导读：
DNS污染是跨境办公与学术资源访问中的常见网络干扰手段，会导致域名解析结果被篡改、访问延迟增加或特定服务无法连接，本文提供Shadowrocket（小火箭）防DNS污染的极简配置方案,确保你的网络请求在传输层即获得加密保护。
DNS污染机制与风险识别
当你的设备向本地ISP发起域名解析请求时，中间网络设备可能返回错误的IP地址，将流量导向非目标服务器，这种现象在国际网络加速场景中尤为常见，会导致ChatGPT、GitHub等学术与办公平台访问异常，通过配置DNS over HTTPS（DoH）或DNS over TLS（DoT），可将DNS查询封装在加密通道内,有效规避解析环节的数据篡改。
防DNS污染四步配置法
进入DNS设置面板
打开Shadowrocket，点击底部「配置」→ 选择当前使用的配置文件（通常为default.conf）→ 点击「编辑配置」→ 选择「DNS」选项。
配置加密DNS服务器
在「DNS over HTTPS」或「DNS over TLS」栏目中添加以下高可靠性DNS地址：
DoH配置示例：
https://dns.cloudflare.com/dns-query
https://dns.google/dns-query
https://doh.opendns.com/dns-queryDoT配置示例：
tls://dns.google
tls://cloudflare-dns.com建议同时添加本地备用DNS以确保稳定性：
5.5.5
119.29.29.29启用DNS over HTTPS
开启「启用DNS over HTTPS」开关，并勾选「强制使用HTTPS查询」，在「DNS模式」中选择「通过代理查询DNS」，确保DNS请求与数据流量走相同加密通道,防止DNS泄露。
验证配置生效
配置完成后，访问 https://www.dnsleaktest.com/ 进行测试，若显示的DNS服务器为你配置的Cloudflare或Google地址，而非本地运营商DNS,则防护生效。
全局路由模式深度解析
Shadowrocket的「全局路由」设置决定了流量如何分流,直接影响DNS解析行为与访问效率：
- 配置：依据规则文件自动分流，国内直连、跨境流量走代理，适合日常办公场景,兼顾速度与隐私。
- 代理：所有流量强制通过节点服务器，包括DNS查询，适合高敏感学术资源访问,但可能增加延迟。
- 直连：不经过任何代理，直接连接目标服务器,仅用于测试本地网络或访问纯国内资源。
- 场景：根据Wi-Fi/蜂窝网络自动切换规则,适合频繁切换网络环境的移动办公用户。
推荐方案： 普通用户选择「配置」模式，配合高质量的自动分流规则（如ACL4SSR），在「配置」→「规则」中确保GEOIP,CN设置为DIRECT,其余流量走PROXY。
如果你还没有稳定节点，点击下方链接获取高速专线支持，确保DNS请求与数据传输全程加密,避免学术访问过程中的中间人攻击。
常见问题诊断（FAQ）
现象：DNS解析结果异常，特定学术网站返回错误IP
原因： 本地DNS服务器缓存被污染，或运营商劫持了53端口UDP查询。 解决： 在Shadowrocket DNS设置中删除所有传统UDP DNS（如8.8.8.8），仅保留DoH/DoT地址，开启「强制DNS over HTTPS」并重启应用。
现象：开启代理后网页加载缓慢，DNS查询超时
原因： 配置的DoH服务器延迟过高，或当前节点线路质量差导致DNS请求阻塞。
解决： 更换为阿里DNS https://dns.alidns.com/dns-query 作为备用，并在「节点」页面测试延迟,选择延迟低于150ms的IEPL专线节点。
现象：部分应用显示真实地理位置，存在DNS泄露
原因： 应用使用私有DNS解析或绕过系统VPN通道。 解决： 进入「设置」→「高级」→ 开启「代理全部DNS查询」，并在「分流」设置中添加该应用的Bundle ID强制走代理。
教程配置完成后，建议搭配高质量IEPL专线节点使用，点击此处获取2026稳定高速节点订阅，保障国际网络加速体验,实现跨境办公与学术资源访问的无缝衔接。
