DNS 与 Fake-IP

网站打不开、内网域名解析错误，或需要配合 TUN 接管 DNS 时，再调整解析设置。打开“设置 → 域名解析”，先使用 Real DNS 确认上游可用，再考虑 Fake-IP。

在标有“本地修改”的设置页保存时，只修改当前配置，不会把相同修改应用到其他订阅。“恢复配置值”会重新采用该来源的最新 DNS 设置。设置跟随来源或保留本地修改的区别见设置修改。

选择解析模式

模式	作用	适合的起点
停用	停用 Zero DNS，并关闭 DNS 劫持；保留原有 DNS 设置	想恢复由系统解析时
Real DNS	返回目标真实 IP	首次配置、自定义上游、内网域名
Fake-IP	返回合成地址，由同一内核恢复域名后分流	已确认 DNS 与 TUN 能正常工作的场景

停用 DNS 时，运行中的受管 TUN 可能重建并改用系统 DNS，连接可能短暂中断。Fake-IP 地址不是网站真实地址，不能复制给未使用同一内核的其他设备。

设置上游并应用

1. 确认概览选中的配置正确，再打开“域名解析”。
2. 选择 Real DNS，检查默认服务器是否能从当前网络访问。
3. 添加自定义服务器时填写协议、主机、端口，以及需要的 Bootstrap IP 和 TLS 名称。
4. 为代理节点指定能直接访问的解析服务器，避免“必须先连接代理才能解析代理服务器”的循环。
5. 按网络条件选择地址族。只有 IPv4 出口时，可先用 IPv4 only 验证。
6. 点击“保存并应用”，等待结果，再重新访问目标网站。

推荐配置使用 Cloudflare DoH，回退 Google 和 AliDNS；节点解析使用 AliDNS，回退 114DNS。这是点击相应默认/推荐操作时的配置，不会保证这些服务在你的网络可达，也不代表已有订阅会被自动改写。请以表单实际值为准，网络不通时选择可达的上游。

“跟随默认出站”按当前配置的默认路由发送解析请求。DoQ 暂不支持经代理出站；经代理解析时选择兼容的 DoH、DoT 或 UDP。使用系统 DNS 并开启 TUN DNS 劫持还需要内核支持相关自动发现能力，阻止保存时按提示处理。

给内网域名单独解析

1. 添加公司或家庭网络实际使用的 DNS 服务器。
2. 在“DNS 分流”中添加域名或后缀条件，选择该服务器；按从上到下首次命中的顺序排列。
3. 使用 Fake-IP 时，将需要真实地址的内网域名加入“排除域名”。
4. 需要保留原有 VPN/内网路由时，同时在“设置 → 网络 → 绕过规则”添加实际网段。
5. 保存，重新解析域名，再访问内网服务。

这些选项解决不同问题：DNS 分流选择解析服务器；Fake-IP 排除使域名返回真实地址；绕过规则影响连接路径。“拒绝地址网段”会拒收指定的解析结果，不应拿它代替内网绕过，否则可能拒绝正确的私网地址。

开启 DNS 劫持

先保存有效的 Real DNS 或 Fake-IP，再在专业模式“设置 → 流量接管”开启 DNS 劫持并确认 TUN 运行。

劫持处理经过 TUN 的普通 TCP/UDP 53 端口查询，不能解密应用自带的 DoH、DoT、DoQ，也不能保证恢复 ECH 隐藏的主机名。系统代理与 TUN 同时开启时，浏览器可能走本地代理入口；单凭网页能打开不能证明 TUN DNS 劫持生效。

缓存与异常恢复

变更上游或 Fake-IP 参数后，先重新解析并重试目标网站。旧合成地址仍被应用缓存时，可在专业模式诊断工具中检查解析缓存，再删除对应映射或清空缓存。

清空 Fake-IP 映射后，应用手中的旧地址可能暂时失效，需要重新打开连接或重启该应用。不要把反复清空缓存作为固定维护操作，也不要在已有连接期间频繁更换 Fake-IP 地址池。

仍有问题时，查看数据与诊断，记录当前模式、上游和第一条错误，隐藏内网域名及私人地址后再反馈。