分类： 未分类

Shadowrocket 下载资讯、Android 使用教程与问题排查资料。

ShadowrocketiOS系统更新后Shadowrocket节点不能用了怎么办？

当iOS系统更新导致Shadowrocket节点无法使用时，应优先尝试删除并重新安装VPN描述文件以恢复网络扩展权限，随后检查节点加密方式和TLS证书兼容性，必要时切换加密算法或临时开启allowInsecure绕过证书验证。接着清除DNS缓存、调整DNS服务器列表或启用远端DNS解析修复域名解析问题，并在配置页面强制重载配置文件并刷新规则集。若以上无效，可在备份节点配置后执行“还原网络设置”彻底清除系统级VPN残留，重启设备后重新连接WiFi并授予VPN权限。在整个修复过程中，持续通过实时日志观察连接失败的具体报错类型，针对性地调整对应参数，并确保将Shadowrocket更新至最新版本以适配系统API变更。最后，若涉及IPv6相关故障，可在配置文件中禁用IPv6以强制使用稳定的IPv4通道。系统更新对VPN配置文件的影响机制iOS升级重置网络扩展权限的底层逻辑每次iOS大版本或重要安全更新后，系统会对所有已安装的VPN配置描述文件进行安全审计，部分旧版本生成的网络扩展权限可能因签名验证策略收紧而被系统自动标记为无效。当Shadowrocket的VPN配置文件在系统更新后失效时，虽然应用界面显示连接状态正常，但底层的数据包转发功能实际上已被系统禁止，表现为节点延迟测试正常但所有代理流量均无法通过。这种权限失效是苹果为保障系统安全采取的保护措施，用户必须重新授予权限才能恢复功能。系统根证书库更新对TLS握手的干扰iOS更新会同步刷新系统的可信根证书列表，删除部分过期或不再受信任的证书颁发机构，同时增加新的CA证书。如果Shadowrocket节点的TLS证书是由某个在更新中被移出信任列表的CA签发的，或者节点使用了自签名证书而allowInsecure为关闭状态，系统更新后节点握手将因证书链验证失败而中断。电脑端因证书库更新策略不同可能不受影响，这是手机独占问题的常见诱因。网络栈参数与路由表重置导致的转发异常iOS系统更新会重置网络栈的核心参数，包括IP转发设置、MTU值和路由表条目，这些参数的恢复默认值可能与Shadowrocket的隧道配置产生不兼容。例如，更新后系统的IPv6优先级策略可能发生变化，导致prefer-ipv6开启的设备在连接节点时优先尝试IPv6但节点端不支持，从而出现连接超时。同时，系统防火墙规则更新可能屏蔽了代理端口，使得节点握手被悄然丢弃。VPN配置文件重装与权限重置流程删除并重新安装VPN描述文件当系统更新导致VPN配置失效时，最简单的修复方式是删除现有的VPN描述文件并让Shadowrocket重新生成。用户需进入“设置-通用-VPN与设备管理”，找到Shadowrocket对应的VPN配置条目，点击删除描述文件。随后重新打开Shadowrocket，应用会自动检测到缺少配置并弹出权限请求弹窗，点击“允许”并完成TouchID或FaceID验证即可生成新的有效描述文件。此操作不会影响应用内的节点列表和规则配置，所有数据完好保留。在Shadowrocket内执行重置VPN配置操作除了手动删除描述文件，用户还可以在Shadowrocket的“设置-高级”页面中找到“重置VPN配置”按钮，执行后应用会自动移除当前VPN配置并重新创建，效果与手动删除相同但操作更为集成。重置后应用会提示重新连接VPN，此时系统将再次弹出权限授予弹窗，用户务必允许以确保隧道正常工作。如果重置后仍未弹出权限弹窗，可在“设置-通用-VPN与设备管理”中检查是否已存在配置文件，若无则需重启设备后重试。关闭“按应用代理”并重新启用触发系统重新授权有时系统更新后VPN权限处于半激活状态，表现为连接成功但数据不通，此时可通过在Shadowrocket的“设置”中临时关闭“按应用代理”总开关，再重新开启，迫使系统重新评估并激活VPN扩展的完整权限链。关闭该开关后，系统会释放VPN插槽，重新开启时iOS会再次调用网络扩展框架，从而完成权限重建。此操作配合VPN配置重置可解决绝大多数系统更新后的权限残留问题。节点证书与加密协议的更新适配检查并切换加密方式以匹配系统新加密策略iOS更新可能废除或限制某些较弱的加密算法（如旧版Shadowsocks的aes-256-cfb在某些iOS版本中性能下降或被视为不安全），如果节点仍使用这类算法，Shadowrocket可能在握手阶段被系统强制降级或拒绝。用户应进入节点编辑页面，将加密方式切换为系统广泛支持的aes-256-gcm或chacha20-ietf-poly1305，并保存后重新测试。若节点服务商不支持新算法，需联系服务商升级节点配置或更换节点。更新节点的TLS证书与allowInsecure开关对于使用Trojan或Vmess+TLS的节点，系统更新后证书验证规则可能更严格，若节点证书在更新前已接近过期或由不被信任的CA签发，更新后握手将直接失败。用户可暂时开启节点编辑页面的allowInsecure选项（设置为true）以绕过证书验证，测试节点是否恢复正常，若恢复则说明确为证书问题，需联系服务商更新合法证书或更换节点。开启allowInsecure会降低安全性，应在验证后尽快切换至受信任证书并关闭该选项。协议类型与传输协议的兼容性测试系统更新后，基于QUIC的协议（如Hysteria）或某些UDP传输方式可能因系统内核参数调整而出现不兼容，导致连接超时。用户可尝试将节点协议从Hysteria切换至Vmess或Trojan，或将传输协议从kcp/quic改为tcp/ws，以排除底层传输层问题。如果切换后节点恢复，则说明当前系统版本对该协议的支持存在问题，可暂时使用替代协议等待后续Shadowrocket更新适配。DNS配置与解析路径的调整清除DNS缓存并重置DNS服务器列表系统更新可能使本地DNS缓存残留旧解析结果，导致节点域名解析到错误IP，从而无法建立连接。用户应在Shadowrocket的“设置-DNS”页面底部点击“清除DNS缓存”，同时检查DNS服务器列表是否仍包含有效服务器。若更新后本地运营商DNS发生变化，原列表中的服务器可能不再可达，应替换为通用的114.114.114.114或223.5.5.5，并确保DoH/DoT加密DNS的URL仍有效。清除后重新连接节点并观察解析日志。切换为远端DNS解析规避本地污染若更新后本地DNS对节点域名的解析出现污染，可将节点域名的解析方式强制切换至远端。在配置文件中为节点订阅或节点域名添加force-remote-dns修饰符，或在Shadowrocket的“设置”中临时将路由模式切换为“代理”（全局代理）再连接节点，让节点域名通过代理节点自身解析。如果此时连接成功，则问题锁定在本地DNS，用户应保留远端解析设置或更换本地DNS服务器。检查并调整DNS劫持目标系统更新后，原先设置的DNS劫持目标IP（如8.8.8.8）可能因网络策略变化而不再可达，导致所有DNS查询超时。用户进入“设置-DNS-DNS劫持”区域，检查劫持开关是否开启，若开启则测试劫持目标IP的连通性（可在浏览器中尝试访问该IP的53端口）。若无法访问，可临时关闭劫持或更换为当前网络下可达的DNSIP（如114.114.114.114），并观察节点连接是否恢复。规则集与策略组的更新同步重新加载配置文件并强制刷新规则集系统更新可能清除了Shadowrocket的部分缓存文件，导致规则集或策略组引用失效。用户应进入“配置”页面点击“重新加载”按钮，强制应用重新解析当前配置文件，并刷新所有外部引用的规则集和策略组。若配置文件为远程订阅类型，可执行一次订阅更新，获取服务端最新兼容的配置版本。重新加载后，检查策略组中的节点引用是否仍然有效，必要时重新勾选节点。移除或更新引起冲突的本地规则系统更新后，某些基于IP段的直连规则（如IP-CIDR,10.0.0.0/8,DIRECT）可能因网络环境变化而错误匹配了节点服务器IP，导致代理流量被本地直连。用户可进入规则列表，临时禁用或删除所有IP-CIDR直连规则，仅保留域名规则和GEOIP规则，测试节点是否恢复。若恢复，则需审查IP规则的范围，确保节点IP未被误列入直连段，必要时将节点IP单独加代理规则置于列表前端。策略组类型与节点选择的重置系统更新后策略组的url-test自动测速功能可能因网络变化而失效，导致策略组始终选择延迟最低的节点，但该节点实际不可用。用户可将策略组类型从url-test切换为select（手动选择），然后手动指定一个节点，测试连接是否正常。若手动选择可用，则说明自动测速的测试目标URL（如http://www.gstatic.com/generate_204）在新网络下不可达，需更新策略组中的测试地址。系统级网络设置的重置与兼容性修复还原网络设置清除所有VPN残留当上述软件层面调整均无效时，系统级的“还原网络设置”是彻底清除所有VPN冲突和路由表残留的终极手段。用户进入“设置-通用-传输或还原iPhone-还原”，选择“还原网络设置”，设备重启后所有WiFi密码、蓝牙配对和VPN配置将被清除。重启完成后重新连接WiFi，再打开Shadowrocket重新配置VPN权限和节点，通常可解决因系统更新导致的一切底层网络兼容问题。此操作不会删除个人数据，但需重新输入WiFi密码。关闭IPv6以强制使用IPv4通道系统更新可能自动启用或调整IPv6策略，若节点或网络不支持IPv6，开启IPv6会导致连接失败。用户可在配置文件的[General]段落中添加ipv6=false，或在设备“设置-蜂窝网络-蜂窝数据选项-语音与数据”中关闭IPv6（视运营商支持）。强制禁用IPv6后，Shadowrocket将仅通过IPv4与节点通信，可避免因IPv6路由不通而导致的连接问题。检查并更新Shadowrocket至最新版本Apple在系统更新后常会调整API接口，旧版Shadowrocket可能因兼容性问题导致节点功能异常。用户应前往AppStore检查Shadowrocket是否有更新，开发者通常会在新版本中适配最新系统变更。更新至最新版本后，重新尝试连接节点，许多因系统API变动引起的问题会自动修复。若当前已为最新版，可等待开发者后续推送热修复版本。常见问题FAQ

