Shadowrocket DNS 設定教學：系統 DNS、自訂 DNS 與 DNS over HTTPS

先分清 DNS 解析與 Global Routing 的流量去向

DNS（網域名稱系統）負責將網域名稱轉換為可連線的位址。開啟網頁時，解析成功只是前提，後續還包括規則比對、建立連線、TLS 交握與傳輸回應。網頁無法開啟，不代表問題一定出在 DNS；更換解析器也無法修復所有連線逾時。

這個流程是用來區分排查階段，並不表示所有請求都嚴格依照相同順序處理。快取、提前比對網域規則、遠端解析，以及應用程式內建的解析機制，都可能改變實際流程。尤其是網域規則可能在本機取得 IP 位址前就完成比對。

• Home → Global Routing（全域路由）決定流量採用哪種路由模式，與 DNS 伺服器的選擇不同。
• Config（設定檔）模式會依目前設定檔中的規則分流；Proxy（代理）與 Direct（直連）則用來選擇相應的全域流量出口。
• Scene（情境）用於選擇情境；排查時應記錄目前使用的情境及其實際套用的設定檔，不要將它視為一種解析協定。
• Settings → On Demand（隨選連線）控制何時啟動連線。測試期間若網路條件改變，連線狀態也可能隨之變動，應一併記錄。

如果已有訂閱，更新訂閱通常是更新其中的連線項目，不代表目前 Config 中的 DNS 設定也已更新。排查前請分別記錄所選連線、目前啟用的設定檔與 Global Routing 模式，避免混淆這三種不同狀態。

如何選擇系統 DNS、自訂 DNS 與 DoH

系統 DNS 使用目前系統網路環境提供的解析設定，Wi-Fi 與行動網路可能不同。自訂 DNS 則指定解析入口；若填入一般 DNS 伺服器位址，通常會使用傳統 DNS 傳輸。DNS over HTTPS（透過 HTTPS 傳輸 DNS，簡稱 DoH）改變的是查詢的傳輸方式，不保證回傳的位址速度更快或更適合目前網路。

DoH 端點可能使用明確指定的其他連接埠；「可以瀏覽某個 HTTPS 網站」也無法證明某個 DoH 端點可連線。伺服器網域、連接埠、請求路徑與憑證都必須相符。查詢傳輸加密後，解析端點仍可處理並看到查詢，不能因此推論所有流量都已隱藏。

先從目前的 Config 檢查 DNS，再逐項修改

先前往 Config（設定檔），確認目前啟用的檔案，再查看其中的 [General]（一般設定）與 dns-server（DNS 伺服器）項目。也可以從應用程式內的 Settings → DNS（DNS 設定）檢查相關選項；不要只修改未啟用的設定檔，之後卻誤以為解析器沒有生效。

1. 保留原始值。複製目前的設定檔作為還原副本，並記錄 DNS 欄位、Global Routing 模式及目前網路。若設定檔包含憑證，請妥善保管副本。
2. 確認測試目標。選擇一個已知可正常存取的公開網域，以及一個確實有問題的網域。區域網路名稱應另外測試，不要與公開網域混在一起。
3. 只修改解析設定。在啟用中的設定檔檢查 dns-server，或到相應的 DNS 設定頁面查看既有值。不要同時修改流量出口、規則、IPv6 與 On Demand。
4. 儲存後重新連線。結束目前連線再重新啟用，接著送出新的請求。已開啟的頁面、既有連線與快取命中都不適合作為唯一的驗證依據。
5. 比對失敗階段。確認問題是解析逾時、連線逾時還是憑證錯誤；若結果變差，請還原原設定並重新連線。

以下兩段只示範同一欄位的兩種寫法，不能將兩段重複加到同一個設定檔中。保留實際檔案中的其他必要設定；不要為了套用範例，就用幾行文字覆蓋整份設定檔。

[General]
dns-server = system

[General]
dns-server = https://resolver.example.com/dns-query

若現有設定由遠端更新管理，請先確認更新是否會覆蓋本機修改。測試時應保留副本；更新後重新檢查啟用檔案中的實際值，不要依照上次輸入的內容判斷目前狀態。

如何填寫與核對 DoH 位址及一般 DNS 位址

一般 DNS 位址與 DoH URL 的格式不能任意互換。前者表示伺服器位址，後者還包含協定、主機名稱與請求路徑。在一般 DNS 位址前加上 https://，不會讓該伺服器自動支援 DoH。

