Shadowrocket DNS 設定：系統 DNS、自訂 DNS 與 DNS over HTTPS 怎麼選

先分清 DNS 解析與代理連線

DNS 會將網域名稱轉換為 IP 位址，例如查詢 A 記錄取得 IPv4 位址，查詢 AAAA 記錄取得 IPv6 位址。解析成功只代表取得回應，不表示目標連接埠可連線，也不代表代理連線已建立。反過來說，Home 中的伺服器測試有回應，也不能證明所有網站的網域名稱都能正確解析。

這個流程用於理解各步驟的依賴關係，不代表所有請求都必須先在本機完成解析。DOMAIN-SUFFIX 可依網域名稱比對；IP-CIDR、GEOIP 等規則在需要位址資訊時，可能會觸發解析。網域名稱請求交由代理處理時，是否由遠端解析，還取決於協定、設定及實際連線路徑。

三種 DNS 方式的路徑與取捨

「自訂 DNS」是指手動指定解析器，不等同於某一種加密協定。本文將傳統 IP 位址形式的 DNS 與 DNS over HTTPS 分開比較，方便判斷應在哪裡填入位址，以及發生問題時要先檢查哪一段網路路徑。

系統 DNS 通常適合需要使用內部網域的網路。辦公室系統、印表機或家用儲存裝置可能依賴路由器提供的解析器；直接換成外部解析器後，公共網站仍可開啟，但內部名稱可能回覆不存在或錯誤位址。這不是代理協定失效，而是解析器沒有相應的內部記錄。

DNS over HTTPS 也不一定比較快。首次連線可能需要解析端點網域名稱、建立 TCP 連線及完成 TLS 交握；後續請求則可能重用連線與快取。應在相同網路、相同目標網域下觀察解析錯誤與存取結果，不要只因連接埠是 443 就認定連線穩定。

Settings 與 Config：確認生效位置後再修改

在 iPhone / iPad 上，先到 Home 查看 Global Routing；測試規則時選擇 Config，再到 Config 確認目前啟用的設定檔。接著前往 Settings → DNS 檢查全域 DNS 設定，同時確認目前設定檔中的 DNS 項目。設定檔可能包含自己的解析設定，因此不能只看 Settings 裡的單一位址，就判定最終行為。

1. 記錄目前基準。記下目前網路、Global Routing、啟用中的 Config、原有 DNS 設定，以及發生問題的網域名稱。先確認在原設定下能否重現問題。
2. 備份目前設定。在 Config 中保留原設定檔的副本。檢查設定文字的 [General] 區段是否已有 dns-server，避免重複新增項目。
3. 一次只修改一處。要測試系統 DNS，就還原相應的系統解析設定；要測試自訂方式，則填入自己已有的解析器位址或完整的 DNS over HTTPS 端點。
4. 重新建立連線。儲存後確認仍選取正確的設定檔，再關閉並重新開啟 Home 的連線開關。重新請求目標網域名稱，搭配記錄與存取結果判斷設定是否生效。
5. 最後再恢復自動連線。測試期間檢查 Settings → On Demand，避免自動連線改變測試狀態；確認結果後，再恢復原本的隨需連線設定。

以下兩張卡片僅用來說明欄位格式。192.0.2.53 是文件範例位址，resolver.example 是範例網域，兩者都不是可用的解析服務，不能直接用來連線。實際設定值應來自你已獲准使用的網路設定；本文不推薦任何解析服務或線路服務。

若設定由自己使用的訂閱或遠端檔案維護，更新時可能會覆蓋本機修改。更新前先保留差異，更新後重新檢查目前選取的 Config 與 DNS 項目。伺服器訂閱更新與設定檔更新也不是同一回事：前者更新伺服器項目，不能據此判定 DNS 設定已變更。

DNS 如何搭配 Global Routing 與規則順序

Global Routing 中的 Proxy、Direct、Config、Scene 會決定不同的路由方式。排查規則時使用 Config；Proxy 與 Direct 可用來比對不同路徑，但切換後就不能再以相同現象證明原規則命中了哪一條。使用 Scene 時，也要確認場景中實際生效的設定。

[Rule]
DOMAIN-SUFFIX,example.com,PROXY
IP-CIDR,192.0.2.0/24,DIRECT,no-resolve
GEOIP,CN,DIRECT
FINAL,PROXY

這段規則用來說明語法，不是通用的分流設定。example.com 和 192.0.2.0/24 都是文件範例；在目前設定已正確套用相應策略的前提下，規則會依順序檢查。不要為了套用範例而覆蓋現有的完整規則。

• DOMAIN-SUFFIX：依網域名稱後綴比對，適用於明確知道目標網域的情況；若已符合前面的這條規則，就不必再依賴後面的 GEOIP 來決定策略。
• IP-CIDR：依 IP 位址網段比對。範例中的 no-resolve 表示不會為比對這條規則而額外觸發網域解析，不代表整個連線永遠不會使用 DNS。
• GEOIP：依據目標 IP 的地理資料庫分類。解析結果的位址不同，後續分類結果也可能隨之改變；資料庫分類不等於實際網路延遲。
• FINAL：前面的規則都未命中時，選擇最終策略。它無法修復已失敗的 DNS 查詢，也無法修正無法連線的伺服器位址。

此外，若代理伺服器本身使用網域名稱，也需要一條可用的初始解析路徑。如果 DNS over HTTPS 端點設定為走代理，而該代理伺服器的網域名稱又依賴這個尚未連通的端點，就可能形成啟動依賴。請分別確認伺服器網域名稱與解析端點能否在建立連線前完成解析，不能只靠反覆切換協定來解決。

依網路與錯誤階段排查 DNS 故障

測試時先固定伺服器與 Config，只更改 DNS 方式。分別記錄 Wi-Fi 與行動網路下的結果，不要同時更換伺服器、規則及解析器。網頁無法開啟不一定是 DNS 階段出錯：取得位址後，仍可能在目標連線、TLS 或應用程式層發生問題。

NXDOMAIN 表示解析器回覆該名稱不存在；逾時則表示等待期限內未取得可用回應，兩者不能混為一談。若只在某個網路發生逾時，先檢查該網路到解析器的連線路徑；若公共網域正常、內部名稱持續回覆 NXDOMAIN，先確認是否選錯解析器。

也不要只用「在瀏覽器直接輸入 IP」作為唯一驗證方式。許多 HTTPS 網站需要透過網域名稱完成憑證驗證與虛擬主機選擇，直接連線 IP 失敗不能證明路由無法連線。請搭配請求記錄中的解析結果、目標位址與連線階段，區分 DNS 錯誤與 TLS 錯誤。

DNS 設定常見問題與還原方式

最後保留一份精簡的排障記錄即可：網路類型、Global Routing、目前的 Config、DNS 方式、目標網域名稱、錯誤階段及還原操作。需要提供記錄時，請移除自己使用的訂閱中的令牌、驗證資訊及內部網域名稱。本網站不提供、不銷售，也不推薦節點或訂閱；本文僅說明如何檢查自己已有的設定。

• 公共網站與內部網域都正常：保留目前設定，不必一律改用某一種 DNS。
• 需要固定解析器：先確認位址可連線、使用權限及內部網域需求，再進行修改。
• 需要加密查詢傳輸：確認完整的 DNS over HTTPS 端點、TLS 與初始解析路徑。
• 修改後發生問題：還原備份、重新連線，再逐項測試，不要疊加更多設定。