导读：
针对Shadowrocket用户常遇到的DNS污染问题，本文提供从基础配置到高级优化的完整解决方案，详解全局路由四种模式差异,助你实现安全稳定的国际网络加速体验。
为什么需要防止DNS污染
在使用小火箭进行国际网络加速时，DNS请求往往是最容易被忽视的泄露点，即使流量经过加密隧道，如果DNS查询被劫持或污染，依然会导致目标网站无法访问、访问速度缓慢，甚至暴露你的真实访问意图,小火箭防止DNS污染教程的核心在于构建从客户端到远程服务器的完整DNS加密链路。
三步完成防污染配置
配置加密DNS服务器
进入小火箭主界面，点击底部「配置」→ 选择当前使用的配置文件点击「i」图标 → 找到「DNS」选项：
首选DNS：1.1.1.1
备用DNS：8.8.8.8
DNS over HTTPS：https://dns.cloudflare.com/dns-query建议开启「启用IPv6」关闭选项，避免IPv6 DNS泄露，对于学术资源访问需求,可将DNS改为支持DoH的公共DNS服务。
理解全局路由四种模式
在「全局路由」设置中,四个选项决定了DNS解析的走向：
配置（Config）模式 按规则列表分流，国内域名走本地DNS，国际域名走远程DNS，适合日常跨境办公需求,平衡速度与隐私。
代理（Proxy）模式 所有DNS请求强制通过代理服务器解析，最安全的防污染方案，但可能增加延迟,适合处理敏感DNS查询。
直连（Direct）模式 所有DNS使用本地运营商DNS，速度最快但易受污染,仅建议用于纯国内网络环境测试。
场景（Scene）模式 根据WiFi/蜂窝网络自动切换规则，建议搭配「自动切换」功能，在公司网络使用代理模式,回家使用配置模式。
启用高级防泄露功能
在「设置」→「高级」中开启：
- 「强制使用远程DNS」：确保所有DNS请求走代理隧道
- 「TCP快速打开」：减少DNS握手延迟
- 「禁用IPv6」：防止IPv6 DNS旁路泄露
常见问题排查
现象：开启代理后部分网站提示DNS_PROBE_FINISHED_NXDOMAIN 原因：远程DNS服务器无法解析该域名，或本地DNS缓存冲突 解决方法：切换至「代理模式」强制使用节点DNS，或在「 hosts 」文件中手动添加域名解析
现象：网速正常但特定网站无法打开 原因：运营商DNS劫持导致解析到错误IP 解决方法：在「规则」中添加该域名走「代理」策略，并清空系统DNS缓存（设置→通用→还原→还原网络设置）
现象：小火箭显示连接成功但浏览器提示证书错误 原因：DNS污染导致连接到伪造服务器 解决方法：检查「TLS指纹」设置，启用「证书 pinning」功能，并更换支持DNS over TLS的节点服务商
节点选择与优化建议
不同使用场景对DNS防污染的要求各异：
| 使用场景 | 推荐模式 | DNS设置建议 |
|---|---|---|
| 4K视频流媒体 | 配置模式 | 使用节点商提供的私有DNS |
| 跨境办公 | 代理模式 | 强制DoH加密查询 |
| 学术资源访问 | 场景模式 | 自动切换教育网DNS |
对于长期稳定的国际网络加速需求，建议选择提供Anycast DNS的节点服务商，这类服务通常具备抗DDoS和防DNS劫持能力，能有效应对复杂的网络环境，初次配置建议先使用支持试用的高端专线节点测试DNS泄露情况,确认无泄露后再进行长期订阅。
完成上述小火箭防止DNS污染教程的配置后，可通过访问DNS泄露测试网站验证设置效果，保持客户端和规则列表的定期更新,是维持防护有效性的关键。
