导读：
针对iOS端Shadowrocket常见的DNS泄漏与污染问题，本文详解DoH加密配置、分流规则优化及全局路由模式选择，提供可落地的国际网络加速解决方案,确保跨境办公与学术资源访问的稳定性。
为什么需要小火箭防DNS污染设置
在跨境办公或学术资源访问场景中，DNS污染是导致连接超时、证书错误的隐形杀手，Shadowrocket（小火箭）作为iOS平台主流代理工具，默认配置下存在DNS明文传输风险，小火箭防DNS污染设置的核心在于阻断本地DNS劫持,通过加密查询与智能分流实现纯净解析。
三步完成基础防护架构
启用DoH加密解析
进入「配置」-「编辑配置」-「DNS」标签，删除默认DNS服务器,添加以下DoH地址：
https://dns.google/dns-query
https://cloudflare-dns.com/dns-query开启「HTTPS查询」开关，关闭「IPv6」避免解析异常，此配置将DNS查询流量纳入TLS加密通道,彻底规避运营商劫持。
配置分流规则防泄漏
在「规则」页面添加以下优先级条目：
DOMAIN-SUFFIX,cn,DIRECT
DOMAIN-KEYWORD,google,PROXY
GEOIP,CN,DIRECT
FINAL,PROXY关键逻辑：国内域名强制直连，国际域名走代理,防止国内DNS服务器污染海外域名解析结果。
全局路由模式选择策略
小火箭提供四种路由模式,小火箭防DNS污染设置需根据场景切换：
- 配置模式：按规则列表自动分流，适合日常跨境办公，平衡速度与隐私
- 代理模式：全局流量走节点，DNS完全由远端解析，防污染效果最强但耗电
- 直连模式：仅代理特定域名，本地DNS暴露风险高，不建议开启
- 场景模式：基于WiFi/蜂窝自动切换规则，适合多网络环境切换
学术访问建议锁定「代理模式」，确保PubMed、IEEE等站点解析纯净。
高阶调优：DNS over TLS备选方案
若DoH连接不稳定，可切换至DoT协议,在DNS设置中添加：
tls://dns.google
tls://1.1.1.1端口保持853，开启「并发查询」提升解析速度，配合「跳过证书验证」关闭,防止中间人攻击。
常见问题排查（FAQ）
现象：开启代理后国内App加载缓慢 原因：DNS查询走代理节点，跨境链路延迟高 解决：在规则顶部插入「GEOIP,CN,DIRECT」并开启「本地DNS映射」
现象：特定网站提示DNS_PROBE_FINISHED_NXDOMAIN 原因：节点DNS缓存污染或GeoDNS定位错误 解决：切换至支持EDNS Client Subnet的节点，或在DNS设置中添加「强制使用远程DNS」
现象：iOS系统级DNS与小火箭冲突 原因：私人中继（Private Relay）或描述文件DNS覆盖 解决：关闭「设置-Apple ID-iCloud-私人中继」，删除VPN描述文件中的DNS配置
节点质量对DNS解析的影响
小火箭防DNS污染设置的效果最终取决于节点质量，低端中转节点常存在DNS缓存投毒，表现为Google Scholar间歇性403，建议选择具备Anycast DNS网络的专线服务商,确保DNS查询与数据流量同路径加密传输。
对于4K流媒体与实时会议场景，优先选择支持BGP优化的IEPL专线节点，其DNS解析延迟通常低于30ms,配合上述设置可实现零泄漏跨境加速。
验证配置有效性
安装完成后访问dnsleaktest.com，确认检测结果仅显示节点所在地区DNS，若出现本地运营商DNS地址，需检查「全局路由」是否误设为「直连」模式,或规则列表存在逻辑漏洞。
定期更新分流规则订阅，建议每月同步GFWList与ChinaIP库,维持小火箭防DNS污染设置的防御时效。
