换掉Cloudflare DNS后，我发现设备背着我干了什么

你以为1.1.1.1就是网络隐私的终点？有人换了个DNS服务，结果监控日志里跳出来的东西让他后背发凉。

Cloudflare的DNS服务（域名系统）几乎是科技圈的默认推荐——地址好记、响应快、基础设施稳。但"简单"和"可控"从来都是一对矛盾。本文作者为了省掉折腾树莓派的功夫，换到了另一个主打精细控制的DNS服务，结果意外揭开了家里所有设备的"后台小动作"。

Cloudflare的舒适区，也是它的天花板

Cloudflare的1.1.1.1确实省心。它支持DNS Over HTTPS（超文本传输安全协议），能把你的域名查询请求加密，让运营商没那么容易窥探你在访问什么网站。

对于大多数人，这够了。但如果你想知道"具体是哪些设备在联系哪些服务器"，Cloudflare的界面不会告诉你。它的设计哲学是：把复杂藏到后面，给用户一个干净的开关。

作者原本的方案是用Pi-hole（一款可在树莓派上运行的网络级广告拦截器）自建DNS过滤。这个方案控制力极强，但要维护硬件、更新黑名单、排查故障。为了"省时间省精力"，他转向了商业化的替代方案。

新DNS服务的第一个冲击：日志里全是"不认识的名字"

换上新服务后，作者打开了查询日志面板。然后发现了一些Cloudflare不会展示的东西：

智能电视每隔几分钟就往一个陌生的分析服务器发请求。扫地机器人在凌晨三点尝试连接一个已停服的云端地址。甚至某个"已经卸载"的智能家居App，它的配套硬件还在持续尝试回连原厂服务器。

这些连接大多失败了——因为新DNS服务自带过滤规则——但请求本身被完整记录了下来。作者这才意识到，过去用Cloudflare时，这些流量不是"不存在"，而是"看不见"。

没有日志，就没有证据。没有证据，就容易误以为设备是"安静"的。

控制力的代价：你得自己决定什么是"正常"

新服务把决策权塞回用户手里。每一条被拦截的查询都可以单独放行或永久屏蔽，每一个设备可以被分配不同的规则集。

这带来了Cloudflare不会给你的负担：你需要判断"这个域名是功能必需，还是数据收集"。作者花了两个晚上梳理家里的二十多台联网设备，给它们打标签、分组、测试阻断后的副作用。

某台平板阻断后无法下载系统更新，放行。智能体重秤阻断后称重功能正常，继续拦截它的遥测通道。这个过程没有标准答案，只有你自己的优先级排序。

为什么这件事值得科技从业者在意

作者的经历戳破了一个常见误解：加密DNS等于隐私安全。DoH确实阻止了中间人读取你的查询内容，但它不解决"设备向谁发送什么"这个更底层的问题。

当你把DNS交给一个"极简"服务商，你同时也放弃了审计自己网络流量的能力。这种 trade-off（权衡）在消费级产品里被刻意淡化，因为"让用户意识到复杂度"不利于规模化。

对于管理家庭网络或小型办公环境的科技从业者，这个案例提供了一个具体的检查清单：你的DNS方案能否按设备维度查看查询记录？能否自定义阻断规则并测试副作用？能否识别出那些"已经不用但还在后台尝试联网"的硬件？

如果答案都是否，你可能和作者一样，在用"看不见"换取"不操心"。

最后的数据

作者没有给出具体的拦截统计数字，但他的观察足够清晰：在切换DNS后的首周，日志里出现了来自12台不同设备的、指向87个陌生域名的定期请求。其中约三分之一被确认是遥测或广告分析服务，而非功能必需。而在使用Cloudflare的两年里，这些请求的数量和目的地，他一个字都不知道。