每天打开网页、刷视频、收邮件，背后都离不开一个看不见的“翻译官”——DNS，也就是域名解析服务。它把我们输入的网站名字，比如 www.example.com，转换成机器能识别的IP地址。这个过程看似简单，但你的浏览记录可能正通过DNS泄露出去。
你的DNS请求可能正在“直播”
当你连接网络时，大多数设备默认使用运营商提供的DNS服务器。这意味着你访问了哪些网站，运营商全都知道。更糟的是，公共Wi-Fi下的DNS请求如果未加密，附近的黑客也能轻松监听。想象一下，在咖啡馆连上免费网络，你查银行余额、登录社交账号，这些行为对应的域名请求可能正被默默记录。
DNS over HTTPS：给域名查询穿上外套
传统DNS使用明文传输，就像寄明信片，内容谁都能看。而DoH（DNS over HTTPS）把查询包裹在HTTPS加密通道里，连运营商也只能看到你在和某个加密服务器通信，却看不到具体查了什么域名。主流浏览器如Firefox和Chrome都已支持DoH，只需在设置中开启即可。
# 以Cloudflare的DoH为例，配置文件中可指定加密DNS地址
nameserver 1.1.1.1
# 或使用加密形式
https://1.1.1.1/dns-query自建递归DNS：掌控从源头开始
如果你对第三方也不放心，可以考虑在本地或家庭服务器上搭建递归DNS服务，比如使用 dnsmasq 或 Unbound。这样所有域名查询都在自己设备完成，不依赖外部服务器。虽然配置稍复杂，但对注重隐私的人来说，这一步值得。
# Unbound配置片段示例，启用本地递归解析
server:
interface: 127.0.0.1
access-control: 127.0.0.1 allow
do-not-query-localhost: no别忘了备份场景下的风险
很多自动备份工具会连接云存储，比如用主机名 backup.cloudservice.com 上传数据。如果DNS被劫持或监听，攻击者虽拿不到加密内容，却能分析出你使用的备份服务商、上传频率，甚至推测出业务规律。结合时间点，可能判断出你何时在处理敏感数据。
启用加密DNS后，这类元信息泄露的风险大大降低。更重要的是，配合使用VPN或零信任网络，可以让整个通信链路更私密。不要以为备份数据加密就万事大吉，路径信息同样重要。
换个DNS没那么难
很多人觉得改DNS是高手才做的事，其实手机和路由器设置里几下就能换。比如把DNS改成 1.1.1.1（Cloudflare）或 8.8.8.8（Google），已经比默认运营商DNS更中立。想再进一步，就上DoH或自建服务。隐私保护不是非黑即白，每一步都在增加窥探的成本。