同事在浏览器输入 1.1.1.1，跳出一个要求输入宽带账号密码的页面，说「完成验证后恢复上网」。他差点就填了。1.1.1.1 是 DNS 地址，不是路由器后台。
它到底是什么
Cloudflare 和 APNIC 提供的公共 DNS 服务，作用是把域名解析成 IP。浏览器访问 http://1.1.1.1 会跳到 one.one.one.one，页面上是服务介绍和 DNS over HTTPS 的配置说明，没有账号体系，也不需要登录。
为什么会出现登录框
三种可能。运营商或公司网关劫持了 80 端口，把任何 http 请求重定向到认证页；连的公共 WiFi 需要 Portal 认证，随便访问哪个 IP 都会弹；访问到了仿冒页面，域名看着像但证书不对。看地址栏的锁标和证书颁发对象，基本能分辨。
正确的配置方式
Windows 在网络适配器属性里改 IPv4 的 DNS，首选 1.1.1.1，备用 1.0.0.1。Mac 在系统设置 > 网络 > DNS。手机在 WiFi 的高级设置里改。想加密查询，用 DoH，地址是 https://cloudflare-dns.com/dns-query，浏览器和部分系统支持直接填。
怎么验证到底生效没
Windows 开命令提示符，执行 nslookup www.qq.com 1.1.1.1，能返回 A 记录就说明这条线路通。Mac 用 dig @1.1.1.1 域名，几十毫秒正常，超过 500 毫秒说明线路绕远了。
加密查询不止网页那一种。DoT 走 853 端口，地址是 one.one.one.one；DoH 走 443。安卓 9 以上在私人 DNS 里填 one.one.one.one，iOS 需要装描述文件。企业防火墙把 853 关掉时，DoT 会直接失败，才回退到 DoH。
改了 DNS 还是打不开网页
网页打不开先 ping 域名，能出 IP 说明解析正常，问题在连接或证书。换了 DNS 后浏览器仍报 DNS_PROBE_FINISHED_NXDOMAIN，清缓存，命令是 ipconfig /flushdns，Chrome 还要在 chrome://net-internals/#dns 里清一次。部分光猫会强制下发运营商 DNS，改完路由器要重新获取地址才生效。
别在陌生页面输密码
宽带账号、支付密码、身份证号，任何一个都不该填在来历不明的验证页。已经填过的，立刻改密码并检查账号登录记录。企业网络里出现这种页面，报给网管，可能是网关被篡改。
记住一件事：DNS 只负责指路，不负责登录。要账号的页面，先怀疑来源。