Shadowrocket同样的节点和WiFi，电脑能翻墙但手机不行是什么原因？

当Shadowrocket在同一WiFi和同一节点下出现电脑可用而手机不可用的现象时，标准的排错流程应首先通过实时日志确认手机端具体报错类型，并关闭prefer-ipv6排除IPv6干扰，随后检查手机端节点配置参数是否与电脑端完全一致，特别是协议扩展字段和allowInsecure开关。接着进入按应用代理列表确保浏览器未被强制直连，并检查策略组中是否正确引用了当前选中的节点。若以上步骤无效，则在手机端执行重置网络配置并重启设备，仅加载简易配置文件测试节点基本连通性，若成功则逐步恢复原有规则集以定位冲突规则；若仍失败，则尝试将节点端口更换为443或切换至蜂窝网络测试，以判定是否为WiFi环境对移动设备的特殊限制所致。整个排查过程需保持电脑端代理断开状态以避免并发连接限制干扰测试结果。网络出口与IP地址分配的隐性差异WiFi频段与路由器策略的影响同一WiFi网络下，电脑和手机可能连接了路由器的不同频段（2.4GHz与5GHz），而某些路由器对两个频段设置了不同的NAT转发策略或IPv6分配规则，导致代理流量在不同频段下的路由路径产生分歧。当电脑连接5GHz频段并获得稳定的公网IPv4地址时，代理节点握手正常；而手机连接2.4GHz频段可能被分配了不同的内部IP段或IPv6地址，这些地址在运营商层面可能面临更严格的流量限制或路由绕路，使得同样的节点配置在手机上出现连接超时。用户应检查两台设备是否连接同一SSID及频段，确保IP地址段和网关完全一致。DHCP地址池与租期对代理握手的影响路由器的DHCP服务器为不同设备分配IP地址时，若地址池中存在冲突或租期过期未能及时续约，手机可能获得一个与其他设备冲突的内部IP，导致代理节点返回的握手数据包被错误路由或丢弃。电脑由于长期在线或手动设置了静态IP，避免了这种冲突，而手机在重新连接WiFi时可能被分配到一个正在被其他设备占用的地址，造成代理隧道的TCP连接虽然建立但后续数据包无法正确到达。用户可在手机端尝试手动设置静态IP或重启路由器以刷新DHCP分配表，强制获取一个干净的内部IP。IPv6双栈环境下的路由优先级差异电脑操作系统通常默认优先使用IPv6进行网络通信，而iOS在某些网络环境下可能对IPv6的支持策略不同，当代理节点域名同时解析出IPv4和IPv6地址时，电脑端若优先使用IPv6且该通道畅通，则代理正常；但手机端若因系统策略或运营商IPv6配置缺陷而优先使用IPv4，但节点服务器对IPv4的响应存在延迟或防火墙限制，就会导致手机代理失败。这种地址族选择的不一致性使得同一节点在两种设备上表现出截然不同的可用性，用户可在手机Shadowrocket中关闭prefer-ipv6或在配置文件中添加ipv6=false来强制统一为IPv4通道。DNS解析与代理协议握手兼容性问题不同客户端对DNS解析来源的差异化处理电脑端的代理客户端（如Clash、V2RayN）通常默认使用系统DNS或自定义DNS，且对force-remote-dns的支持方式与Shadowrocket存在差异。当电脑客户端启用了远端DNS解析时，节点域名和目标的解析均通过代理节点完成，绕开了本地网络污染；而Shadowrocket若未为节点域名配置force-remote-dns修饰符，则节点域名本身可能由本地DNS解析，一旦本地运营商对该域名返回了错误的IP地址，手机就无法连接节点，而电脑却因远端解析正常。用户应在Shadowrocket的配置文件中为节点订阅的规则明确添加force-remote-dns，确保节点域名的解析也走远端通道。TLS握手与证书验证的移动端限制部分代理节点使用了自签名证书或Let'sEncrypt证书，电脑端客户端可能因为系统信任库较全或用户手动信任了证书而握手成功，而iOS系统对证书链的验证更为严格，且Shadowrocket的allowInsecure开关若未开启，任何证书异常都会直接拒绝握手。如果节点服务器证书的SNI字段与节点域名不匹配，或证书已过期，电脑可能因为缓存了旧证书而继续使用，但手机首次连接时就会因验证失败而中断。用户应检查节点配置中的allowInsecure是否设置为true（仅限可信环境），或更新节点的合法证书。代理协议参数在移动端解析的严格性Shadowrocket对Vmess协议的alterId字段和Trojan协议的sni字段要求精确匹配，而电脑端某些客户端可能对这些字段的缺失或默认值有较高的容错性。例如，当服务端alterId为0但手机端误填为64，电脑端可能自动协商并兼容，但Shadowrocket会直接断开连接。同样，Trojan的sni若未正确填写，电脑可能使用TLS握手中的ServerNameIndication自动填充域名，但手机端若不填则会导致握手失败。用户应逐项核对Shadowrocket中的节点参数与电脑端完全一致，特别是那些协议特有字段。客户端规则配置与分流策略冲突策略组与路由规则的移动端特定行为电脑端客户端通常采用全局代理或直接规则转发，而Shadowrocket默认以配置模式加载复杂的规则集，这些规则中可能包含针对特定IP段或域名的直连策略，当节点目标域名或IP落入直连规则范围时，Shadowrocket会绕过代理导致节点失效。电脑端因为没有这类规则或规则集不同，所以节点直接可用。用户应检查Shadowrocket的规则列表，确保节点服务器IP和端口没有被GEOIP,CN,DIRECT或IP-CIDR直连规则提前匹配，必要时将节点相关规则强制设置为PROXY并置于列表前端。按应用代理设置导致的流量隔离Shadowrocket的“按应用代理”功能可以为不同应用单独指定代理或直连策略，如果用户无意中将当前使用的浏览器或应用设置为直连，那么即使节点在服务器列表中显示绿色可用，实际访问时流量也完全绕过代理。电脑端没有类似的应用级分流，所有流量统一走代理通道，因此表现正常。用户应进入Shadowrocket的“设置-按应用代理”列表，确认目标应用的状态为“未配置”或“开启”（绿色），而非强制直连（灰色）。配置文件加载状态与节点选择不一致电脑端客户端通常将节点选择与配置文件绑定，切换节点即切换出口，而Shadowrocket的配置文件中可能包含多个策略组，当前节点的选择可能并未在策略组中正确引用，导致所有规则指向的策略组实际落到了一个不可用的节点上。例如，用户在主界面选择了节点A，但配置文件中的PROXY策略组却固定引用了节点B，电脑端则直接使用选中的节点，这种引用错位会让手机始终尝试连接一个不可用的节点。用户应进入策略组编辑页面，确认PROXY组中已勾选当前选中的节点，并检查策略组类型是否为select（手动选择）。系统VPN权限与网络栈阻塞iOSVPN隧道重建失败的底层机制当Shadowrocket尝试建立VPN连接时，iOS系统会为其分配一个虚拟网络接口并更新路由表，如果此前有其他VPN应用（如企业VPN或L2TP）未完全断开，系统可能拒绝为Shadowrocket分配新的隧道接口，导致连接状态显示正常但实际无数据转发。电脑端不存在这种单VPN插槽限制，所以可以同时运行多个代理工具而不会冲突。用户应前往“设置-通用-VPN与设备管理”检查是否有其他VPN配置处于已连接或待连接状态，并将其全部移除或断开后重新连接Shadowrocket。网络扩展进程被系统挂起或终止iOS系统在内存紧张或后台应用刷新权限关闭时，会主动挂起VPN扩展进程，此时Shadowrocket虽然显示已连接，但实际的网络数据包无法被扩展进程处理，造成所有请求超时。电脑端没有此类后台管理机制，代理进程始终保持活跃。用户应确保“设置-Shadowrocket-后台应用刷新”开关开启，并在“设置-通用-后台应用刷新”中全局允许，同时在连接VPN后不要频繁切换应用或锁屏过久，必要时可重启手机清空进程残留。防火墙或企业证书对iOS设备的特殊限制部分企业WiFi或校园网会通过MAC地址识别设备类型，对iOS设备的流量施加额外的QoS限制或端口封锁，而电脑设备可能因为UA标识不同而未被同一策略限制。当节点使用非标准端口时，iOS设备的流量可能被防火墙直接丢弃，而电脑端因端口未被封锁而正常。用户应尝试更换节点端口为443或8443等常用端口，或在手机端使用蜂窝网络测试以排除WiFi层面的设备级策略限制。代理节点对移动端流量的特殊策略服务商对用户代理标识的区分对待部分代理服务商在节点端配置了基于User-Agent的流量识别，当检测到来自移动端（如iOSApp）的请求时，可能因为移动端广告过滤或隐私保护特性而被误判为异常流量，从而被节点端限速或拒绝转发。电脑端浏览器或客户端发送的标准User-Agent则被正常放行。用户可在Shadowrocket的配置文件中添加规则，将关键域名的User-Agent伪装为桌面端，或联系服务商确认是否对移动端有特殊策略。节点对UDP转发的支持差异Shadowrocket的某些功能（如DNSoverUDP、QUIC协议）依赖于UDP转发，如果节点服务器未开启UDPrelay，而电脑端客户端默认关闭了UDP相关功能或使用TCP模拟，则电脑正常而手机因UDP流量被丢弃而表现异常。用户可在Shadowrocket的节点编辑页面关闭“UDP转发”选项，或在“设置-高级”中将“UDP-over-TCP”启用，让UDP流量通过TCP隧道传输以避免节点端的限制。并发连接数与设备限速策略不少节点服务商对单IP的并发连接数或总带宽有限制，电脑端因长时间在线可能已经占用了大量连接，当手机尝试新建代理连接时，服务端可能因连接数超限而拒绝新握手。此时电脑端因为已有稳定的长连接而继续正常工作，而手机端则持续无法建立新隧道。用户应断开电脑端的代理连接，仅让手机单独测试，若手机恢复正常则说明是该节点的并发限制所致，需更换支持多设备的节点或错开使用时间。系统性排查流程与修复方案从日志分析定位故障根源在Shadowrocket主界面开启实时日志，然后尝试访问一个境外网站，观察日志中显示的错误类型——“connectiontimeout”表明网络层不可达，“handshakefailed”表明协议或证书问题，“DNSresolutionerror”表明域名解析失败。对照电脑端客户端的日志输出，找出两者之间的关键差异，例如电脑端成功握手而手机端在某一特定步骤中断，据此精准调整对应的参数或规则。逐项对齐节点配置与电脑端参数将手机端Shadowrocket中该节点的配置逐项与电脑端客户端的节点信息进行比对，特别关注加密方式、密码、alterId、sni、传输协议（ws/tcp）、伪装域名等扩展字段，确保完全一致。如果电脑端使用的是订阅链接自动导入，而手机端为手动添加，很容易出现端口或路径等细节误差，建议在手机端也使用相同的订阅链接重新导入，确保配置同步。重置网络配置与还原默认设置当上述排查均无果时，在手机端执行“设置-高级-重置网络配置”，清除所有VPN缓存和路由表残留，然后重启设备。重启后先不加载任何规则集，仅以最简单的配置文件（仅包含该节点和FINAL,PROXY）测试节点连通性，若此时手机可正常翻墙则说明原配置文件中存在规则冲突或策略组错误，应逐步重新构建规则体系。若简单配置下仍失败，则问题大概率出在网络环境或节点对移动端的限制上，此时考虑更换节点或联系服务商。常见问题FAQ

