代理 DNS 设置：为什么域名解析也会出问题

DNS 在"代理链路"里的位置，用时间线看一遍

当你在浏览器里输入一个网址，实际上发生了这样一串事情：浏览器要先知道这个域名对应的 IP，于是发起一次域名解析；客户端拦截了这次解析请求，按 DNS 设置决定交给谁、怎么解析；得到结果之后，客户端再根据规则判断这个连接该走代理还是直连；如果走代理，请求被协议封装发往节点；节点再用自己的解析去访问目标网站。可以看到，域名解析发生在规则判断之前，而且可能发生两次——一次在客户端（用于分流），一次在节点（用于访问目标）。

这个时间线解释了很多现象：为什么 DNS 设置会影响规则是否命中；为什么 fake-ip 能够减少本地解析、提高分流效率；为什么解析被污染时，会出现"打不开某些网站但节点正常"的情况。把 DNS 看成链路上的第一环，而不是附属的小设置，排错时你就会优先检查它。

为什么 DNS 会影响代理

访问一个网站前要先把域名解析成 IP。如果解析请求没有走代理，本地 DNS 可能返回错误结果（污染），也可能让运营商看到你访问了哪些域名（泄露）。分流规则又常常依赖域名或 IP 来判断，所以 DNS 与分流是绑在一起的。

两种常见的 DNS 增强模式

Mihomo 风格的 DNS 配置示例

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  nameserver:
    - <国内 DNS 的 DoH 地址>
  fallback:
    - <海外 DNS 的 DoH 地址>
  fake-ip-filter:
    - "*.lan"

nameserver

默认使用的 DNS 服务器。

fallback

备用 DNS，常用来对比或兜底。

fake-ip-filter

不使用假 IP 的域名，常用于局域网或需要真实 IP 的服务。

检查是不是 DNS 的问题

1. 节点延迟正常，但部分网站打不开：怀疑解析。
2. 换成 IP 直接访问能通：基本确认是 DNS 问题。
3. 在客户端里切换 DNS 模式或服务器，再测一次。
4. 用 DNS 泄露检测网页确认解析请求是否走了代理，见代理 DNS 泄露检测。

nameserver-policy：按域名指定 DNS

在 DNS 配置里，nameserver-policy 允许你为某类域名指定专门的 DNS 服务器。比如，把国内域名交给国内的 DNS 解析、把其他域名交给海外的 DNS，可以兼顾解析速度与结果可靠性。它的价值在于"不同域名用不同解析路径"，而不是笼统地把所有请求都发给同一个服务器。写策略时，匹配条件常用域名后缀或 geosite 分类；匹配不到的域名，仍然使用默认的 nameserver。

dns:
  nameserver-policy:
    "geosite:cn":
      - <国内 DNS 的 DoH 地址>
    "+.example.com":
      - <指定的 DNS 地址>

DoH 与 DoT：加密的 DNS 请求

传统的 DNS 请求是明文的，链路上的设备可以看到你查询了哪些域名，也可能篡改结果。DoH 是把 DNS 请求封装在 HTTPS 里，DoT 是封装在 TLS 里，二者都让请求内容在传输中被加密。配置里选用其中一种，就能降低请求被窥探或篡改的可能。需要注意的是，加密的只是"从你到 DNS 服务器"这一段，DNS 服务器本身仍然知道你查询了什么，所以选择可信的服务器同样重要。

IPv6 对 DNS 的影响

很多网络同时支持 IPv4 和 IPv6。如果代理环境只处理了其中一种，就可能出现"解析到了 IPv6 地址，但流量没有走代理"的情况，表现为部分网站时通时断。排查时可以先在客户端里把 IPv6 相关的选项关掉，看问题是否消失；如果消失，说明是 IPv6 路径没有被代理接管，需要在配置里补齐，或者暂时只使用 IPv4。

看日志，快速判断是不是 DNS 的问题

• 日志里反复出现解析失败、超时之类的字样，且集中在某几个域名：多半是这些域名的解析路径有问题。
• 日志里解析成功，但后续连接失败：问题更可能在节点或规则，不在 DNS。
• 同一个域名有时成功有时失败：可能是多个 DNS 服务器给出了不一致的结果，需要检查 fallback 与过滤设置。