在OpenWrt路由器上配置DNS过滤器,是提升网络体验、增强安全性与保护隐私的有效手段，它通过在网关层面拦截并处理DNS查询请求，实现对整个网络内所有设备的统一管理，无需在每个终端上单独安装软件，其核心价值在于能够屏蔽广告、执行家长控制、拦截恶意软件和钓鱼网站，并防止DNS劫持。
核心工作原理
DNS过滤的核心原理在于拦截网络中所有设备发出的DNS查询请求,当一个设备尝试访问某个域名时（例如example.com），它会向DNS服务器询问该域名对应的IP地址，OpenWrt上的DNS过滤器会捕获这个请求，并将其与一个或多个预设的“黑名单”进行比对。
如果域名在黑名单上（例如一个已知的广告服务器域名），过滤器将不会向上游DNS服务器转发请求，而是直接返回一个无效的地址，如0.0.0或路由器自身的IP地址，这样，设备就无法连接到目标服务器，广告或恶意内容自然也就被屏蔽了，如果域名不在黑名单上，请求则被正常转发给上游DNS服务器（如Cloudflare、Quad9等），用户可以正常访问。
为了确保所有设备都经过路由器的DNS过滤,通常需要配置防火墙规则，强制将所有53端口的UDP/TCP流量都重定向到路由器自身，防止设备通过手动设置其他DNS服务器（如8.8.8）来绕过过滤。
主流实现方案对比
OpenWrt社区提供了多种成熟的DNS过滤方案,用户可以根据自己的需求和设备性能选择，以下是几个主流方案的对比：
| 方案 | 特点 | 适用场景 |
|---|---|---|
| Adblock | 功能最丰富，配置选项极多，支持多种黑名单格式和自定义规则，资源占用相对较高。 | 适合对过滤效果有精细化要求、设备性能较好的高级用户。 |
| Simple-Adblock | 轻量级，配置简单，易于上手，资源占用低，专注于基本的广告和跟踪器屏蔽。 | 适合入门用户或性能较低的路由器，追求稳定与简洁。 |
| Dnsfilter | 较新的项目，设计现代化，集成了多种功能，可作为Adblock的替代品，性能和功能上有所平衡。 | 适合希望尝试新功能，寻求在性能和功能间取得平衡的用户。 |
配置流程概览
以最常用的Adblock为例，其配置流程大致如下：
-
安装软件包：通过SSH连接到路由器，执行
opkg update更新软件包列表，然后安装luci-app-adblock包，它会自动安装所需依赖。opkg update opkg install luci-app-adblock -
基础配置：安装后，在OpenWrt的LuCI Web界面“服务”菜单下会出现“DNS过滤”选项，在此页面可以进行主要配置：
- 上游DNS服务器：选择可靠的DNS服务，如
Cloudflare、Quad9或AdGuard DNS。 - 黑名单源：Adblock预置了多个高质量的黑名单源，如
AdAway Default List、StevenBlack's List等，可以根据需要勾选启用。 - 强制DNS：确保勾选相关选项，让防火墙规则自动生效，强制所有流量通过路由器。
- 上游DNS服务器：选择可靠的DNS服务，如
-
启用并启动：保存配置后，切换到“控制”选项卡，点击“启动”按钮，Adblock会开始下载并处理黑名单，生成最终的阻塞规则集，建议勾选“启用”选项，使其在路由器开机后自动运行。
进阶应用：结合DNS加密
传统的DNS查询是明文传输的,这存在被窃听或篡改的风险，为了进一步提升隐私和安全，可以在OpenWrt上配置DNS over HTTPS (DoH) 或 DNS over TLS (DoT)。
通过安装https-dns-proxy或stubby等软件包，可以让路由器将加密的DNS请求发送给支持DoH/DoT的上游服务器，然后在本地解密后提供给dnsmasq，这样，从路由器到上游DNS服务器的通信是加密的，有效防止了中间人攻击，将DNS过滤与DNS加密相结合，可以构建一个既干净又安全的网络环境。
相关问答FAQs
问题1：为什么我配置了DNS过滤，仍然能看到广告或访问到恶意网站？
解答： 这种情况可能由几个原因造成，过滤列表可能不完整或未及时更新，无法覆盖所有新兴的广告域名，部分应用程序使用硬编码的IP地址而非域名来连接服务器，这会完全绕过DNS系统，如果您的设备（如电脑或手机）操作系统或浏览器内置了并启用了自己的DNS加密（如DoH），它可能会绕过路由器的设置，直接连接到外部DNS服务器，解决方法是确保在路由器上强制了所有DNS流量，并在终端设备上关闭系统级的DoH设置。
问题2：启用DNS过滤会影响我的网速吗？
解答： 影响通常是微乎其微的，甚至在某些情况下会提升访问速度，当首次访问一个域名时，路由器需要进行查询和比对，可能会有几毫秒的额外延迟，但得益于dnsmasq的DNS缓存功能，后续对同一域名的访问将直接从路由器的缓存中获取结果，速度远快于重新向上游服务器查询，主要的性能瓶颈在于路由器的CPU和内存，对于现代中高端路由器而言，处理DNS过滤任务绰绰有余，对于性能较弱的旧款路由器，可能会在高负载时感受到轻微影响，此时可以选择Simple-Adblock等更轻量的方案。