Shadowrocket如何检查当前是否成功使用了IPv6解析？

要准确检查Shadowrocket当前是否成功使用了IPv6解析，最有效的操作流程是首先打开实时日志功能，访问一个已知支持IPv6的双栈网站（如google.com），在日志中搜索该域名的解析记录并确认是否同时出现了以冒号分隔的IPv6地址和点分十进制的IPv4地址。若出现IPv6地址，则说明DNS解析已成功获取AAAA记录，接下来需要进一步观察连接建立条目中实际选用的地址族，确认prefer-ipv6参数是否开启且IPv6通道是否通畅。若日志仅显示IPv4地址，则应检查DNS服务器列表中是否包含了支持IPv6解析的服务器（如2606:4700:4700::1111或2001:4860:4860::8888），并在配置文件的[General]段落确保未添加“ipv6=false”来禁用协议栈。验证完成后，打开Safari访问ipv6-test.com查看页面显示的IP类型，若显示为IPv6地址则证明从解析到连接的全链路已成功使用IPv6，反之则应检查代理节点是否具备IPv6转发能力或调整prefer-ipv6参数为true以强制优先使用IPv6。最后，通过对比配置模式和全局代理模式下的检测结果，可以进一步定位是本地网络解析问题还是代理节点转发能力问题。实时日志法：最直接的内置检查手段开启实时日志并定位解析记录Shadowrocket内置的实时日志功能是验证IPv6解析是否生效最直接且无需第三方工具的内置手段，用户只需在主界面点击底部导航栏的“日志”标签或通过下拉手势激活日志面板，即可实时查看每个网络请求的完整处理链路。在日志输出中，每个域名解析记录都会以“DNS”或“解析”标签清晰标注，并详细显示该域名经过查询后返回的IP地址类型和具体数值。如果日志中显示的解析结果包含类似“240e:390:...”“2001:4860:...”等以冒号分隔的十六进制地址段，则说明该域名的AAAA记录被成功获取并用于后续连接，即IPv6解析已生效。如果日志显示为点分十进制格式（如“1.2.3.4”），则表明当前解析仍在使用IPv4，IPv6解析并未实际启用或未成功返回有效记录。过滤特定域名的解析结果以精确判断在日志数量较多的场景下，用户可以通过在日志搜索框中输入目标域名的部分关键词来快速筛选与该域名相关的所有解析记录，从而聚焦于特定服务的解析状态。例如输入“google”后，日志面板会仅显示包含该字符串的条目，用户可以清晰看到该域名是否成功返回了AAAA记录以及该记录的IPv6地址是否被引擎采纳用于规则匹配。这种过滤方式尤其适合在同时加载多个网页时快速检查核心境外域名的解析族，避免了在海量日志中手动翻找的繁琐操作。同时用户还可以观察同一域名是否同时存在A记录和AAAA记录，以确认该域名确实具备双栈能力，从而判断IPv6解析是否为服务端真实支持。解析记录中地址族标识的解读方法在Shadowrocket的日志输出中，除了具体的IP地址外，部分版本还会在解析条目后附上“(IPv6)”或“(IPv4)”的显式标签辅助判断，用户即使不熟悉IP地址格式也能通过标签轻松识别。对于既显示IPv4又显示IPv6的解析记录，用户还应注意观察后续的连接建立条目，确认引擎最终使用的是哪种地址类型进行实际通信，因为成功解析出IPv6地址并不等于最终连接使用了IPv6。如果日志中显示IPv6解析成功但后续连接尝试使用了IPv4地址，说明当前prefer-ipv6参数可能处于关闭状态或IPv6通道连接失败触发了回退机制，用户需要结合其他验证手段进一步判断最终连接的实际地址族。测试网站法：通过外部服务验证解析结果访问专业IPv6检测站点获取解析报告用户可以在Shadowrocket开启连接的状态下，使用Safari浏览器访问ipv6-test.com或ip.sb等专业IPv6检测站点，这些网站会完整显示用户设备当前访问该站点时使用的IP地址及其协议族归属。如果页面显式展示出一个IPv6地址（例如“2408:8400:...”）并同时标明“YourIPaddressisIPv6”，则说明从设备到该检测站点的整个网络链路成功启用了IPv6，包括DNS解析和后续数据传输。这种方法的优点在于验证的是完整的网络路径而非孤立的解析环节，能够确认IPv6不仅解析成功而且实际路由可达。用户还可以对比访问前后显示的IP地址差异，若检测站返回的地址与设备本机获取的IPv6地址前缀一致，则进一步证明IPv6解析过程完整无误。使用双栈域名进行A/AAAA记录的直观对比用户可以通过访问一个明确支持IPv6的知名双栈网站（如google.com或youtube.com），并观察页面加载过程中Shadowrocket实时日志中的解析记录，直观对比该域名是否同时返回了IPv4和IPv6两种地址。如果日志中仅出现IPv4地址而无任何IPv6记录，说明该域名在当前网络环境下AAAA记录查询未成功或未被返回，可能源于本地DNS服务器不支持IPv6解析或prefer-ipv6参数关闭导致引擎未请求AAAA记录。为了进一步确认，用户还可以在终端使用“nslookup-type=AAAA域名”命令独立验证该域名的IPv6记录是否存在，如果外部查询存在而Shadowrocket未解析到，则问题出在代理工具的DNS配置层面而非服务端。利用在线IPv6ping工具交叉验证目标可达性除了直接通过浏览器访问检测站，用户还可以使用在线IPv6ping服务（如ipv6-test.com/pingtest.asp）输入目标域名，从外部网络环境对该域名进行IPv6连通性测试。如果在第三方工具中该域名的IPv6地址能够成功响应ping包，但Shadowrocket中访问同一域名却显示解析失败，则说明当前代理节点的DNS解析配置存在问题或节点本身不支持IPv6转发。这种交叉验证能够将问题定位在Shadowrocket内部配置而非目标服务端的IPv6可用性上，为用户提供明确的排错方向。节点连接详情法：查看实际建立的连接地址族在节点列表观察连接状态的地址标识当Shadowrocket与某个节点建立代理连接后，用户可以在服务器列表中点击当前选中的节点，进入节点详情页面查看该节点实际使用的出口IP地址和协议栈信息。部分版本的Shadowrocket会在节点状态栏中直接显示“IPv6”或“IPv4”的标注来提示当前连接所使用的地址族，用户据此可以快速了解节点通信的底层协议类型。如果节点详情显示为IPv6地址，则说明节点服务器本身通过IPv6通道与客户端完成了握手和数据交换，但这一信息仅反映节点连接层面，并不等同于目标网站的解析使用了IPv6。节点连接详情更多用于判断客户端与节点之间的通信链路，而目标域名的解析状态仍需结合日志或检测站结果综合判断。通过路由追踪命令查看数据包的实际路径对于拥有越狱设备或通过终端访问iOS系统的技术用户，可以在连接Shadowrocket后使用“traceroute-6目标域名”命令查看数据包从设备到目标服务器所经过的完整路由跳数，从而确认是否确实通过IPv6路径完成了通信。如果追踪过程中每一跳都显示为IPv6地址格式，则证明从设备到目标服务器的整条链路均在IPv6协议栈上运行，DNS解析成功且数据传输畅通。这种方法虽然操作门槛较高，但能够提供比单纯解析检查更为全面的网络路径验证，帮助用户识别IPv6连接中可能存在的中间节点丢包或延迟问题。代理节点出口IP与解析地址的族一致性验证用户还可以将Shadowrocket切换到全局代理模式后访问ip.sb，观察该检测站返回的IP地址是否与当前代理节点的出口IP一致且地址族为IPv6，从而判断代理节点是否成功完成了IPv6流量的转发。如果检测站返回的是IPv6地址但节点配置中填写的却是IPv4地址，说明节点具备将IPv6目标请求通过IPv4隧道转发的能力，这并不意味着本地解析使用了IPv6，而是节点端完成了IPv6通信。要单独验证本地解析，用户应在配置模式而非全局代理下访问检测站，让规则引擎按照分流规则决定解析路径，从而获得最真实的本地解析结果。DNS解析记录法：确认域名解析返回的地址类型在配置文件的DNS列表中查看缓存解析结果Shadowrocket在内存中维护着一个DNS解析缓存，用户可以在“设置-高级-清除DNS缓存”按钮附近间接查看当前缓存的解析记录条目，但该功能并未提供直接的图形化列表展示。替代方案是用户在访问目标域名后立即查看实时日志，因为日志中记录的正是刚刚写入缓存的最新解析结果，其真实性和时效性最高。通过对比多个域名在日志中显示的解析IP地址族，用户可以判断当前DNS服务器列表和解析策略是否一致地返回了IPv6记录。如果某些域名解析出IPv6而某些没有，则说明这些域名在服务端是否实际配置了AAAA记录，而非客户端配置问题。通过外部DNS查询工具验证AAAA记录的可用性为了区分“客户端未请求IPv6”和“服务端无IPv6记录”两种不同情形，用户可以借助外部在线DNS查询工具（如dns.google或whois.domaintools.com）分别查询目标域名的A记录和AAAA记录。如果在外部工具中该域名存在有效的AAAA记录，但Shadowrocket的日志中仅显示A记录或显示AAAA查询超时，则问题可能出在Shadowrocket的DNS服务器列表未包含支持IPv6解析的服务器，或当前使用的DNS服务器对该域名的AAAA查询返回了空响应。此时用户应在DNS服务器列表中添加支持IPv6的公共DNS（如2606:4700:4700::1111或2001:4860:4860::8888）以获取完整的双栈解析能力。对比配置文件中force-remote-dns对解析族的影响当用户在配置文件中为特定代理规则启用了force-remote-dns修饰符时，这些域名的解析请求会通过代理节点的远端DNS服务器完成而非本地DNS。用户应分别观察带有该修饰符和不带该修饰符的规则在日志中的解析结果差异，如果远端解析成功返回了IPv6地址而本地解析未返回，则说明本地网络环境的DNS服务器可能不支持IPv6查询或对境外AAAA记录进行了过滤。这种对比能够帮助用户精准定位是本地DNS策略问题还是远端解析配置问题，从而决定是否需要在DNS服务器列表中添加IPv6兼容的服务器以改善本地解析效果。第三方网络工具辅助验证法使用终端工具独立执行AAAA记录查询对于安装了iSHShell或NewTerm等终端模拟器的用户，可以直接在设备上执行“digAAAA目标域名”或“nslookup-type=AAAA目标域名”命令，独立于Shadowrocket之外获取该域名的IPv6解析结果。如果在终端中能够成功返回IPv6地址，而Shadowrocket的日志中却未显示，则说明问题出在Shadowrocket的DNS配置而非系统DNS能力上，用户应检查DNS服务器列表是否包含了正确的IPv6兼容服务器。终端工具提供的解析结果还可作为权威参照，用来验证Shadowrocket日志中显示的解析地址是否与系统级解析一致，判断是否存在代理工具对DNS响应的篡改或过滤。利用网络抓包工具捕获DNS查询与响应高级用户可以通过在设备上安装网络抓包工具（如PacketCapture或Charles）捕获Shadowrocket运行期间的完整DNS流量，观察设备实际发出的查询请求中是否包含了AAAA记录的请求，以及接收到的响应中是否携带了有效的IPv6地址。抓包工具能够从原始数据包层面提供最权威的证据，不仅能够确认IPv6解析是否成功，还能观察整个查询过程的时序、延迟以及是否存在重传或丢包。这种方法虽然需要一定的网络协议知识，但对于需要深度排查IPv6解析异常的技术人员而言，是最可靠的验证手段。浏览器开发者工具中的协议栈指示在访问目标网站时，用户可以通过桌面浏览器（如Chrome或Firefox）的开发者工具中的“网络”面板查看每个资源请求的远程地址协议族，虽然该方式需要在电脑上配置代理并连接Shadowrocket，但能够以图形化方式清晰展示每个资源是经由IPv4还是IPv6加载。如果面板中显示的远程地址为IPv6格式，则证明从Shadowrocket到该资源服务器的完整解析和连接链路均成功使用了IPv6。这种验证方式尤其适合排查特定资源（如视频流、图片CDN）是否因IPv6解析成功而走通了预期的加速通道。综合判断与常见误判的排除IPv6解析成功但连接仍使用IPv4的典型现象用户在日志中可能观察到域名成功返回了AAAA记录和A记录两种地址，但后续的连接建立条目中却显示实际使用了IPv4地址进行通信，这是prefer-ipv6参数未开启时的正常行为，并不代表解析失败。此时用户虽然成功获取了IPv6解析结果，但引擎按照优先级策略选择了IPv4通道，若要强制使用IPv6，需在配置文件中将prefer-ipv6设置为true。区分“解析成功”与“连接使用”这两个概念是避免误判的关键，解析成功仅代表DNS查询返回了IPv6地址，而实际连接是否使用还需检查日志中的连接建立条目或检测站的返回结果。因IPv6通道不可用自动回退至IPv4时的日志特征当prefer-ipv6开启且引擎优先尝试使用IPv6地址连接目标服务器，但该IPv6通道因网络策略或路由不可达而连接超时时，日志中会出现“IPv6connectiontimeout”或“fallbacktoIPv4”等回退提示，随后引擎会自动切换至IPv4地址重新发起连接。这种情况下用户看到最终网页成功加载，但实际使用的仍是IPv4，而日志中的IPv6解析记录却依然存在，容易让用户误以为IPv6解析和连接均已成功。用户应关注连接建立条目的最终状态，而非仅凭解析记录判断，因为解析成功不代表连接成功。确认代理节点本身是否支持IPv6转发节点是否支持IPv6转发是影响最终访问体验的决定性因素，即使本地解析成功返回了IPv6地址，如果代理节点不具备IPv6出口能力，引擎在尝试通过节点转发IPv6目标时同样会失败。用户可以通过访问ipv6.google.com等纯IPv6测试站来快速验证节点是否支持IPv6转发，如果该站无法访问且日志显示连接失败，则说明节点不支持IPv6，此时应关闭prefer-ipv6以避免不必要的IPv6解析尝试。节点的IPv6支持能力是最终连接能否使用IPv6的前提条件，在确认节点能力前不应盲目追求IPv6解析结果。常见问题FAQ

