# 在 MintFlow 导入 Proton VPN 或 Windscribe 的 WireGuard 配置并使用加密 DNS

Canonical: https://galaxnet.dev/zh-hans/mintflow/articles/wireguard-provider-secure-dns/
Language: zh-Hans

在 iPhone 和 iPad 上将 Proton VPN 或 Windscribe 的 WireGuard 配置导入 MintFlow，再设置 DNS over HTTPS（DoH）或 DNS over TLS（DoT）加密解析。







将服务商的 WireGuard 连接导入 MintFlow，再选择自己的加密 DNS 和分流规则。MintFlow 不销售 VPN 服务器；你需要具备 WireGuard 配置下载权限的服务商账户。

## 下载配置

**Proton VPN：**登录账户，进入 **Downloads → WireGuard configuration**，命名配置，选择平台、选项和服务器，创建后下载 `.conf`。可用服务器与选项取决于套餐。见 [Proton 官方说明](https://protonvpn.com/support/wireguard-configurations)。

**Windscribe：**登录后打开 **My Account → Config Generator → WireGuard**，选择位置、端口和密钥对并下载。手动配置需要付费账户；Build-a-Plan 仅可访问已付费位置。见 [Windscribe 官方说明](https://windscribe.com/knowledge-base/articles/where-do-i-access-my-wireguard-configs)。

文件包含私钥，请妥善保管。服务商要求时，请为另一设备单独生成配置。

## 导入 MintFlow

1. 选中目标 MintFlow 配置，从主页 VPN 控制添加 **WireGuard → 从文件导入**，选择下载的 `.conf`。
2. 检查并保存接口和对等节点，核对地址、端点、密钥及 Allowed IPs。要转发互联网流量，对等节点必须允许所需目标地址。
3. 将该接口选为流量出口。简易模式适合单一出口；下面用规则模式明确指定 DNS 与 IP 默认值。
4. 保存，检查编译诊断并启动 VPN。用应用内连接诊断和公共 IP 检查验证；成功导入定义不代表流量已经经过它。

## 配置加密 DNS

规则模式下保留导入的 VPN 和对等节点定义，再调整以下片段，将 `my-wireguard` 换为实际接口名。本例使用 Cloudflare，但不要求你必须选择它。

```ini
[dns]
app-routing-enabled=true
direct-dns=tls://1.1.1.1
vpn-dns=https://cloudflare-dns.com/dns-query
bootstrap-dns=1.1.1.1,8.8.8.8

[routing]
VPN-DNS-SERVER-DOMAINS,L3VPN,my-wireguard
DNS-FALLBACK,L3VPN,my-wireguard
DEFAULT,L3VPN,my-wireguard
```

`vpn-dns` 为 VPN 所选名称使用 DoH；`VPN-DNS-SERVER-DOMAINS` 让解析器主机名的引导查询经过指定 VPN。`DNS-FALLBACK` 处理未匹配名称，`DEFAULT` 转发普通 IP 流量。请检查已有的更具体规则，它们可能选择其他路径。这是 IPv4 路由示例，不代表服务商官方应用的全部功能，也不代表系统级断网保护。

若改用 DoT，可设 `vpn-dns=tls://1.1.1.1`，IP 上游无需解析器主机名引导。仅填写 `1.1.1.1` 是明文 DNS。在**工具 → DNS 运行时**核对有效上游。

## 隐私改善在哪里？

DoH/DoT 加密 MintFlow 与所选解析器之间的 DNS 查询内容。使用独立解析器时，即使加密连接经过 VPN，VPN 服务商也不会以明文 DNS 收到这些应用查询；解析器仍会收到查询。[Cloudflare 的 DoT 文档](https://developers.cloudflare.com/1.1.1.1/encryption/dns-over-tls/)说明了加密机制。

这样将 DNS 解析与 VPN 服务商分开，但不会让浏览匿名。服务商仍能观察目标 IP、时间、流量大小，以及其他协议元数据可能暴露的主机名。主机名引导是独立查询；应用使用自己的 DNS 时行为也可能不同。

替换服务商 DNS 后，NetShield 或 R.O.B.E.R.T. 等服务商 DNS 过滤可能不再适用。可独立开启 [MintFlow 本地广告过滤](/zh-hans/mintflow/articles/dns-ad-blocking/)。

[内部 DNS](/zh-hans/mintflow/manual/core-components/internal-dns/) · [路由引擎](/zh-hans/mintflow/manual/core-components/routing-engine/)