前言：為什麼需要屏蔽網站？

惡意釣魚網站、成人內容、賭博詐騙、遊戲成癮、廣告追蹤、惡意軟體分發點… 企業需合規、家長需護童、個人需專注。本文整理 5 大主流屏蔽方案，從「單機免費」到「企業級集中管理」，依需求選擇最適合的組合。

方案一：修改 Hosts 檔 — 零成本、單機即時生效

原理

Hosts 檔為本地 DNS 解析表，優先順序高於 DNS 伺服器。將目標網域對應至 127.0.0.1 (本機回環) 或 0.0.0.0 (無效位址)，瀏覽器解析即失敗。

操作步驟 (Windows)

1. Win+R → C:\Windows\System32\drivers\etc → Enter
2. 用**管理員身分**開啟記事本 → 檔案 → 開啟 → 選 hosts (無副檔名)
3. 檔案末尾新增 (每行一筆)：
   127.0.0.1 badsite.com
127.0.0.1 www.badsite.com
0.0.0.0 ads.evil.net
4. 儲存 (若被防毒軟體攔截 → 允許/加入白名單)
5. 驗證：Win+R → cmd → ping badsite.com 應回傳 127.0.0.1

優缺點

優點	缺點
無需額外軟體、立即生效、不影響其他裝置	單機維護、不支援萬用字元 (*.badsite.com)、HTTPS SNI 檢測仍可繞過、大量條目影響解析速度

進階：自動更新維護清單

# PowerShell 腳本：自動合併 StevenBlack/hosts 專案清單
$url = "https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts"
$hostsPath = "$env:SystemRoot\System32\drivers\etc\hosts"
$custom = @"
# 我的自訂封鎖
127.0.0.1  myblock.local
"@
$content = (Invoke-WebRequest -Uri $url).Content
$merged = $custom + "`n" + $content
# 需管理員權限寫入
$merged | Out-File -FilePath $hostsPath -Encoding ascii
Write-Host "Hosts 更新完成，共 $($merged.Split(\"`n\").Count) 行"

方案二：路由器層面封鎖 — 全網裝置一次搞定

適用場景

家庭/中小企業，想讓**所有裝置 (手機、智慧電視、IoT、訪客手機)** 都無法存取特定網站，且不想逐台設定。

主流路由器操作 (以 ASUS/梅林/OpenWrt 為例)

1. 登入路由器後台 (192.168.50.1 / 192.168.1.1)
2. 尋找：網路防火牆 → URL 關鍵字過濾 / 域名過濾 / 家長控制 / AiProtection
3. 新增黑名單域名：badsite.com、*.gambling.com (支援萬用字元視韌體而定)
4. 套用對象：全網段 / 特定 MAC / 特定 IP 範圍 / 依排程 (如兒童時段)
5. 啟用日誌記錄，定期審視誤判

DNS 過濾模式 (更徹底)

路由器 DHCP 發送的 DNS 指向 過濾型 DNS (見方案三)，或路由器內建 DNS Proxy (dnsmasq/Unbound) 載入黑名單區塊檔。優點：攔截 HTTPS SNI、支援萬用字元、裝置無法繞過 (除非手動改 DNS)。

方案三：使用公共過濾型 DNS — 跨裝置、免維護、支援 DoH/DoT

服務	IPv4	IPv6	DoH/DoT	分類	特色
NextDNS	45.90.28.0 / 45.90.30.0	2a07:a8c0:: / 2a07:a8c1::	✅	可自訂清單、日誌分析、每月 30 萬查詢免費	最靈活、支援客製化規則、Apps 可見
AdGuard DNS	94.140.14.14 / 94.140.15.15	2a10:50c0::ad1:ff / 2a10:50c0::ad2:ff	✅	廣告/追蹤/惡意/成人	家族/成人/安全三種模式、開源用戶端
Cloudflare 1.1.1.1 for Families	1.1.1.2 / 1.0.0.2	2606:4700:4700::1112 / ::1002	✅	惡意軟體/成人內容	無日誌、速度極快、企業版付費可自訂
OpenDNS FamilyShield	208.67.222.123 / 208.67.220.123	-	❌	成人內容	老牌、免費、設定簡單
Quad9	9.9.9.9 / 149.112.112.112	2620:fe::fe / 2620:fe::9	✅	威脅情報封鎖	安全導向、不封鎖廣告/成人