Shadowrocket使用IPv6会影响节点的兼容性吗？

在评估Shadowrocket使用IPv6对节点兼容性的影响时，用户应首先通过访问ip.sb确认设备网络确实获取了有效的IPv6地址且该地址的境外路由质量可接受，随后对目标节点进行IPv6和IPv4的双轨延迟测试与代理流量实测，对比两种通道下的真实访问速度与稳定性。若测试表明节点的IPv6连接质量稳定且速度优于IPv4，则在配置文件的[General]段落添加“prefer-ipv6=true”以启用优先策略；若测试中发现IPv6通道存在超时、高延迟或不稳定的现象，则立即保持“prefer-ipv6=false”的默认状态或添加“ipv6=false”彻底禁用IPv6协议栈以保障节点连接的绝对可靠性。同时在配置文件中通过IP-CIDR6规则明确指定IPv6流量的路由方向，防止未受控的IPv6请求绕过代理通道造成泄露，最终根据节点服务商的官方说明和自身的网络环境做出适应性调整，而非盲目开启或关闭IPv6功能。节点地址格式对连接建立的决定性影响节点IP类型与客户端地址族的匹配逻辑Shadowrocket中节点的兼容性首先取决于节点配置中填写的服务器地址格式与客户端当前网络环境的IPv6能力是否匹配。当节点地址填写为域名时，引擎会通过DNS解析同时获取该域名的A记录（IPv4）和AAAA记录（IPv6），并根据当前prefer-ipv6参数的设定优先选择某一地址族发起连接。如果节点地址直接填写为IPv4格式的IP，则完全不存在IPv6兼容性问题，因为引擎始终通过IPv4网络栈与节点通信。如果节点地址填写为纯IPv6格式的IP，则客户端网络必须拥有可路由的IPv6出口，否则连接会在握手阶段直接超时而完全无法建立。双栈解析中地址族选择对连接成功率的作用当节点的域名同时解析出IPv4和IPv6地址时，引擎对地址族的选择策略直接影响连接能否成功建立。如果prefer-ipv6开启，引擎会优先尝试使用IPv6地址连接节点，若该节点服务器实际并未监听IPv6端口或服务器的IPv6网络不可达，连接会在超时后回退至IPv4尝试，但超时等待期间用户会感知到明显的连接延迟。如果节点服务器仅配置了IPv4且AAAA记录返回的是一个不可路由的IPv6地址（如fe80::或::1），开启prefer-ipv6可能导致连接持续失败而回退机制也无法生效。兼容性问题的根源正在于此种地址族偏好与节点服务器实际监听能力之间的不匹配。代理协议对IPv6流量的原生支持程度Shadowsocks、Vmess和Trojan等主流代理协议在协议层面均对IPv6流量有着完整的原生支持，无论是通过IPv6地址建立代理连接还是转发IPv6目标地址的流量，协议标准都已明确定义且经过广泛验证。因此代理协议本身并不会成为IPv6使用的瓶颈，兼容性问题的所有症结都集中在网络层的IP路由可达性和DNS解析的准确性上。用户无需担心代理协议对IPv6的兼容性，只需关注网络环境和节点服务器配置的实际情况即可。纯IPv4节点在双栈环境下的通用兼容表现客户端使用IPv6网络访问IPv4节点的连接过程当用户设备处于拥有原生IPv6地址的网络环境中，但当前选中的Shadowrocket节点仅配置了IPv4地址时，引擎通过IPv4网络栈向节点发起连接，整个代理通道的建立和数据传输完全运行在IPv4协议之上。此时设备虽然拥有IPv6地址，但在与节点的通信过程中完全不涉及IPv6协议栈，节点兼容性表现与纯IPv4网络环境下完全一致，用户不会因客户端存在IPv6地址而遭遇节点连接失败或速度下降的情况。这种场景下的兼容性是绝对可靠的，因为IPv4协议在全球范围内的互通性历经数十年验证。节点域名解析出IPv6地址但服务器仅开放IPv4端口的兼容陷阱当用户配置的节点以域名形式提供，而该域名同时拥有AAAA记录指向一个IPv6地址，但节点服务器实际仅在IPv4端口上监听代理服务时，Shadowrocket可能因为prefer-ipv6开启而优先尝试通过IPv6连接该地址并遭遇超时。这种超时在首次连接时会导致数秒的延迟，而在极端情况下如果服务器完全不响应IPv6的SYN包且回退机制不够灵敏，节点可能被引擎标记为不可用。用户此时看到的节点延迟测试可能正常（因为ICMP协议走通了IPv4通道），但实际代理连接却反复失败，造成节点状态与可用性之间的矛盾现象。IPv4单栈节点无需修改任何配置即可正常使用绝大多数国内代理服务商提供的节点服务器依然以IPv4单栈部署为主，这类节点在Shadowrocket中的使用完全不受客户端IPv6启用与否的影响，用户无需为适配IPv6而修改节点配置中的任何参数。即使设备开启了prefer-ipv6，当节点域名解析未返回有效的AAAA记录时，引擎会自动降级至IPv4连接，整个流程毫无阻塞。因此对于使用主流商业代理服务的用户而言，设备上启用IPv6不会对节点的兼容性产生任何负面影响，可以放心开启。纯IPv6节点的部署现状与客户端接入条件当前代理服务商对纯IPv6节点的支持状况提供纯IPv6节点的代理服务商在全球范围内仍属少数，因为纯IPv6服务器意味着客户端必须拥有IPv6网络出口才能建立连接，而许多用户的家庭宽带和移动网络虽然已分配IPv6地址，但稳定性和国际路由质量参差不齐。少数面向技术爱好者的服务商会在节点列表中标注“IPv6Only”标签，这类节点在国内网络环境下通常难以直连，需要通过IPv6隧道或代理链才能正常使用。普通用户如果对IPv6网络质量没有充分把握，应尽量避免选择此类节点以规避兼容性风险。客户端无IPv6地址时纯IPv6节点的连接失败机制如果设备当前网络环境完全没有分配IPv6地址（例如某些企业Wi-Fi或特定区域的运营商网络），配置为纯IPv6地址或域名仅解析出AAAA记录的节点将完全无法建立任何连接。引擎在尝试连接该IPv6地址时，操作系统会直接返回“网络不可达”的错误，代理通道完全不通。此时即使切换至配置模式分流，该节点在策略组中也会持续显示为红色不可用状态。用户在遇到此现象时应首先确认设备是否获得了有效的IPv6地址，若无则只能放弃该节点的使用。通过IPv6隧道或代理链间接接入纯IPv6节点的方案对于确实需要使用纯IPv6节点且本地网络缺乏IPv6出口的技术用户，可以通过在设备上配置IPv6隧道（如HE.net的6in4隧道）或使用支持双栈的中转代理，先将本地IPv4流量转换为IPv6后再接入目标节点。此类方案配置复杂且会增加额外的延迟开销，仅适合对网络技术有深入理解的高级用户实施。普通用户不应为了使用纯IPv6节点而引入隧道方案，因为维护成本和故障排查难度远超过可能的网络性能收益。prefer-ipv6参数对节点域名解析的干扰作用参数开启时节点域名AAAA记录的错误优先匹配当prefer-ipv6开启且节点域名存在AAAA记录时，Shadowrocket会优先尝试使用该记录返回的IPv6地址连接节点。如果该IPv6地址对应的服务器端口并未开放代理服务或ICMP可达但代理协议握手无响应，节点可能表现为连接超时或握手失败，而同一域名的IPv4通道却是畅通的。这种情况在商业代理节点中并不罕见，因为部分服务商在配置域名时为了兼容性同时添加了IPv6记录，但并未在IPv6端口上实际部署代理进程。用户遇到节点突然无法使用且延迟测试正常时，应首先检查该节点的域名解析是否包含了无效的AAAA记录。参数关闭时强制IPv4优先对节点稳定性的保障保持prefer-ipv6关闭（即默认的IPv4优先策略）是保障节点兼容性最稳妥的操作，因为绝大多数代理节点都是在IPv4网络架构下部署和优化的，IPv6通道的质量和可用性往往未经过充分验证。在IPv4优先模式下，引擎始终首先尝试通过IPv4连接节点，只有在IPv4完全不可达时才会尝试IPv6，这种策略最大限度地减少了因IPv6网络质量问题导致的节点连接失败。除非用户明确确认当前使用的所有节点在IPv6通道下表现更优，否则维持该参数关闭是兼容性最优的选择。节点配置中的域名与IP直写对解析偏好的影响当节点配置中直接填写服务器的IPv4IP地址而非域名时，prefer-ipv6参数对该节点的连接行为完全不起作用，因为引擎不需要进行DNS解析就直接获得了确定的IPv4目标地址。对于自建服务器的用户，如果服务器同时拥有稳定的IPv4和IPv6地址，建议在节点配置中分别创建两个独立的节点条目（一个使用IPv4地址、一个使用IPv6地址），并为其命名区分。这种手动双节点方案让用户可以根据当前网络环境手动选择最优连接方式，完全不受prefer-ipv6自动选择机制的任何潜在误判影响。IPv6通道绕过代理导致的节点状态误判与泄露风险分流规则未覆盖IPv6地址段时的直通绕过当用户的配置文件中的直连规则（如GEOIP,CN,DIRECT）和代理规则仅针对IPv4地址段生效，而设备访问的某个目标域名解析出了IPv6地址时，该IPv6流量可能在规则引擎中找不到任何匹配项，最终按照FINAL兜底策略执行。如果FINAL设置为PROXY，流量会尝试通过代理节点转发IPv6目标，但代理节点若仅支持IPv4转发，该请求将因协议栈不匹配而彻底失败；如果FINAL设置为DIRECT，则IPv6流量会绕过代理直接发出，造成隐私泄露并违背用户的分流意图。这种问题表现为节点状态看似正常，但部分境外网站无法访问或国内网站显示境外IP地址。节点延迟测试在IPv6环境下的误导性Shadowrocket的节点延迟测试功能默认通过ICMP协议或TCPPing方式验证节点的网络可达性，其测试数据包的发送路径受到prefer-ipv6参数的影响。如果节点域名解析出了IPv6地址且prefer-ipv6开启，延迟测试会通过IPv6向节点发送探测包，若IPv6路径可达而代理端口未开放，测试显示低延迟但实际代理连接失败，用户会被测试结果误导。这种误导使得用户在排查节点故障时误判为分流规则问题，在规则文件中徒劳调整而忽视了根本的地址族不匹配。用户应在延迟测试后实际访问境外网站验证代理通道的真实可用性。通过强制IPv4代理通道彻底杜绝泄露最彻底的IPv6泄露防护方案是在Shadowrocket的配置文件中添加一条IP-CIDR6,::/0,PROXY或IP-CIDR6,::/0,DIRECT规则来明确指定所有IPv6流量的路由方向，将未知的IPv6目标全部纳入规则引擎的控制范围而非留给FINAL兜底。如果用户希望所有IPv6流量也走代理，则将该规则设置为PROXY并确保节点支持IPv6转发；如果希望所有IPv6流量直连，则设置为DIRECT并接受部分境外IPv6网站可能无法访问的事实。同时在[General]段落中明确设置ipv6=false可以彻底禁用Shadowrocket的IPv6协议栈，这是杜绝一切IPv6兼容性问题和泄露风险的最强硬手段，但会牺牲设备原生IPv6带来的潜在性能优势。全面测试节点IPv6兼容性的标准操作流程确认设备当前网络IPv6出口的可用性在进行任何IPv6相关的节点兼容性测试之前，用户首先应在Safari浏览器中访问ipv6-test.com或ip.sb，查看页面显示的是IPv6地址还是IPv4地址，以确认设备当前网络确实具备有效的IPv6出口。如果页面显示为IPv4地址或无IPv6检测结果，说明当前网络环境不支持IPv6，此时任何与IPv6相关的节点配置调整都无实际意义，用户应将所有IPv6相关设置保持关闭状态。只有在明确获取了原生IPv6地址后，才值得投入精力进行后续的节点兼容性评估。对目标节点进行IPv6和IPv4的双轨延迟测试为了准确判断节点在IPv6和IPv4通道下的实际响应质量，用户可以为同一个节点创建两个配置副本，一个填写节点的IPv4地址，另一个填写节点的IPv6地址（或通过在节点域名后添加不同的解析优先级参数实现），然后分别对两个副本执行延迟测试和连通性验证。对比两组测试结果中的平均延迟和丢包率，如果IPv6副本的延迟明显高于IPv4副本或出现超时，则应关闭prefer-ipv6避免引擎自动选择质量较差的通道。如果IPv6副本表现优于IPv4，则开启prefer-ipv6可以获得潜在的速度优化。实际代理流量验证与最终配置锁定延迟测试结果仅为参考依据，用户最终应在两种配置下分别进行实际的网页浏览和流媒体播放测试，对比页面加载速度和播放流畅度，因为延迟测试只反映网络层可达性而无法体现代理协议层和传输层的综合表现。测试时打开Shadowrocket的实时日志，观察每次连接实际使用的目标地址族和节点出口IP，确认代理数据确实按照预期通过IPv4或IPv6通道传输。根据综合测试结果，用户将prefer-ipv6设置为最优状态，并同时在配置文件中添加明确的IPv6路由规则以防止泄露，完成节点兼容性的最终配置锁定。常见问题FAQ

