iPhone / iPad 仅蜂窝生效
Bot → 客户端接入 → 获取 iOS 描述文件，随后在「VPN 与设备管理」安装。连接 Wi-Fi 后自动停用。
系统要求iOS / iPadOS 17+
DNS 协议DoT 加密
Wi-Fi 影响无 · 自动停用
UDP / QUIC促使回落 TCP
开始之前
使用前提，请先确认
5gpn-NEXT 依赖 KFCHOST 的 5GPN 内网卡链路，以下条件缺一不可。
VPS 仅支持 KFC 网段
网关必须部署在 KFCHOST 的机器 / 网段上，内网卡流量才能到达。其他厂商的 VPS 目前不可用。
仅支持浙江联通卡
5GPN 内网卡目前仅支持浙江联通，需要自行办理；办卡后在 KFCHOST 控制台绑定即可接入。
一个自有域名
用于签发 TLS 证书与手机接入，需要能修改 DNS A 记录；Cloudflare 必须使用灰云直连。
能力
一套清楚、可控的服务端策略
不碰系统定位，不安装根证书，也不解密用户流量；只处理加密 DNS 决策与网关转发。
手机零代理客户端
iOS 装一张系统描述文件，Android 使用系统私人 DNS。没有代理 App、订阅导入或常驻 VPN 图标。
iOS Wi-Fi 零影响
蜂窝 DNS 描述文件只在蜂窝网络启用，连接家庭或公司 Wi-Fi 后自动停用。
国内外有序分流
域名规则、GEOIP 与自定义策略按 first-match 执行；国内手机直连，国外进入指定出口。
DNS 广告拦截
anti-AD 规则、白名单、最近命中与高频域名一体化；规则每 24 小时刷新。
多出口热切换
本机公网或 mihomo 节点均可作为国外出口，切换前先做真实端到端验证。
管理与逐层诊断
Bot 与内网 Web 共用同一套动作；策略、出口、连接、应用层故障可以逐层定位。
可观测拦截
每一次“成功拦截”都有明确含义
只有 NXDOMAIN 已成功写回手机才计数，不把规则命中或断开的连接冒充为成功。
今日 / 7日 / 30日自然日成功次数
最近 100 条域名与命中时间
Top 400按域名聚合排行
0 客户端标识不记录 IP 与正常访问
Bot 与内网 Web 都能查看统计、开关拦截和管理白名单；完整 URL、客户端 IP、正常访问明细不会写入记录。
部署
三步上线
满足前提后，从一台干净的 KFC 机器到手机连通，大约十分钟。
1
准备
KFCHOST 机器（Debian 12+，512MB 起）+ 已绑定的浙江联通 5GPN 卡 + 指向机器的域名。
2
一键安装
脚本自动完成证书、防火墙、systemd 与接入文件生成。
curl -fsSL https://raw.githubusercontent.com/w0ven/5gpn-next/main/install.sh | sudo bash
3
接入与管理
iOS 安装蜂窝 DNS 描述文件，Android 填私人 DNS；需要时再从 Bot 或面板开启广告拦截。
客户端接入
两个平台，一套加密 DNS 架构
iOS 只有一张蜂窝 DNS 描述文件；Android 使用系统私人 DNS。两者共享同一套规则、出口与广告拦截。
Android 系统私人 DNS
设置 → 网络和互联网 → 私人 DNS，选择指定主机名并填入网关域名。无需安装任何应用。
系统要求Android 9+
DNS 协议DoT 加密
Wi-Fi 影响系统级，必要时切回自动
UDP / QUIC促使回落 TCP
FAQ
常见问题
可以用其他厂商的 VPS 吗？
暂时不行。5GPN 内网卡的流量只会送达 KFCHOST 网段，网关必须部署在 KFC 机器上。
移动、电信或其他省份联通卡可以吗？
目前仅支持浙江联通卡，并需自行办理后在 KFCHOST 控制台绑定。
会影响家里的 Wi-Fi 吗？
iOS 描述文件仅在蜂窝数据下生效，连 Wi-Fi 自动停用。Android 私人 DNS 是系统级设置，若家庭网络无法访问网关，请切回「自动」。
广告拦截导致某个 App 白屏怎么办？
在 Bot 或内网面板查看最近命中，把被误杀的域名加入白名单即可立即放行。
它会修改定位或解密 HTTPS 吗？
不会。当前版本不修改系统位置、不生成根证书，也不做 TLS 中间人解密。