大多数消费级路由器的原生固件并不支持直接通过域名关键词进行过滤，若需实现精确禁止特定域名解析，通常依赖 DNS 服务配置或刷入支持该功能的第三方固件。

快速处理思路

由于不同品牌路由器命令差异较大，此处提供通用处理逻辑：

1. 登录路由器后台，查找“家长控制”、“访问控制”或“防火墙”选项。
2. 若界面无域名过滤功能，查找 DNS 设置，尝试将 DNS 服务器指向具有过滤功能的公共 DNS 服务。
3. 若为 OpenWrt 或支持 SSH 的路由器，可通过修改 DNSMasq 配置文件实现地址重写。

为什么会这样

路由器控制域名解析的核心在于拦截 DNS 请求。当设备访问网站时，会先向 DNS 服务器查询域名对应的 IP 地址。如果在路由器层面拦截了特定域名的查询请求，或者将特定域名解析指向无效地址（如 0.0.0.0），设备就无法建立连接。

普通家用路由器的“家长控制”往往只基于 MAC 地址限制上网时间或带宽，缺乏深度包检测（DPI）或 DNS 过滤能力，因此无法精确识别域名。只有支持自定义 DNS 规则或运行第三方固件的路由器，才能修改 DNS 响应行为。

分步处理

步骤一：确认固件能力

登录路由器管理后台（通常是 192.168.1.1 或 192.168.0.1），在“高级设置”、“安全中心”或“家长控制”菜单中查找是否有“域名过滤”、“网址屏蔽”或“黑名单”选项。若没有，说明原生固件不支持，需考虑更换固件或使用外部 DNS 服务。

步骤二：配置 DNS 过滤（通用方案）

若路由器支持自定义 DNS 服务器，可将其设置为提供家庭过滤服务的 DNS 地址，例如 AdGuard Family DNS（首选 94.140.14.15，备选 94.140.14.16）或 NextDNS。部分公共 DNS 服务提供家庭保护模式，可自动屏蔽不良域名，但无法自定义特定域名列表。

步骤三：配置 DNSMasq（OpenWrt/高级用户）

若路由器运行 OpenWrt 或支持 dnsmasq 配置，可通过 SSH 登录路由器。建议在 /etc/dnsmasq.conf.add 文件中添加规则，或通过 UCI 命令配置以确保持久化，避免直接修改主配置文件被系统覆盖。

address=/example.com/0.0.0.0
address=/bad-site.com/127.0.0.1

保存后执行 /etc/init.d/dnsmasq restart 重启 DNS 服务使配置生效。这条规则的含义是将指定域名解析到无效地址，从而达到屏蔽效果。

怎么验证是否生效

在连接该路由器的电脑或手机上，打开命令行工具，使用 nslookup 命令测试目标域名：

nslookup example.com

如果配置成功，返回的 Address 应为 0.0.0.0 或 127.0.0.1，或者显示查询超时（Server failed）。若仍返回真实的公网 IP 地址，说明规则未生效或客户端绕过了路由器 DNS。

常见坑

1. 客户端手动修改 DNS

如果被控制设备手动将 DNS 服务器设置为 8.8.8.8 或其他公共 DNS，路由器的过滤规则将失效。建议在路由器防火墙中拦截除路由器自身外的所有 DNS 请求（强制 DNS 转发）。

2. 直接通过 IP 访问

域名屏蔽仅阻止域名解析，若用户直接知道网站的 IP 地址并在浏览器输入 IP，仍可访问。不过大多数现代网站依赖域名验证，直接 IP 访问通常会失败。

3. HTTPS 加密影响

虽然 DNS 被屏蔽，但部分高级技术可能通过 DNS over HTTPS (DoH) 加密查询请求，绕过路由器监控。需在路由器层面识别并拦截 DoH 流量，或禁止设备访问已知 DoH 服务的 IP。

4. 子域名遗漏

屏蔽 example.com 不一定自动屏蔽 www.example.com 或 mail.example.com。配置时需确认规则是否覆盖根域名及所有子域名，或使用通配符规则。