导读：
DNS污染会导致国际网络加速时域名解析异常，本文详解Shadowrocket的DNS配置策略，通过全局路由模式选择与DoH加密设置,彻底解决跨境办公中的解析劫持问题。
DNS污染的典型表现
当使用小火箭进行学术资源访问时，若出现网页跳转至本地运营商页面、HTTPS证书警告或特定域名无法解析，即遭遇DNS劫持，运营商通过篡改UDP 53端口返回结果,将目标域名指向错误IP。
小火箭防止DNS教程：三步配置法
启用DoH加密解析
进入Shadowrocket设置 → DNS → 添加DNS服务器：
https://dns.google/dns-query
https://cloudflare-dns.com/dns-query删除默认的UDP DNS条目，仅保留HTTPS协议地址，DoH通过TLS加密传输查询请求,绕过本地DNS劫持。
配置全局路由模式
点击首页"全局路由"选项,理解四种工作模式差异：
- 配置模式：根据规则列表自动分流，国内直连/境外代理，适合日常跨境办公
- 代理模式：全部流量走节点，DNS查询由远端服务器处理，防污染效果最强
- 直连模式：仅使用本地网络，不经过加密通道，存在DNS泄露风险
- 场景模式：按WiFi/蜂窝网络自动切换规则，适合多环境切换用户
防污染建议：首次配置选择"代理模式"验证DNS是否纯净，稳定后切换"配置模式"并开启"DNS over HTTPS"选项。
设置域名拦截策略
在配置文件中添加：
[Rule]
DOMAIN-SUFFIX,cn,DIRECT
DOMAIN-KEYWORD,google,PROXY
DOMAIN-SUFFIX,local,DIRECT确保.cn域名走本地DNS解析，境外学术站点强制通过代理节点查询,避免污染DNS缓存混入解析结果。
全局路由深度对比
| 模式 | DNS查询路径 | 防污染能力 | 适用场景 |
|---|---|---|---|
| 配置 | 规则判定后分流 | 中等 | 4K流媒体/日常浏览 |
| 代理 | 全走远端服务器 | 最强 | 敏感学术数据库访问 |
| 直连 | 本地运营商DNS | 无 | 仅国内网络 |
| 场景 | 按网络环境切换 | 依赖设定 | 多地点移动办公 |
常见问题排查
现象：开启小火箭后特定网站仍显示"无法访问此网站" 原因：本地DNS缓存未刷新，或配置文件规则遗漏该域名 解决方法：设置 → 高级 → 清除DNS缓存；检查规则是否包含该域名后缀
现象：学术期刊页面加载缓慢，图片显示不全
原因：配置模式下部分CDN域名被误判为直连，遭遇SNI阻断
解决方法：全局路由切换至代理模式，或在规则中添加DOMAIN-SUFFIX,cloudfront.net,PROXY
现象：iOS系统更新提示"无法验证服务器身份"
原因：苹果更新域名被强制代理，证书链验证失败
解决方法：规则中添加DOMAIN-SUFFIX,apple.com,DIRECT与DOMAIN-SUFFIX,mzstatic.com,DIRECT
节点选择与优化建议
完成小火箭防止DNS污染教程的基础配置后，节点质量决定最终体验，建议优先选择支持BGP Anycast的专线服务商，其DNS解析延迟通常低于50ms，对于需要频繁访问IEEE、Nature等学术平台的用户，配备 residential IP 的静态专线能有效避免验证码拦截。
定期在Shadowrocket中执行"连通性测试"，剔除响应时间超过200ms的节点，稳定的DNS加密配合优质线路,才能实现真正的无感跨境办公。
