代理客户端的 DNS 设置：虚拟地址模式与真实解析模式

两种模式的分歧点：先拿真实 IP，还是先给一个假地址

虚拟地址模式（常称 fake-ip）在程序查询域名时立刻返回一个内部假地址，等程序真正发起连接，内核再根据这个地址反查出域名、按规则决定去向，需要代理的域名交给节点去解析；真实解析模式（常称 redir-host 或真实 IP 模式）则先向上游 DNS 查出真实地址，再用域名和 IP 一起匹配规则。 前者快、按域名分流准确，代价是少数软件不兼容；后者兼容性好，代价是每次访问都要先等一次真实解析。

DNS 在代理中的作用与泄露原理属于基础概念，见 DNS 在代理中起什么作用。本文只讲客户端里的配置差异与调整方法；网页变慢背后的网络成因，归 晚高峰与网络质量影响因素。

两种模式各自发生了什么

以访问一个海外域名为例：

虚拟地址模式
程序查询域名 → 内核立刻返回 198.18.x.x（内部记账）
程序连接 198.18.x.x → 内核查表得知原域名 → 按域名匹配规则
→ 走代理：域名交给节点，由远端解析
→ 直连：内核此时才在本地做真实解析

真实解析模式
程序查询域名 → 内核向上游 DNS 查询 → 返回真实 IP
程序连接真实 IP → 内核用记录的域名和 IP 匹配规则 → 决定去向

可以看到，虚拟地址模式下，走代理的域名在本地根本不会产生真实解析，这正是它响应快、本地 DNS 记录少的原因。

对照表：速度、兼容与隐私

过滤列表：虚拟地址模式的必备配置

虚拟地址模式下，有些域名必须拿到真实地址才能工作，需要放进过滤列表，让它们按真实解析处理。常见的几类：

• 局域网与本机服务：路由器管理页、局域网设备的本地域名；
• 时间同步服务：系统校时依赖它们，拿到假地址会导致校时失败，进而影响节点连接，相关现象见 系统时间不准导致节点连不上；
• 网络认证页面：酒店、校园网的登录页需要真实地址才能弹出；
• 部分游戏与即时通讯服务：它们会校验解析结果，或直接用 IP 建立连接。

配置示意如下，字段名称和默认值以客户端文档为准：

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  fake-ip-filter:
    - "*.lan"
    - "time.example.com"
  nameserver:
    - https://dns.example.net/dns-query

上游服务器的分工

无论哪种模式，客户端都可以给不同用途指定不同的上游 DNS。常见分工有三层：

1. 解析节点域名的服务器：机场节点多以域名形式提供，解析它们不能经过代理本身，否则会形成“要先连上节点才能找到节点”的死循环，部分内核为此单独提供一个字段。
2. 默认服务器：处理大多数直连域名，常用本地网络可靠的服务器。
3. 按域名指定的服务器：为某类域名单独指定上游，例如让局域网域名交给路由器解析。

加密 DNS（如 DoH）可以减少解析结果被中途篡改的机会，但它本身也需要先能连上，首次启动时的可用性要考虑在内。

症状与调整方向

单个网站打不开时的完整排查顺序，见 开了代理但某个网站打不开；网页慢的网络侧原因可参考 DNS 设置为什么会让网页变慢。

怎样确认当前生效的是哪种模式

机场下发的配置通常已经写好了 DNS 段，很多人并不知道自己正在用哪种模式。可以用两个简单的方法判断：

1. 看配置：在客户端的配置查看页面找到 DNS 段，模式字段的取值会直接写明；部分图形界面还会在设置页单独列出“增强模式”选项。
2. 看现象：在开启代理的状态下，用系统自带的命令查询任意一个海外域名，返回结果若落在内部保留网段（常见为 198.18 开头），说明是虚拟地址模式；返回真实的公网地址，则是真实解析模式或 DNS 未被接管。

判断清楚之后再决定是否调整。若配置来自订阅，修改应通过客户端的覆写功能完成，否则下次订阅更新会把改动还原。

改 DNS 前的三个提醒

• 浏览器自己的安全 DNS 会绕开客户端的 DNS 处理，排查 DNS 问题时先确认浏览器设置；
• TUN 模式下 DNS 是否被接管，取决于客户端的劫持设置，没有接管时，本文所述的模式只对经过本地代理端口的连接生效；
• 一次只改一项，改完后用连接日志对照，避免同时更换模式和上游导致无法判断是哪一项起作用。

其他规则与排错主题请回到 规则分流与故障排查专题页。调整 DNS 设置同样应遵守所在地法律法规与网络服务条款。