针对iOS用户在国际网络加速中常遇到的DNS劫持问题，本文提供一套经过长期验证的小火箭防DNS污染设置方案，涵盖DoH配置与路由模式选择,确保学术资源访问的稳定性与安全性。
DNS污染的典型表现
在跨境办公或学术资源访问场景中，DNS污染常表现为：网站IP解析错误、特定域名间歇性无法访问、或返回虚假IP地址，传统VPN仅加密流量，若DNS请求被劫持，仍会导致连接失败，小火箭（Shadowrocket）通过支持DNS over HTTPS (DoH) 和自定义DNS路由,能有效规避此类问题。
小火箭防DNS污染设置步骤
配置DNS over HTTPS
进入设置 > DNS，选择DoH/DoT模式,推荐配置以下安全DNS服务器：
https://doh.dns.sb/dns-query
https://dns.google/dns-query
https://cloudflare-dns.com/dns-query在DNS over HTTPS选项中填入上述地址，并开启阻止IPv6选项,防止IPv6泄漏导致的DNS旁路。
设置DNS分流规则
在配置 > 编辑配置 > DNS中，添加国内直连域名使用本地DNS（如223.5.5.5），国际域名使用DoH服务器,关键参数如下：
dns-direct-system: false
dns-fallback-system: false
dns-direct-fallback: false此配置确保所有DNS请求均通过加密通道,避免本地ISP污染。
调整全局路由模式
进入全局路由设置，这是小火箭防DNS污染设置的核心环节,根据使用场景选择以下四种模式之一。
全局路由四种模式解析
配置模式（Config）
依赖规则文件自动分流，适合大多数用户，规则列表中需包含DOMAIN-SUFFIX类规则，确保DNS请求跟随路由逻辑，学术资源访问建议开启域名嗅探（Sniffer）,防止DNS解析与SNI不一致。
代理模式（Proxy） 所有流量（含DNS）强制走代理节点，适用于公共Wi-Fi环境或高度敏感场景，但会增加节点负载，建议搭配高端专线节点使用,避免普通中转节点因DNS查询过多触发风控。
直连模式（Direct） DNS请求直接发往本地运营商，仅建议用于纯国内网络环境，跨境办公场景下慎用,极易遭受DNS劫持。
场景模式（Scene） 根据Wi-Fi/蜂窝网络自动切换规则，可设置"公司Wi-Fi使用直连，蜂窝网络使用代理"的自动化策略,实现智能DNS路由。
常见问题排查
现象：配置DoH后，部分网站加载速度变慢
原因：DoH服务器物理距离过远，或节点不支持EDNS Client Subnet
解决方法：在DNS设置中添加备用DNS（如tls://8.8.4.4），并开启并发查询选项,小火箭会自动选择响应最快的DNS服务器。
现象：国内App提示网络异常或图片加载失败
原因：DNS分流规则过于激进，将国内CDN域名也路由至海外DNS
解决方法：在规则列表顶部添加GEOIP,CN,DIRECT，并确保直连域名使用阿里DNS（223.5.5.5）或腾讯DNS（119.29.29.29）。
现象：开启防DNS污染后，偶尔出现断流 原因：DoH连接超时或节点UDP转发受限 解决方法：在设置 > 传输中开启TCP快速打开，并将DNS超时时间设置为3秒，若使用普通中转节点，建议关闭IPv6解析功能。
节点质量与DNS解析的关系
小火箭防DNS污染设置的效果，很大程度上依赖节点服务商的基础设施，优质节点通常具备Anycast DNS加速，能自动将DNS请求路由至最近的解析服务器，对于需要4K流媒体或低延迟游戏的用户，建议选择支持BGP线路的专线节点，这类节点通常配备私有DNS缓存,可显著降低解析延迟。
在学术资源访问场景中，部分机构IP会对商业DNS进行限速，此时可在小火箭的Hosts模块中手动添加目标域名与IP的映射，绕过DNS解析环节,实现零延迟连接。
长期维护建议
DNS污染策略会随网络环境变化而更新，建议每月检查一次规则文件更新，对于高频使用的跨境办公设备，可导出当前配置为备份文件，避免误操作导致设置丢失，稳定的网络体验源于正确的工具配置与可靠的节点资源,两者缺一不可。
