Shadowrocket DNS 設定教學：系統 DNS、自訂 DNS 與 DNS over HTTPS

1. 先分清 DNS 解析與連線分流

DNS 的工作是將網域名稱解析為 IP 位址。例如造訪 www.example.com 時，解析器可能會回傳 IPv4 的 A 記錄或 IPv6 的 AAAA 記錄。取得位址後，用戶端還需要依照目前的路由模式與規則決定如何建立連線。因此，「解析成功」和「網頁可以開啟」是兩個不同的檢查階段。

這個流程說明常見的網域解析檢查順序，不代表每個請求都會重新查詢 DNS。應用程式快取、用戶端快取，以及由遠端處理網域名稱的連線方式，都可能改變實際查詢位置。網域規則也可能在本機解析前就完成比對，因此 DNS 並非所有規則執行前必經的獨立步驟。

在 Home 查看 Global Routing 時，請將模式與解析設定分開理解：Config 使用目前設定中的規則，Proxy 與 Direct 會改變整體連線策略，Scene 則依情境設定運作。切換模式無法取代修正錯誤的解析器位址；設定 DoH，也不代表所有網路連線都會經過代理。

• DOMAIN-SUFFIX,example.com,DIRECT：依網域後綴比對，不以特定 IP 位址作為判斷依據。
• IP-CIDR,192.168.0.0/16,DIRECT：依目標位址網段比對；是否需要解析，還要視請求形式與規則參數而定。
• GEOIP,CN,DIRECT：依目標 IP 在地理資料庫中的歸屬比對，不能只憑網域名稱判斷。
• FINAL,PROXY：前面的規則都未比對時使用的最終策略，並非 DNS 伺服器設定。

2. 如何選擇三種 DNS 方式

「系統 DNS」和「自訂 DNS」主要決定使用哪個解析器；「DNS over HTTPS」則還規定查詢的傳輸方式。三者並非完全屬於同一層面的分類：手動指定 DoH 端點，本身也屬於自訂解析設定。選擇時，先確認解析目標與網路連線能力，再考慮傳輸加密。

DoH 加密的是用戶端與 DoH 解析器之間的查詢傳輸，解析器仍須處理網域查詢。它不會改變網站本身的 HTTPS 行為，也不保證瀏覽速度更快。新增 TLS 連線可能讓首次查詢耗時增加；連線重複使用與快取則會影響後續結果，不能只憑一次網頁載入判斷優劣。

3. 在 Config 中修改 dns-server

修改前，先在 Config 找到目前使用的設定並保留副本，再進入該設定的文字編輯畫面。目標是 [General] 區段中的 dns-server 欄位，而不是 Home 中某個連線項目的 Address。請依目前介面提供的選單操作，避免將伺服器位址誤認為 DNS 位址而修改。

1. 在 Config 確認目前選用的設定名稱，記下原本的 dns-server 值；若原本沒有這個欄位，也請記錄下來。
2. 開啟設定文字，找到現有的 [General] 區段；若同一份設定已有此區段，請直接修改原有內容，不要重複新增整個區段。
3. 只保留一個本次測試需要的 dns-server 設定，儲存後重新選用這份設定。
4. 回到 Home，將 Global Routing 設為 Config 以測試設定規則；若可接受短暫中斷網路，請先中斷再重新連線，讓修改後的設定重新載入。
5. 重新造訪固定的測試網域，記錄解析與連線狀況；若失敗，請先還原原值，不要連續加入多個解析器。

系統 DNS：作為第一輪測試基準

[General]
dns-server = system

system 表示使用系統 DNS 資訊，但不保證一定由路由器直接回覆，也不代表其他 App 的解析路徑完全相同。切換網路後應重新驗證，尤其是需要先完成網路登入的 Wi-Fi。

自訂傳統 DNS：使用已確認可連線的位址

[General]
dns-server = 192.168.1.1

192.168.1.1 是區域網路範例位址，只有在該裝置確實提供 DNS 服務且目前網路可連線時才有效。閘道位址不一定就是 DNS 位址；也不能將家用網路中的私有位址直接沿用到行動網路。實際填入的值應參考既有網路或解析服務的設定說明。

DoH：填入完整端點，而非網站首頁

[General]
dns-server = https://dns.example.com/dns-query

上方的 dns.example.com 是用來說明格式的虛構值，不能直接用於連線。請替換為已確認可用的完整 DoH 端點；路徑不一定是 /dns-query，應以該解析服務的說明為準。一般 HTTPS 網頁即使可以開啟，也不代表它能處理 DNS 查詢。

4. 同時檢查端點、網路與連線條件

DoH 端點通常以網域名稱表示，建立 HTTPS 連線前可能需要先解析端點本身的位址。如果無法完成初始解析，查詢甚至還沒送達 DoH 服務就會失敗。這類問題不能只靠在清單中加入更多網域形式的端點來解決，還要檢查端點的初始解析、路由與目前網路的連線能力。

不要透過關閉憑證驗證來處理 DoH 失敗。請先檢查完整位址、裝置日期與時間，以及網路是否需要登入。若「只有開啟 Shadowrocket 時才會失敗」，也應一併檢查 Config 中的規則與端點連線條件，避免端點被導向無法連線的路徑。

• 若區域網路內部名稱依賴內部解析器，直接改用外部解析器可能會得到查無此記錄的回覆。
• AAAA 記錄有回覆，不代表目前的 IPv6 連線路徑一定可用；解析結果與連線能力必須分開驗證。
• 如果 App 使用自己的 DoH 或長時間快取，修改用戶端 DNS 後，可能看不到相應的新查詢。
• 部分請求會由遠端處理網域名稱，不能只因本機記錄中沒有查詢紀錄，就判定設定失效。

5. 依固定順序驗證 DNS 是否生效

驗證時請維持相同的網路、規則與連線項目。先使用系統 DNS 建立基準紀錄，再改用一個自訂解析器；每一輪都使用相同的目標網域。不要同時更新現有訂閱、切換網路並修改 DNS，否則即使恢復連線，也無法找出真正生效的變更。

1. 記錄基準：記下網路類型、啟用的設定、Global Routing 模式、測試網域，以及修改前是解析逾時還是連線逾時。
2. 確認重新載入：儲存後重新選用設定並重新連線；若 App 仍沿用舊連線，請完全關閉 App 後再開啟測試。
3. 檢查解析階段：查看可用的診斷或記錄資訊，尋找相同網域的查詢、回覆或逾時紀錄。若已有快取，不一定會產生新查詢，請勿因此直接判定失敗。
4. 檢查連線階段：若已取得目標 IP，之後建立連線卻逾時，請繼續檢查比對策略、目標連接埠與現有連線項目是否可用。
5. 重複比較：在相同條件下重複造訪數次，區分首次查詢與快取命中。偶然成功一次，不應作為長期穩定的依據。

6. DNS 設定常見問題