prefer-ipv6是什么？什么时候应该开启？

在配置prefer-ipv6时，正确的决策逻辑是首先在已连接VPN的状态下访问ipv6-test.com确认本地网络和代理节点均支持IPv6地址的获取与转发，若测试成功则进入配置文件在[General]段落添加“prefer-ipv6=true”并重载配置开启IPv6优先策略。开启后访问双栈网站并通过实时日志验证实际使用的地址族是否为IPv6，若页面加载速度有显著提升则在当前网络环境保持启用状态，若出现访问异常或加载变慢则立即修改为false回退至IPv4优先。对于家庭宽带原生IPv6和5G移动网络的用户可优先尝试开启以获取潜在的速度优化，而对于代理节点不支持IPv6或访问特定老旧网站频繁的用户则必须保持关闭以维持连接的绝对稳定性。定期在更换网络环境或代理节点后重新评估该参数的效果，确保始终选择最适合当前网络条件的地址族策略。prefer-ipv6的核心功能定义控制DNS解析中IPv6与IPv4的优先级排序prefer-ipv6是Shadowrocket配置文件[General]段落中的一项高级DNS行为控制参数，它直接决定了当目标域名同时拥有IPv6（AAAA记录）和IPv4（A记录）两种解析结果时，规则引擎在路由决策中优先采纳哪一种地址类型。当该参数设置为true时，引擎会优先选用域名的IPv6地址进行连接尝试和规则匹配，只有当IPv6地址不可达或连接超时时才会回退至IPv4地址。当设置为false或保持默认状态时，系统则严格按照传统的IPv4优先策略处理所有解析结果，仅在IPv4完全不可用时才会考虑使用IPv6地址，这种默认行为与大多数网络设备的传统习惯保持一致。参数作用于解析后而非解析请求本身prefer-ipv6并不改变DNS查询请求的目标服务器或查询类型，设备仍然会同时请求域名的A记录和AAAA记录，该参数的影响范围仅限于解析结果返回后的处理阶段。当引擎获得了两种地址类型并存时，该参数决定了在规则匹配、路由选择和连接建立的过程中首先尝试哪个地址族，而非决定是否应该发出AAAA记录的查询请求。这种作用于解析后的特性使得prefer-ipv6与是否禁用IPv6完全无关，即使开启该参数，设备在DNS查询时仍然会获取IPv4地址作为备选方案。与GEOIP和IP-CIDR规则的协作关系在规则匹配层面，prefer-ipv6会影响基于IP地址的规则（如IP-CIDR和GEOIP）对匹配结果的选择顺序，当某个域名的IPv6地址落入特定的地址段规则时，引擎会优先命中该规则并执行对应的路由策略。这意味着如果用户在配置文件中编写了针对IPv6地址段的直连或代理规则，开启prefer-ipv6会让这些IPv6规则优先于IPv4规则被触发，从而改变流量的最终走向。这种协作关系使得prefer-ipv6不仅是地址选择的偏好控制，更是影响整个分流逻辑顺序的关键参数。开启与关闭状态下的实际行为差异开启状态下的解析结果处理逻辑当prefer-ipv6设置为true时，引擎在获得一个域名的双栈解析结果后会优先将IPv6地址放入路由决策的首要位置，所有基于IP的规则匹配都会首先尝试与IPv6地址进行比对。如果一个域名的IPv6地址命中了代理规则而IPv4地址命中了直连规则，引擎会选择代理路径执行，意味着流量会通过代理节点转发。只有当IPv6地址无法建立连接或匹配的规则执行失败时，引擎才会触发回退机制重新使用IPv4地址进行第二轮匹配，这种优先尝试IPv6的设计充分利用了下一代互联网协议的优势。关闭状态下的传统IPv4优先策略prefer-ipv6在默认关闭状态（false）下，引擎完全按照传统的网络行为模式优先使用IPv4地址进行规则匹配和连接建立，只有在IPv4地址完全不可用或匹配的规则执行失败时才会考虑使用IPv6地址。这种模式保证了与绝大多数现有网络基础设施和应用的兼容性，因为目前互联网上仍有大量服务和CDN节点在IPv4环境下的性能表现优于IPv6。关闭状态也意味着用户无需担心因IPv6路由不通而导致访问失败，因为引擎会始终优先使用相对成熟稳定的IPv4通道。双栈环境下两种模式的速度对比在同时支持IPv6和IPv4的完整双栈网络环境中，开启prefer-ipv6能够让用户优先体验IPv6可能带来的路由优化和更短的网络路径，某些ISP的IPv6骨干网由于用户量较少，实际传输速度可能优于拥堵的IPv4网络。但这一优势并非绝对，如果用户的IPv6流量的实际路由需要经过更多的跳数或存在更高的丢包率，开启prefer-ipv6反而可能导致访问速度下降。关闭状态下优先使用IPv4则能够确保网络路径的稳定性和可预测性，避免因IPv6网络质量不佳而影响整体上网体验。强烈建议开启prefer-ipv6的典型场景家庭宽带已获取原生IPv6地址的环境当用户的家庭宽带运营商提供了原生IPv6地址且设备能够正常获取到全球单播IPv6地址时，强烈建议开启prefer-ipv6以充分利用下一代互联网协议带来的优势。原生IPv6环境通常意味着用户可以直接与支持IPv6的服务建立端到端的连接，无需经过运营商级的网络地址转换设备（CGNAT），这对于P2P下载、在线游戏和视频通话等对网络质量敏感的应用来说能够显著降低延迟并提高连接稳定性。在家庭宽带双栈网络下开启该参数，用户访问Google、YouTube等主流IPv6站点时会获得更纯净的路由路径和更低的数据包丢失率。移动蜂窝网络（4G/5G）中的IPv6优先策略国内三大运营商的4G和5G移动网络已经全面部署了IPv6，移动设备在这些网络下获取的IPv6地址通常具有更短的网络路径和更低的服务质量限制，因为核心网中的IPv6流量承载能力已接近饱和而利用率相对较低。开启prefer-ipv6后，手机在使用移动数据时访问支持IPv6的服务会优先走IPv6通道，这些通道在繁忙时段往往比IPv4通道具有更高的带宽余量和更稳定的连接质量。特别是在5G网络下，IPv6是网络架构的原生配置，优先使用IPv6能够更充分地发挥5G的高速率和低时延特性。教育网和科研网络等纯IPv6优先环境在教育网（CERNET）和各类科研网络环境中，IPv6是网络建设的核心组成部分且性能明显优于IPv4，这些网络通常部署了先进的IPv6路由优化策略。在这些网络环境下开启prefer-ipv6能够让所有支持双栈的访问请求优先走IPv6通道，充分利用网络基础设施的优化能力获得最佳的访问体验。如果不开启该参数，部分应用和服务可能会错误地选择IPv4通道，而这些通道在这些网络中往往需要经过繁琐的转换设备，导致速度大幅下降。纯IPv6优先的环境是prefer-ipv6功能的最佳适用场域。必须保持关闭prefer-ipv6的敏感场景IPv6网络质量劣于IPv4的运营商环境部分宽带运营商虽然为用户分配了IPv6地址，但IPv6出口带宽有限、国际路由绕路严重或存在较高的丢包率，导致IPv6通道的实际体验远不如成熟的IPv4网络。在这种网络环境下开启prefer-ipv6会导致所有优先使用IPv6的连接变慢或失败，用户访问境外网站时可能频繁超时。用户可以通过在开启前后分别访问同一双栈网站并对比加载速度来判断自身网络的IPv6质量，若开启后速度明显下降则应果断关闭该参数，保持传统的IPv4优先策略。使用代理节点不支持IPv6连接的场景如果用户当前使用的代理节点服务器仅配置了IPv4地址，而本地网络却启用了IPv6并开启了prefer-ipv6，则会产生一个严重的问题：引擎会优先尝试使用IPv6地址去连接代理目标，但代理节点本身无法处理IPv6流量，导致代理连接始终无法建立。这种情况表现为节点延迟测试正常但在实际使用时所有代理域名都无法打开，且日志中反复出现IPv6连接超时的错误提示。此时用户必须关闭prefer-ipv6或更换支持双栈的代理节点，否则代理通道将完全不可用。老旧应用和特定网站对IPv6兼容性不佳的环境部分老旧的企业应用、政府网站或特定银行的网上银行系统对IPv6的支持尚不完善，当客户端通过IPv6访问这些站点时可能出现页面显示异常、功能按钮无响应或安全证书验证失败等问题。开启prefer-ipv6会让这些应用的访问请求优先走IPv6通道，而该通道与应用的兼容性缺陷会导致用户体验严重受损。用户如果频繁访问这类IPv6兼容性欠佳的站点，为了确保功能的完整性和稳定性，应当保持prefer-ipv6关闭，让所有请求始终通过成熟的IPv4通道完成。在配置文件中设置prefer-ipv6的操作步骤定位配置文件编辑入口与参数添加位置由于prefer-ipv6并未出现在Shadowrocket的图形化设置界面中，用户必须通过编辑配置文件的纯文本来实现对该参数的修改。进入Shadowrocket的“配置”页面，找到当前正在加载的配置文件并点击进入详情页，选择“编辑纯文本”或“编辑配置”以打开内置的文本编辑器。在文件中找到以[General]开头的全局设置段落，该段落通常位于配置文件的顶部区域，包含了日志级别、DNS超时等基础参数，prefer-ipv6参数应添加在此段落的任意空行位置。按照正确语法添加或修改参数行在[General]段落下新增一行“prefer-ipv6=true”以开启IPv6优先策略，或输入“prefer-ipv6=false”以明确关闭该功能并保持默认的IPv4优先行为。注意参数名与等号之间、等号与值之间各保留一个英文空格，值必须为小写的true或false，任何大小写错误或多余符号都会导致解析引擎忽略该行配置。如果配置文件中已经存在该参数行，则直接修改等号后的值即可而无需重复添加，确保文件中仅保留一行prefer-ipv6定义以避免解析冲突。保存配置并执行重载使修改生效完成参数行的添加或修改后，点击页面右上角的“保存”按钮将更改写入配置文件，然后返回配置页面并点击“重新加载”按钮让引擎重新解析整个配置文件的内容。重载完成后如果VPN处于连接状态，建议手动断开并重新建立VPN连接，确保网络栈全面重置以应用新的地址偏好策略。此后可以通过访问双栈网站并查看实时日志中显示的连接IP地址族来验证prefer-ipv6是否按预期正常工作。开启后的验证方法与故障应急处理通过实时日志确认连接的地址族配置完成后，打开Shadowrocket的实时日志功能，然后访问一个已知同时支持IPv6和IPv4的境外网站（如google.com或youtube.com），观察日志中该域名解析后返回的IP地址类型。如果日志显示连接尝试使用了以“2001:”或“240e:”等开头的IPv6地址，则说明prefer-ipv6已成功开启并正指导引擎优先使用IPv6通道。如果日志中出现的仍然是IPv4地址且在该网站明显支持IPv6的情况下，则该参数可能未被正确加载，需要返回配置文件检查语法并重新执行重载操作。因IPv6质量不佳导致访问异常的快速回退开启prefer-ipv6后如果发现网页加载速度明显变慢、部分网站无法打开或代理连接频繁超时，应立即怀疑IPv6通道的质量问题并果断回退配置。用户只需要再次进入配置文件的文本编辑器，将“prefer-ipv6=true”修改为“prefer-ipv6=false”并保存重载，网络行为即可恢复到IPv4优先的稳定状态。回退后无需重启设备或重置其他配置，所有网络连接会立即切换回使用IPv4地址进行连接建立，访问速度通常会在数秒内恢复正常。与代理节点支持的兼容性验证方法为了确认代理节点对IPv6的实际支持情况，用户可以在开启prefer-ipv6后访问一个纯IPv6测试站点（如ipv6.google.com），观察连接是否能够成功建立并正常加载页面内容。如果测试站点无法访问且日志显示IPv6连接超时，说明当前代理节点不支持IPv6转发，用户要么关闭prefer-ipv6彻底禁用IPv6优先，要么更换一个明确支持双栈的代理节点来同时享受IPv6的潜在优势。定期进行这种兼容性验证有助于用户根据节点变化及时调整prefer-ipv6的配置状态。常见问题FAQ

Shadowrocket代理类域名是本地DNS解析还是远端解析？

在Shadowrocket中配置代理类域名的DNS解析模式时，核心操作是进入当前配置文件的规则列表，为所有需要抗污染的境外代理规则逐一勾选“force-remote-dns”修饰符以强制启用远端解析，同时确保所有国内直连规则保持默认不勾选以继续使用本地解析。配置完成后务必保存并重新加载配置文件，然后通过实时日志查看解析记录中是否显示“RemoteDNS”标识来验证远端解析是否生效。在日常使用中，建议将主流境外服务域名统一配置为远端解析模式以彻底规避DNS污染，将国内网站维持本地解析以保障CDN加速效果，并通过日志中返回的IP地址归属地来交叉验证解析路径是否正确。当遇到特定域名访问异常时，可先检查该规则是否配置了正确的解析模式，再结合切换解析模式进行对比测试，以此快速定位是DNS污染问题还是节点连通性问题。最后需要理解的是，远端解析虽能规避污染但会增加延迟，本地解析虽速度快但存在被干扰风险，两者的选择应基于对访问速度和稳定性的实际权衡来决定。解析权归属的决定性因素与判断标准规则修饰符对解析路径的控制逻辑Shadowrocket在处理代理类域名（即匹配了PROXY策略的域名）时，其DNS解析权归属并非固定不变，而是由配置规则中是否附加force-remote-dns修饰符直接决定。当该修饰符缺失时，引擎默认采用本地解析路径，应用会先调用设备当前的DNS配置（包括DNS服务器列表和劫持设置）将域名转换为IP地址，再通过代理节点发起连接。一旦规则条目后明确标注了该修饰符，引擎则会启用远端解析模式，将完整的域名信息封装在代理隧道内直接交由节点服务器完成DNS查询，完全不经过本地DNS系统。本地与远端解析在时序上的根本区别两种解析模式在网络请求的处理时序上存在本质差异：本地解析模式下，域名查询发生在代理连接建立之前，设备先完成DNS解析获得目标IP，再通过代理节点与该IP建立通信；远端解析模式下，设备直接将域名发送给代理节点，由节点端完成解析后再向目标IP发起连接。这一时序差异直接影响了DNS查询请求的发起位置和网络路径，本地解析的查询请求由设备本地网络发出，远端解析的查询请求则由代理节点的出口网络发出，两者的解析环境完全隔离。两种模式对解析结果的依赖程度本地解析模式高度依赖于设备当前网络环境的DNS服务质量和网络策略，如果本地运营商存在DNS污染或劫持，代理域名可能获得错误的IP地址，导致代理连接虽然成功建立但实际访问的目标服务器并非用户期望的境外源站。远端解析模式则将解析任务完全交由代理节点所在网络处理，利用节点端通常纯净的DNS环境获取准确的目标IP，从根本上规避了本地网络对解析结果的任何干扰，确保代理链路建立后的目标服务器指向正确无误。本地解析模式的工作原理与适用边界本地解析完整流程的技术拆解当代理类规则未添加force-remote-dns时，Shadowrocket会按照DNS配置面板中的服务器列表顺序发起并发查询，优先使用DoH、DoT等加密协议尝试获得解析结果。如果所有配置的DNS服务器均超时或返回错误，引擎会回退至系统默认DNS完成解析，整个过程中所有的DNS查询数据包均从设备的物理网络接口发出，经过本地运营商网络到达目标DNS服务器。一旦获得IP地址，应用会将该IP与代理节点的出口地址进行路由匹配，确认可达后即通过代理隧道转发数据，此时原始域名信息已不再保留在代理通信中。本地解析在混合分流场景中的独特价值在同时访问国内外网站的分流场景中，本地解析模式为国内CDN优化提供了关键支持——当用户访问百度、淘宝等国内站点时，本地DNS能够根据用户的地理位置返回最近的边缘节点IP，实现毫秒级的低延迟访问。如果这些国内域名的解析被强制切换到远端模式，节点端DNS会基于节点服务器的地理位置返回针对境外用户的CDN节点，反而大幅增加访问延迟。因此保留本地解析模式对国内流量的访问体验优化具有不可替代的作用，也是分流规则设计中必须平衡的重要因素。本地解析易受污染与劫持的根本制约本地解析模式的固有缺陷在于其完全暴露在本地网络环境的DNS策略之下，国内运营商的DNS服务器可能对特定境外域名返回虚假的IP地址或指向广告页面，导致用户无法正常访问目标服务。即使使用了加密DNS（DoH/DoT）作为本地解析通道，查询请求仍然从本地网络发出，虽然内容被加密保护但请求的来源IP依然暴露，部分基于源IP的解析策略仍然可能影响解析结果的准确性。这种污染风险是本地解析模式始终无法彻底规避的底层技术限制。远端解析模式的触发条件与工作机制force-remote-dns修饰符的添加与生效逻辑在配置文件的规则列表中，用户可以通过在规则条目后勾选“force-remote-dns”选项来为特定代理规则启用远端解析，该修饰符仅对策略动作为PROXY的规则有效。当引擎匹配到一条带有该修饰符的PROXY规则时，会立即将该域名的解析请求从本地DNS处理链条中剥离，转而将其封装到代理协议的数据包中随连接请求一同发送至节点服务器。节点端收到请求后，会使用节点所在网络配置的DNS服务器完成解析，并将解析得到的IP地址用于最终的连接建立，整个过程本地网络完全不知道被访问的目标域名是什么。远端解析如何规避DNS污染与策略干扰由于远端解析的整个过程全部发生在代理隧道内部，本地运营商无法检测到任何与目标域名相关的DNS查询流量，更无法对该查询进行污染或劫持操作。节点端通常位于境外网络环境，其DNS查询不受国内网络策略的限制，能够直接从全球根服务器获取最权威的解析结果，确保返回的IP地址是目标网站的真正源站地址。这种解析与转发合一的设计，使得代理访问彻底摆脱了本地网络环境对域名解析环节的一切干扰，实现了从查询到连接的完整纯净路径。远端解析对代理节点端DNS配置的依赖远端解析的准确性高度依赖于代理节点端所配置的DNS服务器的可靠性，如果节点服务器使用的DNS服务本身存在配置错误或解析延迟，那么即使本地网络完全纯净，用户同样无法获得正确的解析结果。多数专业代理服务商会将节点端的DNS配置为GooglePublicDNS或CloudflareDNS等国际权威服务，以确保解析结果的全球一致性。用户在使用远端解析时如果发现节点解析异常，问题通常出在节点端的DNS配置而非本地设置，此时需要联系服务商检查节点端的DNS健康状况。本地与远端解析对隐私保护的影响差异本地解析模式下域名信息的暴露路径在本地解析模式下，设备发出的DNS查询请求以明文或加密形式从本地网络发出，即使使用了DoH加密，查询的目标域名仍然在TLS握手的SNI字段中暴露给本地运营商和中间网络节点。运营商可以据此记录用户访问了哪些域名，虽然无法看到具体传输内容，但访问轨迹已经完整留存在运营商的日志系统中。同时本地解析获得的IP地址与代理节点的出口IP共同构成了完整的访问画像，使得用户的使用习惯和访问偏好存在被分析的可能。远端解析模式下域名信息的隐匿效果远端解析模式下，本地网络设备仅与代理节点建立加密连接，所有域名查询请求均被封装在代理隧道内部传输，本地运营商只能看到用户连接了代理节点的IP地址，完全无法获知隧道内部正在访问哪些目标域名。节点端执行DNS查询时产生的流量同样发生在代理节点与公共DNS服务器之间，与用户本地网络完全隔离，用户的域名访问记录不会被任何本地节点捕获。这种双重隐匿机制使得远端解析在保护用户隐私方面具有显著优势，尤其适合对访问记录高度敏感的使用场景。两种模式的隐私保护成本与速度权衡远端解析虽然提供了更高级别的隐私保护，但代价是每次域名查询都需要经过代理隧道的封装和传输，增加了约等于一次节点往返时间的额外延迟。本地解析模式虽然暴露了域名信息，但解析查询直接在本地完成，响应速度通常快于远端解析，尤其在网络质量较高的环境中优势明显。用户需要根据自身对隐私保护的重视程度以及对访问速度的敏感度，在不同的解析模式之间做出合理的取舍。基于应用场景的解析模式选择策略国内直连域名强制保持本地解析所有配置为DIRECT策略的国内网站域名应严格保持本地解析模式，严禁为其添加force-remote-dns修饰符，因为这些域名的访问依赖本地DNS返回的CDN最优节点以实现最快加载速度。如果这些直连域名被错误地设置为远端解析，节点端DNS返回的将是针对境外用户的CDN节点地址，不仅访问速度会大幅下降，还可能导致部分仅限国内访问的内容因IP地域不符而被拒绝服务。国内直连域名的本地解析保障是国内网络体验优化的最基本前提。境外代理域名优先启用远端解析对于所有需要PROXY策略访问的境外域名（如google.com、youtube.com、github.com等），强烈推荐在其规则后添加force-remote-dns修饰符，以确保这些域名在任何网络环境下都能获得纯净且正确的全球AnycastIP。远端解析能够彻底规避国内运营商对这些境外域名的DNS污染，保证代理连接始终指向目标源站而非被篡改的虚假地址。同时远端解析使得代理链路的域名查询与数据转发走同一通道，减少了因解析与代理路径不一致而导致的路由错误风险。混合场景下的分层配置方案在同一个配置文件中，用户应当对不同类型的域名实施差异化的解析策略，形成一个“国内直连域名用本地解析保障速度、境外代理域名用远端解析保障准确性”的分层体系。具体操作是在所有DOMAIN-SUFFIX直连规则后不添加任何解析修饰符使其默认本地解析，在所有DOMAIN-SUFFIX代理规则后手动勾选force-remote-dns以强制远端解析，并在GEOIP,CN规则和FINAL兜底规则中保持默认的本地解析行为。这种分层配置既保证了国内网站的高速访问，又确保了境外服务的纯净解析，实现了速度与准确性的最佳平衡。配置解析模式的实操方法与验证技巧在规则列表中为代理规则添加修饰符用户打开Shadowrocket的配置页面并进入当前配置文件的规则列表，找到所有策略为PROXY的域名规则条目，点击每条规则进入编辑界面。在编辑界面的策略动作选择区域下方，找到“force-remote-dns”复选框并将其勾选，保存后该规则即启用远端解析模式。如果规则数量较多，可以借助批量编辑功能或在配置文件的纯文本模式中统一为所有PROXY规则添加,force-remote-dns后缀，大幅提升配置效率。修改完成后务必保存并重新加载配置文件以使所有修饰符生效。通过实时日志确认解析路径与来源配置完成后打开Shadowrocket的实时日志功能，访问一个已配置远端解析的目标网站，观察日志中该域名匹配到的规则记录是否在末尾显示“RemoteDNS”标识。如果日志显示“RemoteDNS”则表明解析请求已成功发送至节点端完成，如果未显示该标识或明确显示“LocalDNS”，则说明修饰符未生效或规则排列顺序存在问题。用户还可以对比本地解析与远端解析模式下日志中返回的IP地址差异，通常远端解析返回的是境外源站IP，而本地解析可能返回被污染的地址。解析模式切换后的网络行为对比测试为了直观感受两种解析模式对访问体验的影响，用户可以将同一个境外域名同时配置两条规则（一条带force-remote-dns，一条不带）并分别测试其访问速度和页面加载完整性。在本地解析模式下访问该域名时，如果页面加载失败或显示内容异常，切换至远端解析模式通常能立即恢复正常，这直观证明了远端解析在抗污染方面的实际效果。反之访问国内网站时，如果远端解析模式导致加载缓慢，切回本地解析模式延迟会骤降，这验证了本地解析对国内CDN优化的关键作用。常见问题FAQ