以網域名稱表示的 DoH 端點需要引導解析：建立 HTTPS 連線前，必須先取得端點本身的位址。如果無法進行引導解析，就可能遇到「要查詢 DNS，卻得先解析 DNS 伺服器網域」的依賴問題。此時應檢查目前網路的基礎解析與端點連線路徑，不要繼續加入同樣無法建立連線的其他端點。

• 位址可連線，不代表協定可用：能連上某個 IP，不代表其指定連接埠提供 DoH 服務。
• 收到 HTTP 回應，不代表查詢成功：在瀏覽器開啟端點時出現錯誤頁，不能單憑此點判定 DoH 服務失效；以瀏覽器一般方式瀏覽，不等同於符合規格的 DNS 查詢。
• 憑證驗證失敗時應查明原因：檢查裝置時間、主機名稱與網路登入狀態，不要將關閉憑證驗證當作解決方法。

規則、IPv6 與區域網路解析如何影響結果

DNS 回傳位址後，流量仍須經過相應的路由判斷。DOMAIN-SUFFIX（網域後綴比對）依據網域名稱；IP-CIDR（IPv4 位址範圍比對）與 GEOIP（IP 地理位置比對）則依據位址資訊。更換解析器後，回傳的位址可能改變，命中的位址規則也可能因此不同。

[Rule]
DOMAIN-SUFFIX,example.com,DIRECT
IP-CIDR,192.0.2.0/24,DIRECT,no-resolve
GEOIP,CN,DIRECT
FINAL,PROXY

上例只說明語法與比對關係，不是完整設定檔。DIRECT 表示直連，PROXY 表示代理流量出口；實際使用時，請確認策略名稱符合目前設定檔。規則依序由上往下比對，FINAL（最終規則）則處理前面未比對到的流量。位址範圍為文件示例，不應直接套用為日常分流設定。

• no-resolve 表示不為了該位址規則主動進行網域解析；它不是「關閉所有 DNS」，也不會清除既有解析結果。
• 同一網域的 A 與 AAAA 記錄可能指向不同位址。取得 AAAA 記錄只代表解析結果包含 IPv6 位址，不代表目前的 IPv6 連線路徑可用。
• 公司或住家的內部網域可能仰賴本機解析器。改用外部解析器後，公開網站正常、內部網域卻無法解析，是需要另外檢查的情況。
• 部分應用程式會使用自身的加密解析或快取機制。不能因為某個應用程式的行為沒有改變，就認定 Shadowrocket 的 DNS 設定未儲存。

連線到需要網頁登入的 Wi-Fi 時，應先完成網路驗證，再評估是否使用自訂解析。若尚未完成驗證，HTTPS 端點無法連線、憑證異常或所有外部請求逾時，通常是網路存取權限問題，而非 DNS 欄位格式錯誤。

修改後如何驗證：記錄失敗階段，不只確認能否開啟

請在相同網路、相同流量出口及相同路由模式下進行驗證。先用原設定建立基準，再換成候選設定。每次記錄請求時間、目標網域、是否取得位址，以及後續連線結果；不要直接比較快取命中的即時回應與首次建立 DoH 連線所需的時間。

應用程式內的記錄有助於定位問題，但不同請求顯示的欄位不一定相同。記錄中沒有新的 DNS 項目，可能是命中快取，也可能是解析發生在其他位置。應搭配實際請求時間與路由記錄判斷，不能只因為缺少一行記錄就下結論。

1. 針對可重現問題的網域，分別記錄原設定與新設定的結果。
2. 檢查是否取得 A 或 AAAA 記錄，再查看連線最後採用的位址及策略。
3. 若要驗證隱私，請使用自己管理的測試網域與伺服器記錄；不同的解析出口位址不一定代表異常。
4. 完成比對後，只保留已驗證的修改，移除測試值並保留還原副本。

常見問題：設定儲存後仍未生效，該怎麼辦？