Shadowrocket用户常遭遇DNS污染导致特定网站无法访问，本文提供完整的防DNS污染配置方案，详解DoH加密设置与全局路由模式选择,解决学术资源访问中的域名解析异常问题。
DNS污染的典型表现
使用小火箭进行国际网络加速时，若出现以下症状，基本可判定为DNS污染：浏览器显示"无法访问此网站"但Ping命令返回正常IP；部分App内容加载不全；特定学术资源站点间歇性抽风，运营商通过劫持UDP 53端口的DNS查询请求，返回错误解析结果,导致流量实际未进入加密隧道。
小火箭防止DNS污染教程：三步配置法
启用加密DNS解析
进入Shadowrocket设置 → DNS → 勾选"启用DNS over HTTPS",推荐配置：
主DNS: https://1.1.1.1/dns-query
备用DNS: https://8.8.8.8/dns-query
备用DNS: https://dns.alidns.com/dns-query关闭IPv6解析
在DNS设置中关闭"IPv6"开关，国内运营商IPv6 DNS污染更为严重,且多数跨境办公场景下IPv6并非必需。
配置Fallback机制
添加fallback-dns参数,当主DNS解析失败时自动切换：
fallback-dns: https://9.9.9.9/dns-query全局路由模式选择策略
小火箭的"全局路由"设置直接影响DNS请求走向,四个选项差异显著：
配置模式
按订阅规则自动分流，DNS请求先发送至本地，再根据规则决定是否走代理，适合日常使用，但需确保规则文件包含完整的域名列表,否则易出现DNS泄漏。
代理模式
所有DNS查询强制通过代理节点转发，彻底避免本地DNS污染，但会增加轻微延迟,适合处理高度敏感的学术资源访问场景。
直连模式
DNS请求直接走本地运营商线路，此模式下若未启用DoH加密，极易遭受污染,仅建议在确认DNS已加密的情况下测试使用。
场景模式
根据网络环境自动切换，可设置"WiFi下使用配置，蜂窝数据使用代理"等策略,兼顾速度与隐私。
进阶：防止DNS泄漏的代码配置
在配置文件[General]段落下添加：
dns-server = https://1.1.1.1/dns-query, https://8.8.8.8/dns-query
fallback-dns = https://9.9.9.9/dns-query
dns-fallback-system = false
dns-direct-system = false此配置强制所有DNS查询通过HTTPS加密通道,阻断运营商劫持。
常见问题排查（FAQ）
现象：开启小火箭后特定App提示"网络连接错误"，Safari却能正常浏览 原因：该App使用私有DNS解析或硬编码DNS服务器，绕过小火箭的DNS设置 解决方法：在Shadowrocket的"分组"设置中，为该App单独配置"代理"模式，强制其流量全部进入隧道
现象：访问学术数据库时间歇性出现DNS_PROBE_FINISHED_NXDOMAIN错误
原因：节点服务器DNS缓存过期或上游DNS被污染
解决方法：切换至支持DNS over TLS的节点服务商，或在配置中添加dns-cache-ttl: 300缩短缓存时间
现象：配置DoH后网速明显下降
原因：所选DNS服务器物理距离过远，TLS握手延迟高
解决方法：将DNS服务器更换为阿里云DoH（https://dns.alidns.com/dns-query）或腾讯云DoH，降低跨境解析延迟
节点质量与解析稳定性的关联
即便完成上述小火箭防止DNS污染教程的配置，若节点本身存在DNS劫持或上游使用被污染的递归解析器，仍会导致访问异常，建议选择提供独立DNS解析服务的节点商,确保其上游采用CleanBrowsing或Quad9等无日志DNS。
对于需要稳定进行跨境办公的用户，优先考虑支持Anycast DNS网络的专线节点，这类基础设施能有效抵御区域性DNS污染攻击,保障学术资源访问的连续性。