DNS劫持（hijack-dns）功能怎么用？

在使用Shadowrocket的DNS劫持功能时，标准操作是先在“设置-DNS”界面中找到劫持功能区域并开启开关，随后在输入框中填写“IP地址:端口号”格式的目标服务器地址（如“8.8.8.8:53”），保存配置后劫持即对所有目标端口为53的UDP查询请求生效。配置完成后，用户应通过实时日志验证劫持目标是否被正确应用，若解析异常则检查目标服务器的网络连通性并酌情更换目标地址。开启劫持后需注意与DNS服务器列表和加密DNS配置的协同关系，避免将加密请求降级为明文传输或因多VPN冲突导致拦截失败，确保域名解析的连续性与隐私保护在统一控制与性能损耗之间取得最佳平衡。当不需要劫持时，关闭开关即可恢复常规解析路径，无需复杂操作。DNS劫持功能的核心原理拦截并重写所有DNS查询请求DNS劫持是Shadowrocket中一项位于VPN隧道底层的强制流量干预功能，它能够捕获设备发出的所有目标端口为53的UDP数据包，无论这些数据包原本打算发往哪个DNS服务器，都会被VPN隧道拦截并重写目标地址，最终统一转发到用户指定的DNS解析服务器。这种拦截行为发生在网络协议栈的底层，早于任何应用层面的DNS处理逻辑，因此即使是那些在代码中硬编码了DNS服务器地址的应用，其发出的解析请求同样会被成功劫持并重定向。从网络行为的视角来看，DNS劫持相当于在设备与外界的域名解析通道之间建立了一道强制性的流量过滤网，确保所有域名查询请求都无法逃逸出用户设定的解析路径。与DNS服务器列表的协同与优先关系DNS劫持功能与用户在DNS设置中配置的服务器列表并不冲突，两者在解析链路中扮演着不同层次的角色。DNS服务器列表定义了应用应该使用哪些服务器进行解析以及通过何种协议发送查询请求，而DNS劫持则是在数据包发出后的传输层面对目标地址进行拦截和重写。当劫持功能开启时，即使应用按照服务器列表的配置将查询请求发往了某个特定的DNS服务器，这些请求在数据包层面仍然会被VPN隧道截获并将目标地址替换为用户在劫持设置中指定的目标IP。这种底层重写使得劫持目标的优先级高于DNS服务器列表的任何配置，所有的解析请求最终都会汇聚到用户指定的劫持目标上。对硬编码DNS查询的特殊拦截价值许多移动应用在开发过程中为了方便或为了提高解析稳定性，会在代码中直接写入固定的DNS服务器地址（例如Google的8.8.8.8或Cloudflare的1.1.1.1），这些查询请求会绕过系统DNS配置和代理工具的表层DNS设置。DNS劫持功能通过监听所有流向53端口的UDP流量，能够捕获这些硬编码查询并将其重定向至用户指定的解析服务器，从而实现了对应用强制DNS行为的全面接管。这种拦截能力使得即便应用开发者预设了特定的解析路径，用户依然可以通过劫持功能统一控制所有流量的域名解析行为，确保没有任何查询请求能够绕过用户配置的解析策略。劫持功能的配置入口与步骤定位劫持功能在设置中的准确位置在Shadowrocket主界面中点击底部导航栏的“设置”标签进入全局设置页面，在众多配置项中向下滑动找到“DNS”选项并点击进入DNS配置面板。在DNS配置界面的中部位置，用户可以看到一个标记为“DNS劫持”或“HijackDNS”的功能区域，该区域包含一个总开关按钮和一个输入框，用户需要先点击开关将劫持功能启用，才能激活输入框进行后续的配置。不同版本的Shadowrocket可能将劫持功能放置在DNS配置界面的不同位置，但通常都在DNS服务器列表区域的下方，用户可通过扫描界面中的开关控件来快速定位。填写劫持目标服务器地址与端口启用劫持功能后，用户需要在输入框中填写希望将所有DNS查询重定向到的目标服务器地址，填写格式为“IP地址:端口号”，例如“8.8.8.8:53”或“1.1.1.1:53”。目标地址中的端口号通常为53（标准DNS端口），但如果用户希望将劫持后的请求发送到支持DNS-over-TLS的服务器，也可以填写853端口。填写完成后确保输入格式正确，IP地址与端口号之间使用英文冒号分隔，不含多余空格或特殊符号，然后点击页面其他区域或键盘上的确认键保存输入内容，劫持功能即进入工作状态。激活劫持并观察VPN状态变化完成目标地址填写并确认保存后，DNS劫持功能即时生效，用户无需重启VPN连接或重新加载配置文件。此时设备上所有流向53端口的UDPDNS查询请求都会被VPN隧道截获，并按照用户设定的目标地址重新发出。在Shadowrocket主界面的VPN连接状态区域，用户可以观察到连接状态保持稳定且没有异常中断，同时顶部状态栏的VPN图标依然持续显示，表示劫持功能正在底层正常运作。为了验证劫持是否真正生效，用户可以打开实时日志并观察解析记录中显示的服务器地址是否与劫持目标一致。劫持目标服务器的选择策略国内公共DNS作为劫持目标的适用场景当用户将国内公共DNS（如114.114.114.114:53或223.5.5.5:53）设置为劫持目标时，所有应用的DNS查询请求都会被强制发往这些服务器进行解析。这种配置适合那些希望统一国内域名解析路径、避免运营商DNS劫持广告或希望加速国内域名解析响应的用户。由于国内公共DNS服务器部署在中国大陆境内，解析国内域名的延迟极低且准确率极高，将劫持目标指向这些服务器能够有效提升国内网站的访问速度和稳定性。但需要注意的是，使用国内公共DNS解析境外域名时，可能因为网络策略的原因返回被污染的错误IP地址，这一点在同时需要访问境外网站时需要特别留意。国际公共DNS作为劫持目标的高兼容性策略将劫持目标设置为国际公共DNS（如8.8.8.8:53或1.1.1.1:53）能够获得纯净无污染的域名解析结果，尤其适合在代理环境中需要准确解析境外域名的场景。国际DNS服务器在解析全球域名时返回的结果不受本地网络策略干预，能够确保用户访问境外网站时获得正确的IP地址。但在国内网络环境下，直接连接国际DNS可能面临较大的延迟或偶发的丢包，且解析国内域名时返回的可能是对境外CDN节点而非国内最优节点，因此国际DNS作为劫持目标更适合优先访问境外服务的用户。用户也可以将劫持目标与DNS服务器列表中的国内DoH服务器结合使用，让国内域名仍由国内DNS解析，境外域名由劫持目标接管。加密DNS服务器作为劫持目标的进阶配置用户可以将劫持目标指向支持DNS-over-TLS的服务器（如1.1.1.1:853），让所有被劫持的查询请求通过TLS加密通道发出，在实现统一解析路径的同时保障查询内容的隐私性。这种配置将劫持的强制重定向能力与加密DNS的隐私保护优势相结合，构建了从拦截到解析全程安全的DNS处理链路。但加密DNS目标要求劫持功能能够正确处理TLS握手过程，且目标服务器的853端口必须在当前网络环境下可访问，否则被劫持的查询请求会因无法建立加密通道而超时失败，导致所有域名解析中断。劫持功能与DNS覆写的协同配置劫持与DNS服务器列表的双层冗余设计在同时启用DNS劫持和配置DNS服务器列表的情况下，Shadowrocket形成了双层解析保障机制：应用层优先使用DNS服务器列表中用户指定的服务器发起查询请求，即使这些请求在传输层被劫持重写，解析本身仍然是按照用户选择的服务器进行的。当DNS服务器列表中的服务器出现故障或网络不可达时，劫持功能依然能够将查询请求强制导向劫持目标，保障域名解析服务的连续性。这种双层设计让用户在享受劫持带来的统一控制力的同时，也保留了DNS服务器列表的灵活性和选择性。劫持目标与force-remote-dns的优先级关系当配置文件中为某些代理域名规则启用了force-remote-dns修饰符时，这些域名的解析请求会强制通过代理节点的远端DNS服务器完成解析。此时如果DNS劫持功能同时开启，劫持的重定向逻辑发生在请求发起的早期阶段，而force-remote-dns则作用于请求路由的选择阶段，两者在时序上前后衔接而非冲突。被劫持的查询请求在发往劫持目标后，如果该请求对应的目标域名启用了force-remote-dns，则最终仍会通过代理节点的远端通道完成解析，劫持不会覆盖force-remote-dns的生效范围。避免劫持与加密DNS协议的冗余冲突当用户在DNS服务器列表中配置了DoH或DoT等加密DNS协议时，这些请求本身已经通过HTTPS或TLS加密通道发送，具备完整的隐私保护和抗污染能力。此时如果再开启DNS劫持并将劫持目标指向明文的53端口DNS服务器，反而会将加密请求降级为明文传输，丧失加密DNS带来的安全增益。因此当DNS服务器列表以加密DNS为主时，建议关闭DNS劫持功能以保持加密解析链路的纯净性，仅在需要强制接管应用硬编码DNS请求时才考虑开启劫持。劫持功能的验证与故障排查通过实时日志确认劫持是否生效验证DNS劫持是否正常工作的最直接方法是打开Shadowrocket的实时日志功能，在日志输出中搜索包含“DNS”或“解析”标签的记录，查看每条记录的解析服务器IP地址是否与劫持目标设置一致。如果日志中显示的解析服务器地址始终为用户在劫持输入框中填写的目标IP，则说明劫持功能已成功启用并正在对所有DNS查询进行重定向。如果日志中出现了其他服务器的解析记录（如系统默认DNS或应用硬编码的DNS地址），则表明劫持未完全覆盖所有查询，需要检查劫持开关是否开启以及目标地址格式是否正确。劫持后网页无法打开的故障定位当开启DNS劫持后出现所有网页无法打开或解析超时的情况，首先检查劫持目标服务器的网络连通性，在终端中使用ping或telnet命令测试目标IP的53端口是否可达。如果目标不可达，说明该DNS服务器在当前网络环境下被封锁或存在路由故障，此时应将劫持目标更换为其他可达的DNS服务器地址。如果目标可达但解析依然异常，可以尝试在DNS服务器列表中同时添加与劫持目标相同的服务器作为备选，让应用在劫持重写的基础上拥有更灵活的解析路径。劫持与其他网络工具的兼容性问题当设备上同时运行其他VPN应用或网络代理工具时，DNS劫持功能可能会因为系统VPN插槽的单路占用而产生冲突，导致劫持无法正常拦截所有DNS查询。此时用户需要先断开其他VPN工具，确保Shadowrocket独占了系统的VPN通道，然后再开启DNS劫持功能，以避免因多VPN竞争导致的拦截漏包。企业级VPN或L2TP等基于IPSec的VPN服务通常会在网络层建立独立的隧道，与Shadowrocket的DNS劫持存在不可调和的冲突，两者无法同时正常使用。劫持开启后的性能与安全考量劫持对DNS解析延迟的量化影响DNS劫持本身仅在数据包传输层执行一次目标地址重写操作，不涉及加解密或复杂的计算过程，因此对每次查询请求增加的额外时间开销在微秒级别，用户在日常使用中完全无法感知到这一延迟变化。但劫持的实际解析速度高度依赖于所选择的目标服务器的响应性能，如果用户将劫持目标指向了一个远离本地网络的国际DNS服务器，虽然实现了统一的解析控制，但单次解析的绝对延迟可能从几十毫秒增加到数百毫秒，最终影响整体网页加载速度。用户需要在统一控制和解析速度之间做出权衡，选择最符合自身网络环境的目标服务器。隐私泄露风险的重新评估启用DNS劫持并将所有查询请求集中发往单一目标服务器，意味着该服务器能够完整记录用户所有的域名访问记录，如果用户选择的是不可信或非加密的DNS服务器，这种集中化反而放大了隐私泄露的风险。相较于默认情况下多个应用的DNS查询分散发往不同服务器，劫持带来的统一目标让数据收集变得更为便利。为了保护查询隐私，用户应将劫持目标指向支持加密传输的服务器（如通过853端口的DoT服务器），或在明确信任目标服务器可靠性的前提下才启用劫持功能。劫持功能的关闭与配置重置操作当用户不再需要劫持功能时，只需返回DNS配置界面将“DNS劫持”开关切换至关闭状态即可，关闭后所有DNS查询请求恢复正常路由，不再被强制重定向至劫持目标。如果用户希望彻底清除劫持配置，可以在关闭开关后清空劫持目标输入框中的地址内容，保存后该配置参数即被删除。关闭劫持后无需重启VPN或重新加载配置，网络行为会立即恢复到劫持前的状态，用户可以通过实时日志观察解析服务器地址的变化来确认劫持已完全失效。常见问题FAQ

