DNS 將易於人類理解的網域轉換為電腦讀取的 IP 位址。私有 DNS 會加密裝置向 DNS 伺服器發出的 DNS 查詢。與尊重您隱私的第三方 DNS 服務搭配使用時，私有 DNS 可以提高您的線上隱私。然而，在使用 VPN 時並不需要私有 DNS，且實際上可能會降低 VPN 連線的安全性。
在本文中，我們將探討什麼是私有 DNS、它如何協助保護您的隱私，以及如何在您的裝置上啟用它，同時也會說明為什麼您不應該搭配 VPN 使用。
什麼是 DNS？
網域名稱系統 (DNS) 會將易於人類理解的網域名稱對應至相應的電腦理解數值 IP 位址。
例如，Proton VPN 網站使用的網域名稱為 protonvpn.com，對應的 IP 位址為 185.159.159.140。當您在瀏覽器的網址列輸入 www.protonvpn.com 時，該網域名稱必須轉換為相應的 IP 位址，電腦才能理解。
此轉換程序通常是由您的網際網路服務供應商 (ISP) 運作的特殊 DNS 伺服器進行。
為什麼 DNS 會帶來隱私和審查問題
任何解析您 DNS 查詢的主體都能看到您造訪了哪些網站（但看不到您在網站上的活動）。除非您使用 VPN 或主動變更 DNS 設定，否則解析您 DNS 查詢的將會是您的 ISP。
請務必了解，在預設情況下，即使您的 ISP 沒有解析您的 DNS 查詢，它也能監控您的線上活動。然而，這是他們記錄您的瀏覽歷程最簡單（也因此最便宜）的方法。
因此，大多數記錄客戶瀏覽歷程的 ISP（這也是大多數 ISP 的作法）會選擇阻力最小的路徑，僅限於記錄客戶的 DNS 記錄。在大多數司法管轄區，這種最低限度的日誌記錄即可讓 ISP 履行其記錄使用者瀏覽歷程的任何法律義務。
同樣地，當政府出於社會、宗教、政治或「道德」因素希望審查網路內容時，他們會要求國內的 ISP 執行這些封鎖。而最簡單的方法就是封鎖針對特定網站和應用程式的 DNS 查詢。使用國際第三方 DNS 解析程式可以繞過這些簡單（但有效）的審查封鎖。
伊斯坦堡的塗鴉，鼓勵人們使用 Google DNS 伺服器來繞過 2014 年政府的審查打壓(新視窗)
什麼是私有 DNS 模式？
與大多數受 HTTPS 保護(新視窗)的網站連線不同，DNS 查詢通常是以未加密的純文字傳送。這意味著任何可以存取 DNS 查詢的人（例如您的 ISP）都可以讀取它們，即使它們是由第三方解析的也是如此。
如果 ISP 花費額外精力來監視其客戶（例如受限制更嚴格的政府所要求），它可以直接監控並記錄指向第三方解析程式的 DNS 查詢日誌。使用更先進的技術，它還可以透過過濾這些查詢來實施審查。
私有 DNS 透過在您的裝置與第三方 DNS 伺服器之間傳輸時加密您的 DNS 查詢來防止這種情況。這可確保您的 ISP（或任何其他監控您網際網路連線的人）無法看到您的 DNS 查詢。
因此，相較於傳統未加密的 DNS 查詢，私有 DNS 在 DNS 隱私與安全性方面代表了顯著的進步。 然而，它也有一些我們稍後會討論的限制。
私有 DNS 協定
私有 DNS 是透過三種安全協定之一來實現的：DNS-over-TLS (DoT)、DNS-over-HTTPS (DoH) 和 DNSCrypt。
DNS-over-TLS
DoT 使用 Transport Layer Security(新視窗) (TLS) 協定來加密 DNS 查詢，確保資料不會輕易被截獲或篡改。DoT 運作於連接埠 853，這使得網路更容易專門封鎖或監控 DoT 流量，因為它不會與其他類型的流量混雜在一起。
這使得 DoT 成為希望對通過其網路的流量進行某些控制的網路之首選。在伺服器層級上，DoT 的實作複雜度也比 DoH 低。
DNS-over-HTTPS
DoH 使用 HTTPS（保護網際網路上所有敏感資訊的協定）來加密 DNS 查詢。與 DoT 類似，DoH 使用 TLS 來加密 DNS 查詢，但 DoH 連線運作於連接埠 443，因此它們會與一般的 HTTPS 網頁流量混合在一起。這使得觀察者難以將 DNS 流量與其他類型的網頁流量區分開來，讓 DoH 比 DoT 更具私密性且更具抗審查性。
DNSCrypt
最古老的私有 DNS 協定 DNSCrypt 與 DoH 非常相似，但有一些改進 DoH 的附加功能。然而，作業系統和瀏覽器並未廣泛支援 DNSCrypt，因此需要執行第三方軟體(新視窗)。
