私人DNS保护的是解析环节
DNS把域名映射为IP地址，结果可能包含IPv4的A记录与IPv6的AAAA记录。Android私人DNS是系统的加密解析设置，通常涉及DNS-over-TLS（DoT）机制；它不等同于浏览器自己的DNS-over-HTTPS（DoH）开关，也不负责加密全部应用流量。
Android版本、厂商实现和解析器更新可能带来差异，不能把所有设备的实现写成一张固定流程图。应用也可能使用自己的解析方式。有关系统权限与客户端边界，可先看Android与Mac使用指南。
自动模式与指定提供商，含义不同
设备通常提供自动模式，也可能允许填写私人DNS提供商主机名。指定模式需要联系对应服务并完成相关验证；服务不可达或主机名输入错误时，域名访问可能受影响。自动模式的实际协商行为也取决于系统和当前网络。
不要随意复制陌生提供商地址。先记下原来的模式和主机名，再阅读设备厂商与提供商说明。Google建议保留可用的私人DNS保护；为诊断而永久关闭所有DNS安全功能，并不是合理的通用修复。
三组对照，把故障范围缩小
- 基础网络：确认当前Wi-Fi或移动数据可以正常联网，留意是否需要完成网络登录。
- 访问目标：对比已知正常域名与故障域名，记录浏览器或应用提示的是解析、连接还是证书错误。
- 配置变化：在有权管理的个人设备上，每次只改变一个已明确的变量；记录结果，随后恢复原设置。
用IP地址做可达性对照时要谨慎：HTTPS服务可能依赖正确主机名和证书，直接输入IP得到证书错误，不能作为“DNS已经修好”的证据。层次关系可参照地址、SNI与Host的区别。
VPN建立后，仍需独立验证解析
系统私人DNS、VPN提供的DNS安排和应用自带解析器之间的关系，会受到系统版本与客户端配置影响。不能声称开启私人DNS必然冲突，也不能声称V2Box始终覆盖所有解析请求。不要编造客户端的专用DNS服务器。
如果同一目标只在一个网络失败，记录网络与时间后继续检查可达性；如果仅一个应用失败，还要查看该应用的解析与网络权限。Mac上也有其他组件参与请求，可对照网络过滤器的职责理解分层排查。
最终应保留能够复现的最小步骤，避免把敏感配置上传到未知网站，也不通过更换DNS绕过受管理网络要求。
注意缓存与地址族带来的差别
同一个域名在不同时间可能命中不同的缓存，A与AAAA记录也可能使请求走向不同的地址族。比较时尽量使用同一目标并记录时间，不把一次结果波动直接归为私人DNS异常。如果只是一个应用有问题，应核对它是否有独立的解析设置及缓存机制，不立即修改全系统配置。某个网络需要登录认证时，先完成合法接入流程；在受管理网络中无法联系指定提供商，则向管理员确认支持条件。恢复原设置后再做一次相同请求，确认对照没有影响原有业务。