Shadowrocket私有IP应答（private-ip-answer）什么意思？要开吗？

在配置Shadowrocket的private-ip-answer选项时，正确的决策路径是首先评估您的内网使用频率和DNS环境安全性，若您经常通过域名访问公司OA、家庭NAS或使用Tailscale等组网工具，则强烈建议开启此选项并配合精细的IP-CIDR直连规则以实现内网流量的精准分流，开启操作需进入配置文件的[General]段落手动添加参数行并保存重载。若您仅访问公网服务或处于高污染网络环境，则保持默认关闭最为稳妥，可有效规避DNS污染对代理分流的干扰。配置完成后务必通过实时日志验证私有IP是否被规则引擎正确识别，若出现境外网站异常则立即回退至关闭状态，并考虑搭配加密DNS从根本上解决污染问题。最后提醒，远程订阅配置的修改会在下次更新时被覆盖，如要永久保留建议将配置导出为本地副本再进行编辑。私有IP应答的核心技术含义DNS解析结果中的私有地址处理机制private-ip-answer是Shadowrocket配置文件[General]字段中的一项高级DNS开关，它直接决定了应用如何处理域名解析返回的私有IP地址（如10.0.0.0/8、172.16.0.0/12、192.168.0.0/16及127.0.0.0/8）。当系统通过DNS查询获得一个域名的IP地址后，如果该IP属于上述私有地址段，开启此选项会让Shadowrocket将其视为有效的解析结果并参与后续的规则匹配，而关闭则完全忽略这些私有IP，不将其用于任何基于IP的路由决策。这一机制的设计初衷是为了在不同网络环境下灵活控制内网域名的流量走向，避免因解析结果与规则引擎的不匹配导致路由错误。默认关闭状态下的解析行为逻辑在默认配置（private-ip-answer=false）下，Shadowrocket在规则匹配阶段会主动丢弃所有解析为私有IP的域名信息，仅依赖域名本身的规则（如DOMAIN-SUFFIX）来决定流量的最终动作。这意味着即使您为某个内网域名配置了精准的IP-CIDR直连规则，如果该域名解析结果为192.168.x.x，引擎也不会触发该IP规则，而是转而查找是否有匹配的域名规则，若无则直接执行FINAL兜底策略。这种设计有效避免了因DNS污染导致境外域名被错误解析到内网地址时，流量被强行直连而无法正常代理访问的风险。开启状态对规则匹配流程的重构影响当用户将private-ip-answer设置为true后，Shadowrocket会在规则匹配阶段完全接纳私有IP地址，并将其作为正常的IP信息参与所有基于IP的规则判断（包括IP-CIDR、GEOIP以及RULE-SET中的IP段匹配）。此时，如果您的规则列表中包含“IP-CIDR,192.168.0.0/16,DIRECT”这样的条目，且某个域名解析出该段内的IP，引擎会立即命中该规则并将流量直连本地网络，完全绕过域名规则的匹配链。这种开启状态让内网域名的分流变得极其精准和高效，但也意味着一旦DNS被污染，境外域名可能会被错误直连，导致访问失败。开启与关闭两种模式的实际效果对比关闭模式（false）下典型场景的流量走向在关闭状态下，用户访问公司内部OA系统（域名oa.company.com解析为10.0.1.5）时，由于私有IP被忽略，引擎不会触发“IP-CIDR,10.0.0.0/8,DIRECT”规则，而是继续查找是否有“DOMAIN-SUFFIX,company.com”的规则。如果配置文件中没有为该域名单独设置直连规则，流量将落入FINAL策略（通常为PROXY），导致内网请求被错误地发往代理节点，从而无法访问或速度极慢。相反，当境外知名网站因DNS污染被错误解析为192.168.1.1时，关闭模式会忽略该解析结果，转而依靠域名规则（如“DOMAIN-SUFFIX,google.com,PROXY”）正常走代理，保证访问不受污染影响。开启模式（true）下内网流量的精确分流优势开启private-ip-answer后，上述内网OA场景将发生根本性改变：引擎成功匹配10.0.1.5到IP-CIDR直连规则，流量瞬间直连本地网络，访问速度与局域网一致，不再经过代理节点绕路。对于使用Tailscale或ZeroTier等虚拟组网工具的用户，这些工具分配的100.64.0.0/10或172.16.0.0/12地址同样可以被精准捕获，确保内部通信流量始终走本地隧道，大幅降低延迟。开启模式让基于IP的精细化分流从“形同虚设”变为“立竿见影”，是内网重度用户的必备配置。两种模式在安全性与可用性之间的权衡关闭模式牺牲了内网分流的精确性，换取了更高的安全容错性——即使DNS被恶意篡改，私有IP也不会干扰正常的代理分流，境外访问始终可控。开启模式则相反，它将内网体验推向极致，但一旦DNS出现异常污染，就可能导致关键境外服务因解析到私有IP而走直连，从而无法正常使用。用户需要根据自身的网络信任度和内网使用频率做出权衡，没有绝对的最佳选项，只有最适合当前环境的配置。推荐开启private-ip-answer的核心使用场景企业内网与家庭NAS域名的精准访问对于在公司办公或家中部署NAS存储设备的用户，大量内部服务通过域名（如nas.local、jira.internal）访问，这些域名解析出的都是私有IP地址。开启private-ip-answer后，您只需在配置文件中添加一条“IP-CIDR,192.168.0.0/16,DIRECT”或更精细的“IP-CIDR,10.0.0.0/8,DIRECT”规则，所有内网域名的流量就会自动直连，无需为每个内网域名逐一编写DOMAIN规则。这种批量直连策略极大地简化了配置维护，而且保证了内网文件传输、打印机共享和数据库访问的本地高速体验。使用组网工具（Tailscale/ZeroTier）时的必需配置现代虚拟组网工具通常会下发属于RFC6598的100.64.0.0/10地址或部分私有B段地址，这些地址在关闭private-ip-answer时会被规则引擎完全忽视，导致您精心编写的IP-CIDR直连规则完全失效，所有节点间通信被迫绕行公网代理，延迟剧增。开启此选项后，引擎能够识别并利用这些私有IP进行精准分流，让组网流量始终走本地物理链路，实现近乎局域网的传输速度。几乎所有深度使用组网工具的高级用户都会将该选项强制开启，否则组网体验会大打折扣。测试与开发环境中的域名固定解析需求在软件开发和测试场景中，工程师经常通过修改本地hosts或将内部测试域名指向私有IP来模拟生产环境，这些域名解析出的192.168.x.x地址需要在代理工具中按特定策略路由。开启private-ip-answer后，您可以通过IP-CIDR规则精确控制这些测试流量的去向（例如代理到指定节点进行调试，或直连本地），而不受域名规则顺序的干扰。这对于需要同时访问公网和测试环境的开发者来说是极大的便利，让调试环境与代理策略完美融合。建议保持关闭private-ip-answer的适用情况仅访问公共互联网服务的普通用户如果您的日常网络活动只涉及浏览新闻、观看视频、收发邮件和社交沟通，所有访问目标都是公网域名（如google.com、youtube.com、baidu.com），那么您完全不需要关注内网分流。此时保持private-ip-answer的默认关闭状态最为稳妥，因为任何针对您常用域名的DNS污染（如将google.com解析为192.168.0.1）都会被引擎自动忽略，代理分流始终按照域名规则正常执行，不会因异常解析而导致断网。处于高污染网络环境下的安全优先策略在公共Wi-Fi、校园网或某些运营商网络中，DNS污染较为普遍且频繁，攻击者可能故意将知名域名解析到内网地址以实施中间人劫持。开启private-ip-answer会将这些污染的私有IP纳入规则匹配，一旦您的IP-CIDR直连规则范围较宽（如整个10.0.0.0/8），这些被污染的域名请求就会直接走直连，从而落入攻击者设定的陷阱。关闭此选项则相当于为您的代理分流增加了一道“私有IP过滤层”，有效隔离污染危害，是安全敏感用户的首选。规则体系完全依赖域名分流的配置架构有些高级用户为了避免IP规则维护的复杂性，将所有分流决策全部建立在DOMAIN-SUFFIX和DOMAIN-KEYWORD规则之上，完全不使用IP-CIDR或GEOIP等基于地址的规则。在这种情况下，private-ip-answer的开启或关闭对分流结果没有任何影响，因为引擎本来就只会匹配域名规则，私有IP信息不会被任何规则引用。对于这类用户，保持默认关闭是最省心的选择，既不会带来任何功能增益，也不会引入额外的故障风险。通过编辑配置文件手动设置该选项定位配置文件的编辑入口由于private-ip-answer并未出现在Shadowrocket的图形化设置界面中，您必须通过编辑配置文件文本来完成设置。首先进入Shadowrocket的“配置”页面，在列表中找到您当前正在使用的配置文件（通常标记为“已加载”），点击进入详情页后选择“编辑纯文本”或“编辑配置”按钮，系统将打开一个内置的文本编辑器，展示配置文件的所有参数行。如果您使用的是远程订阅配置，需要先将配置导出为本地副本再进行编辑，否则修改会在下次订阅更新时被覆盖。在[General]段落中正确添加参数行在打开的文本编辑器中，找到以[General]开头的段落，该段落通常位于文件的开头部分，包含一些全局基础设置。在该段落的任意空行处，手动添加一行“private-ip-answer=true”或“private-ip-answer=false”，根据您的需求决定开启或关闭。注意参数名与等号之间、等号与值之间均保留一个空格，且值必须为小写的true或false，任何大小写错误或多余空格都会导致该行被解析引擎忽略。添加完成后点击右上角的“保存”按钮，返回到配置页面。重新加载配置文件使修改生效保存配置文件后，您必须执行一次配置重载操作才能让新参数正式生效。在配置页面点击“重新加载”按钮或下拉刷新页面，Shadowrocket会重新解析整个配置文件并应用所有修改。如果您当前VPN处于连接状态，重载过程不会断开隧道，但为了确保万无一失，建议在重载后主动关闭并重新开启一次VPN连接，让网络栈完全重置。此后，您可以通过访问内网域名或查看实时日志来验证private-ip-answer是否按预期工作。配置后的验证方法与故障应急回退通过实时日志确认私有IP是否被规则引擎接受配置完成后，打开Shadowrocket的实时日志功能，然后在浏览器中访问一个您已知解析为私有IP的内网域名，观察日志输出。如果日志中显示该域名经过DNS解析后获得了私有IP地址，并且后续有基于该IP的规则匹配记录（例如命中“IP-CIDR,192.168.0.0/16,DIRECT”），则说明private-ip-answer已成功开启并生效。如果日志显示域名解析后私有IP未被任何IP规则匹配，或直接跳过了IP匹配环节，则很可能您未正确开启该选项，需要重新检查配置文件中的参数拼写和保存状态。测试内网服务访问速度与路由路径最直观的验证方法是对比开启前后访问内网服务的速度差异。在关闭状态下，访问公司OA或NAS可能会感觉到明显延迟（因为流量绕经代理节点），而在开启后，延迟应当骤降至局域网水平。您也可以使用网络诊断工具（如ping或traceroute）观察数据包的路径，如果路由的第一跳是本地网关而非代理节点，则说明直连分流成功。如果开启后发现原本可正常访问的外网网站突然无法打开，很可能是因为DNS污染导致境外域名被解析到私有IP并错误直连，此时应立即关闭该选项。配置异常时的快速回退方案如果开启private-ip-answer后网络出现大面积异常，您可以立即进入配置文件的文本编辑界面，将该参数改回“private-ip-answer=false”，保存并重新加载配置，网络行为将恢复至开启前的状态。如果修改配置文件后忘记原始参数值，您可以直接删除该整行，因为引擎在缺少该参数时会默认采用false，效果等同于关闭。为了更稳妥，您可以提前备份一份配置文件，在出问题时直接导入备份恢复全部设置，这是最高效的应急手段。常见问题FAQ