那麼哪一個最好呢？與完全不使用私有 DNS 相比，所有這些私有 DNS 協定都提供了巨大的隱私和安全性改善，且對您的瀏覽速度影響微乎其微。某些網路有充分的理由更偏好 DoT，但對大多數終端使用者而言，DoH 提供的更高隱私性使其成為兩者中更好的選擇。
在許多方面，儘管 DNSCrypt 是最古老的選項，但在隱私方面它仍然是最好的選擇。然而，整個 DNS 生態系統中缺乏對其的支援，限制了它的吸引力。在本文的其餘部分中，我們將專注於 DoT 和 DoH，因為這些協定不需要您下載額外的軟體。
私有 DNS 不如 VPN 來得私密
私有 DNS 提供了某些隱私優勢，但這些優勢只有在 ISP（通常是受政府指使）選擇最簡單的目標，且沒有花費太多實質精力來審查內容或監視您時才有效。儘管需要額外的精力，ISP 仍然可以追蹤您的連線以確定您的瀏覽歷程，並且可以直接封鎖流向特定 IP 位址的流量。
為了防止 ISP 能夠看到您的線上活動（從而可能對其進行審查），您應該使用 VPN。這會加密您裝置與 VPN 伺服器之間的連線，使您的 ISP 無法看到您的資料內容。DNS 查詢會透過加密的連線（也稱為 VPN 隧道）進行路由，並由您的 VPN 供應商進行解析，因此您的 ISP 無法得知您在網際網路上造訪了哪些網站或其他資源。
同樣地，您造訪的網站也無法看到您的真實 IP 位址。它們只能看到 VPN 伺服器的 IP 位址。
因此，VPN 提供的隱私保護遠高於私有 DNS 服務。
請勿同時使用私有 DNS 和 VPN
所有優秀的 VPN 供應商都營運自己的 DNS 伺服器。使用 VPN 時，DNS 請求會透過 VPN 隧道進行路由，並由 VPN 服務進行解析。由於 VPN 隧道已加密，DNS 請求便已被加密，無需使用私有 DNS 協定。
此外，在您的系統上設定任何第三方 DNS 服務，會增加 DNS 請求在 VPN 隧道外路由的可能性。私有 DNS 會增加這種情況發生的機率，因為加密 DNS 查詢會使 VPN 軟體所使用的 DNS 保護措施更難確保其正確地透過 VPN 隧道進行路由。
因此，在使用 VPN 時不僅不需要私有 DNS，它還可能導致 DNS 外洩。
如何使用私有 DNS
要使用私有 DNS，您必須先選取支援 DoT 或 DoH 的 DNS 解析程式（也可以自行架設 DNS 伺服器，但這需要相當高的技術實力）。支援私有 DNS 且至少在口頭上承諾保護隱私的熱門 DNS 服務包括：
- Cloudflare 1.1.1.1 — 這家大型商業 DNS 服務僅收集「傳送至 Cloudflare 解析程式的匿名 DNS 查詢資料」。Cloudflare 支援 DoT 和 DoH。
- Quad9 — 一個非營利性的 DNS 服務，不收集任何關於其使用者的個人識別資訊。重要的是，在進行查詢時，使用者的 IP 位址不會被儲存。Quad9 支援 DoH。
- OpenNIC — OpenNIC 自稱為去中心化、開放、不受審查且民主的 DNS 提供商，是由世界各地志願者運行的 DNS 伺服器集合。與大多數 DNS 服務不同（在這些服務中，單一 DNS 位址（例如 1.1.1.1）即可將您連線至 DNS 伺服器網路），使用 OpenNIC 時，您需要選取要連線的個別 DNS 伺服器。日誌政策以及是否支援私有 DNS（通常採用較舊的 DNSCrypt 協定形式），完全取決於執行您所選 DNS 伺服器的人員。
一旦選擇了 DNS 提供商，您有兩個選項。您可以設定作業系統 (OS) 將所有 DNS 查詢路由到您選擇的提供商，也可以僅設定瀏覽器來使用私有 DNS 服務。
所有現代作業系統都支援 DoT 或 DoH（或兩者皆支援），所有現代瀏覽器也是如此。預設情況下，Firefox 會使用 DoH 自動連線到 Cloudflare 1.1.1.1 伺服器。
關於私有 DNS 的結語
私有 DNS 比一般未加密的 DNS 更加私密、安全且具備防審查能力，而且至少有些 DNS 提供商比起您的 ISP 更加關心您的隱私。因此，如果您不使用 VPN，您應該設定您的系統或瀏覽器，以使用支援私有 DNS 且值得信賴的 DNS 服務。
然而，比起使用私有 DNS，VPN 能提供更多的隱私保護，且在突破網路審查方面更為有效。請注意，在使用 VPN 時，您不應該（也無須）使用私有 DNS。
