8.8.8或者223.5.5.5这类数字IP。安卓私人DNS采用DNS over TLS也就是DoT协议，依靠主机名校验服务器身份，原理类似HTTPS网站域名验证证书。填入IP地址会直接校验失败，系统不予保存。
理解这点之后，挑选服务商填入对应主机名就行。下面列举主流服务商，主机名格式存在差异，需要留意。
Cloudflare主机名1dot1dot1dot1.cloudflare-dns.com。字符串里1dot1dot1dot1，是将IP1.1.1.1中的点替换成单词dot，主机名不允许直接用数字加点格式。Cloudflare不会留存用户查询日志，也是很多人选它的理由。
AdGuard DNS提供三种模式，不同主机名对应不同功能。默认dns.adguard-dns.com拦截广告与跟踪脚本；unfiltered.adguard-dns.com不做任何过滤，仅提供加密解析；family.adguard-dns.com在广告拦截基础上屏蔽成人站点，适合儿童设备。按需选择即可。
Quad9主机名dns.quad9.net。由瑞士基金会运营，主打恶意域名拦截，对接全球二十多家威胁情报数据源，拦截恶意域名，并且不记录访客IP。
Google Public DNS主机名dns.google，简短容易记忆，习惯使用谷歌相关服务的用户适配性更好。
NextDNS相对特殊，要先在官网注册账号，平台分配专属配置ID，个人主机名格式<你的配置ID>.dns.nextdns.io。举个例子，配置ID为abc123，填写abc123.dns.nextdns.io。优势是自定义过滤策略，后台精细化设置域名黑名单、白名单，适合愿意花时间调整规则的用户。
CleanBrowsing主机名依靠过滤等级区分。security-filter-dns.cleanbrowsing.org仅拦截恶意程序、钓鱼网站；adult-filter-dns.cleanbrowsing.org额外屏蔽成人内容；family-filter-dns.cleanbrowsing.org限制最严格，附带强制安全搜索。
Mullvad DNS主机名dns.mullvad.net，还有变体adblock.dns.mullvad.net开启广告拦截。Mullvad主打隐私保护，无需注册账号，不保存解析日志。
选定服务商，设置流程简单。打开手机设置，找到网络和互联网或者连接菜单，找到私人DNS选项。将默认自动切换为指定私人DNS提供商主机名，粘贴对应主机名保存。系统自动连通校验，校验成功之后，域名解析全部走加密通道。
这里有几处容易踩坑。私人DNS和VPN不能同时启用。手机开启VPN，私人DNS配置会失效，系统采用VPN自带DNS。属于安卓底层限制，并非配置出错。部分服务商主机名容易写错。像Cloudflare那串名称，很多人误填成1.1.1.1或是漏掉dot，直接保存失败。主机名填写错误，直接后果是断网。域名解析全部失败，浏览器打不开网页，切回私人DNS的自动选项就能恢复网络。
校验配置是否生效，可以浏览器打开on.quad9.net（Quad9用户）或者1.1.1.1/help（Cloudflare用户），页面展示DNS连接状态。通用方式访问dnsleaktest.com做泄漏检测，查看返回DNS服务商是否和设置一致。
不想单台设备逐个配置，路由器层面也可以设置。绝大多数家用路由器DNS填写IP，不支持DoT主机名，路由器上配置仅普通明文DNS，无法加密解析请求。想要全网加密解析，要么每台设备单独开启私人DNS，要么路由器硬件原生支持DoT。