Shadowrocket备用DNS（fallback-dns-server）怎么设置？

在Shadowrocket中配置备用DNS（fallback-dns-server）时，用户应当先通过编辑当前配置文件进入[General]段落，新增一行“fallback-dns-server=首选备用的DNS地址”，保存后重新加载配置让该参数生效。在DNS服务器列表中保留至少一组主用解析服务器作为日常主力，同时将备用地址设置为网络兼容性最高的公共DNS（如8.8.8.8或114.114.114.114），并确保该地址为主DNS全盘失效时能够无障碍访问的保底通道。配置完成后建议通过临时填入无效主DNS并观察实时日志的方式来验证备用机制是否正常触发，确认无误后将主DNS恢复为正常列表。日常使用中若日志频繁显示备用DNS被调用，则应及时调整主DNS列表的服务器组合以提升其可靠性，避免长期依赖备用通道而影响解析速度和抗污染能力。备用DNS的作用与配置逻辑理解备用DNS在整个解析链中的位置Shadowrocket中的备用DNS（fallback-dns-server）是位于主DNS服务器列表之后的一个独立解析通道，它在主DNS服务器全部不可用或返回异常结果时才会被激活介入。与主DNS并发查询所有列表服务器并采用最快返回结果的模式不同，备用DNS采用顺序兜底的策略，只有在主解析完全失败的情况下才发起查询。这种设计确保了在绝大多数情况下解析速度最快的主服务器能够正常响应，同时为网络环境变化时主通道不可用提供了最后一道解析防线，避免因单一DNS故障导致全局断网。主DNS与备用DNS的职责划分主DNS服务器列表通常包含用户精心挑选的多个国内国外高可用服务器，在正常网络条件下承担全部域名解析任务。备用DNS则作为保底方案，只在主DNS请求超时、返回错误码或解析结果明显异常时发挥作用，其设计目标并非提升解析速度而是保障解析服务的绝对连续性。用户在配置时应当将最稳定、兼容性最强的DNS服务器填入备用字段，例如运营商的默认DNS或国际通用DNS，确保在主解析因网络策略或服务器故障而中断时，备用通道能够以最低的延迟成功兜底。备用DNS与DNS劫持功能的关系DNS劫持功能会拦截所有目标端口为53的请求并强制重定向到用户指定的解析服务器，这一操作发生于主DNS列表和备用DNS之前。当劫持开启时，主备DNS的配置仍然生效但所有请求的实际目标都已被劫持重写，此时主备之间的切换逻辑不再完全由用户配置的列表顺序决定。用户在同时开启劫持和配置备用DNS时，应当明确劫持目标地址的可靠性，因为劫持会使备用DNS在主DNS失败后同样指向劫持目标，而无法自由切换至用户单独指定的备用地址。在配置文件中设置fallback-dns-server通过配置文件直接编辑备用DNS参数Shadowrocket并未在图形化设置界面中提供fallback-dns-server的直接输入框，该参数的配置需要通过编辑配置文件来实现。用户进入“配置”页面，选择当前加载的配置文件并进入“编辑配置”模式，在配置文本中找到[General]或[DNS]段落，手动添加或修改fallback-dns-server=服务器地址这一行来指定备用解析服务器。如果配置文件中不存在该条目，用户可以在[General]段落的末尾新增一行写入，保存后重新加载配置即可生效。配置文件编辑方式赋予了用户对备用DNS的完全控制权，但需要用户对配置语法有基本了解。图形化设置中的备用DNS替代方案虽然Shadowrocket设置界面中没有直接的fallback-dns-server配置入口，但用户可以通过在DNS服务器列表中添加一组稳定的备用服务器来实现类似的效果。具体做法是将主DNS服务器（如DoH和DoT）排列在列表前端，将传统的明文DNS（如223.5.5.5或114.114.114.114）放置在列表最后面，Shadowrocket会在加密通道超时后自动尝试列表末端的明文服务器完成解析兜底。这种列表排序方式的实质效果与专用fallback参数一致，而且不需要用户手动编辑配置文件，是绝大多数普通用户更容易上手的配置方案。配置文件语法检查与保存注意事项在配置文件中添加fallback-dns-server时，确保服务器地址的格式与主DNS列表中的格式一致，支持IP地址、域名和带端口的格式如“8.8.8.8:53”或“1.1.1.1”。同时注意该条目只能出现一次，多条fallback配置会导致解析引擎出现异常行为。保存配置文件后，用户应在配置页面执行“重新加载”操作让新参数生效，并通过实时日志验证备用DNS在故障模拟场景下是否真正被调用。备用DNS与主DNS的协同机制故障触发条件与切换时序备用DNS的触发基于主DNS请求的超时时间或返回的错误代码，当主列表中所有服务器在规定超时时间内均未返回有效响应时，引擎会立即发起对备用DNS的查询请求。整个超时等待和切换过程在毫秒级完成，用户几乎感受不到解析延迟的增加，但首次触发备用时因为需要等待主服务器超时，会略微延长首个域名的解析时间。之后的解析请求会直接使用备用DNS，直到用户重新加载配置或手动切换网络环境才会重置主备选择状态。主DNS部分失败时的处理策略如果主DNS服务器列表中只有部分服务器超时或返回错误，而其他服务器正常响应，引擎不会触发备用DNS，因为主列表中只要有一个服务器成功返回即可满足解析需求。只有在主列表中的所有服务器全部超时或全部返回无效结果时，备用DNS才会被启用。这种处理策略确保备用DNS只在最极端的全盘故障情况下介入，避免因个别服务器不可用而频繁切换至备用通道导致解析效率波动。备用DNS生效后的状态保存与恢复一旦备用DNS被触发并成功完成一次解析，引擎会在当前会话中持续使用备用DNS而不会自动切回主DNS，直到VPN连接重启或配置重新加载。这种状态保存机制避免了解析通道的频繁切换带来的不确定性，但也意味着用户需要手动触发一次配置重载才能让主DNS恢复优先地位。在排除主DNS故障后，用户应当重新加载配置或重启VPN，将解析通道重置回主优先的正常模式。fallback-dns-server的典型应用场景公共WiFi环境下应对DNS劫持与封锁在机场、酒店、咖啡馆等公共WiFi环境中，网络提供商常常通过强制DNS劫持将未付费或未认证的用户重定向到认证页面，导致主DNS无法正常工作。备用DNS在这种情况下可以作为绕过劫持的备用解析通道，因为公共WiFi的劫持策略通常针对UDP53明文请求，而用户的主DNS若配置为DoH或DoT加密解析，公共WiFi无法劫持加密流量，备用DNS则可以设置为传统的明文公共DNS，在加密通道因网络策略受阻时提供兜底解析。这种组合方案让用户即使在强制认证的公共WiFi下也能保持基本的域名解析能力。主用加密DNS服务器不可达时的保底方案当用户的网络环境限制或拦截了DoH或DoT的加密DNS流量时，主DNS列表中的所有加密服务器都会超时无响应，此时备用DNS作为明文解析通道可以立即接管并提供最基本的域名解析服务。虽然明文DNS牺牲了隐私保护和抗污染能力，但至少保证了用户能够正常上网，不会因为加密解析被阻断而导致完全断网。这种保底方案的稳定性极高，因为明文DNS（如114.114.114.114）在绝大多数网络环境下都能无障碍访问，适合作为最后一道解析防线。代理节点切换时的DNS连续性问题当用户在Shadowrocket中切换代理节点时，节点的出口网络环境可能发生变化，导致之前工作正常的DNS服务器在新节点下无法访问。备用DNS在此场景下能够确保解析服务在节点切换过程中不发生中断，因为主DNS可能因新节点的路由策略而失效，但备用DNS通常选择的是全球通用的公共DNS，在任何网络出口下都具有极高的访问兼容性。备用DNS的存在让节点切换过程中的域名解析保持连续，用户不会感知到因切换节点而导致的短暂断网。备用DNS配置的常见格式与参数单服务器地址的基本格式最基本的备用DNS配置是在[General]段落中写入单行“fallback-dns-server=8.8.8.8”，这样当主DNS全部失效时，所有解析请求都会发往8.8.8.8这台公共DNS服务器完成。该格式支持IPv4和IPv6地址，用户也可以填写域名形式的DNS地址，但为了避免因域名解析本身失败导致备用DNS不可用，建议优先使用稳定的IP地址作为备用目标。单服务器配置简单直接，适合大多数只需最基本兜底解析的用户。多个备用服务器的并列写法如果用户希望在主DNS全盘故障时有多个备选通道可尝试，可以在配置文件中连续写入多行“fallback-dns-server”条目，每行指定一个不同的解析服务器地址。Shadowrocket在处理多个备用服务器时会采用顺序尝试的策略，先尝试第一个备用服务器，若超时或失败则继续尝试下一个，直到某一服务器成功返回解析结果为止。多备用服务器的配置在公共WiFi等极端网络环境下提供了更高的解析成功率，但同时也增加了整体的故障切换时间。带端口与协议前缀的扩展格式备用DNS同样支持指定非标准端口和加密协议，例如“fallback-dns-server=1.1.1.1:853”表示使用DoT端口进行加密解析，或“fallback-dns-server=https://dns.google/dns-query”使用DoH协议。但在备用场景下使用加密协议需要谨慎评估，因为备用的触发条件本身就是主DNS不可用，此时加密协议可能同样受阻。通常建议备用DNS使用标准53端口的明文协议以最大化兼容性，特殊需求下也可使用加密备用。验证备用DNS生效与故障排查通过实时日志模拟主DNS超时为了验证备用DNS是否配置正确并能够正常触发，用户可以临时在DNS服务器列表中添加一个无效的DNS地址（如192.0.2.1）作为唯一主DNS，让所有主解析请求必然超时。然后访问任意域名并打开实时日志，如果日志中显示主DNS请求超时后紧接着出现了向备用DNS地址发起的解析请求并成功返回IP地址，则说明备用DNS配置已生效且工作正常。测试完成后记得移除无效的主DNS地址以恢复正常解析配置。解析日志中备用DNS的命中识别在常规使用中，如果主DNS正常工作，解析日志中不会出现备用DNS的请求记录，因为引擎不会触发备用机制。只有当主DNS出现故障时，日志中才会出现“fallback-dns-servertriggered”或类似标识，表明当前解析请求已切换到备用通道。用户可以定期检查日志中是否有备用DNS的命中记录，如果频繁出现则说明主DNS服务器的稳定性存在问题，需要更换更可靠的主DNS服务器来减少对备用的依赖。配置文件加载错误导致备用失效的排查如果备用DNS配置后始终无法触发，首先检查配置文件中fallback-dns-server的拼写是否正确，注意是“fallback”而非“failback”或“fall-back”。其次确认该行是否位于正确的段落（[General]下）且没有与主DNS列表的语法冲突。若配置文件语法无误但备用依然不生效，尝试在设置界面清空当前DNS服务器列表，让主DNS自然失效后再测试备用是否能够单独工作，排除主DNS持续有效导致备用无机会触发的可能性。常见问题FAQ