設定方式

• 單機：網卡 IPv4/IPv6 DNS 手動指定
• 全網：路由器 DHCP 選項 6/23/114 發送過濾 DNS IP
• 瀏覽器：啟用 DNS over HTTPS (DoH) 指定提供商 (設定 → 隱私與安全 → DNS over HTTPS)
• 行動裝置：iOS/Android 設定 → Wi-Fi → 配置 DNS → 手動輸入；或安裝 NextDNS/AdGuard App 建立 VPN 介面強制導流

方案四：瀏覽器擴充套件 — 精細控制、元素級攔截

擴充套件	核心功能	適用場景
uBlock Origin	廣告/追蹤/惡意/礦機/彈窗/元素攔截、支援自訂規則、極低資源佔用	首選廣告攔截、輕量級
AdGuard 擴充版	廣告/追蹤/社交/煩人元素、隱身模式、家長控制	需要詳細統計、家長控制
BlockSite	網站封鎖、密碼保護、排程、重導向、專注模式	自我管理、戒除特定網站成癮
Malwarebytes Browser Guard	釣魚/詐騙/惡意軟體/追蹤/廣告、信譽評分	安全導向、企業端點整合

方案五：企業級端點/網路防火牆 — 集中策略、稽核追蹤

• 端點 EDR/XDR (Microsoft Defender for Endpoint, CrowdStrike, SentinelOne, Trend Micro Apex One)：
  → Web 內容篩選原則、指標型封鎖 (IoC)、即時威脅情報、裝置合規性綁定
• 網路防火牆 / NGFW (Palo Alto, FortiGate, Check Point, Sophos XG, OPNsense/pfSense)：
  → URL 分類資料庫 (每日更新)、SSL 檢測 (中間人解密)、應用程式識別 (App-ID)、使用者/群組基礎策略 (AD/LDAP/SAML 整合)
• 安全 Web 閘道 (SWG) (Zscaler, Netskope, Cisco Umbrella, Cloudflare Gateway)：
  → 雲端原生、無硬體、全流量代理、CASB/DLP 整合、零信任網路存取 (ZTNA)

方案選擇決策樹

開始
├─ 單機、臨時、技術能力強 → Hosts 檔 (方案一)
├─ 家庭/小辦公、全裝置、想簡單 → 路由器 URL 過濾 / 過濾型 DNS (方案二/三)
├─ 個人瀏覽體驗、元素級攔截、專注模式 → 瀏覽器擴充 (方案四)
├─ 企業合規、集中管理、稽核報表、SSL 檢測、零信任 → NGFW/SWG/EDR (方案五)
└─ 混合需求 → **分層防禦**：
   邊界防火牆 (方案五) → 路由器 DNS 過濾 (方案三) → 端點 EDR (方案五) → 瀏覽器擴充 (方案四)

常見繞過手法與對策

繞過手法	原理	對策
手動設定 DNS (8.8.8.8)	繞過路由器/企業 DNS	防火牆封鎖外部 DNS 埠 (53/853/443)、強制導向內部 DNS
VPN/Proxy/DoH	加密流量繞出	封鎖已知 VPN IP/埠、啟用 SSL 檢測、DoH 封鎖 (Canary domain: use-application-dns.net)
IP 直連	繞過域名解析	防火牆 IP 信譽封鎖、地理封鎖、行為分析
瀏覽器攜帶式版/USB 系統	不受主機策略限制	AppLocker/WDAC 限制執行檔、USB 存取控制、裝置合規檢查

結語：分層防禦才是王道

單一屏蔽方案都有繞過空間。**邊界 (防火牆/SWG) + 網路層 (路由器 DNS) + 端點 (EDR/瀏覽器擴充) + 主機 (Hosts) 四層疊加**，並配合日誌審計、誤判回報、定期演練，才能在「保護安全」與「不阻礙業務」間取得平衡。個人用戶建議：NextDNS (方案三) + uBlock Origin (方案四) 即可覆蓋 95% 需求，零成本、跨平台、易維護。