在Shadowrocket中配置DNS覆写时，用户应当先从“设置”页面进入“DNS”配置面板，在DNS服务器列表中添加国内和境外组合服务器确保基础解析覆盖，然后根据网络环境决定是否开启DNS劫持来拦截硬编码请求，在配置文件中为代理域名规则启用force-remote-dns修饰符以保障远端解析的准确性和抗污染能力，并可针对特殊域名在Hosts模块添加静态IP映射以超越所有解析策略实现强制路由。配置完成后务必执行清除DNS缓存操作并通过实时日志验证每个目标域名的实际解析服务器和返回IP，确认无误后在后续使用中定期检查服务器列表的可用性和Hosts记录的时效性，当网络异常时优先通过关闭劫持或恢复默认DNS列表来回退配置并逐步排查故障环节。
DNS覆写的核心功能与入口定位
理解DNS覆写在代理链路中的作用
DNS覆写是Shadowrocket中一项关键的域名解析干预功能，它允许用户自定义设备发出的所有DNS查询请求的目标解析服务器，并控制这些查询通过何种网络路径发出。在默认情况下iOS设备使用运营商或本地网络分配的DNS服务器进行域名解析，但这些服务器在解析境外域名时可能返回被污染的错误IP地址，导致代理通道完全失效。DNS覆写通过在VPN隧道内部接管所有DNS请求，让用户将解析任务交给更可靠且支持加密传输的DoH或DoT服务器，确保每次域名查询都能获得准确无误的IP地址，从根本上规避了DNS污染对代理访问的干扰。
设置入口的具体位置与界面导航
在Shadowrocket主界面中点击底部导航栏的“设置”标签进入全局设置页面，在众多配置项中找到并点击“DNS”选项即可进入DNS覆写的核心配置界面。该界面自上而下依次排列着“DNS服务器”列表、备用DNS配置、DNS劫持开关以及Hosts静态记录等关键设置模块，每个模块对应不同的覆写策略和适用场景。不同版本的Shadowrocket在界面布局上可能存在细微差异，但“DNS”选项始终位于设置列表的前半部分，用户可通过滑动列表快速定位并进入该配置面板。
启用DNS覆写前的系统权限确认
DNS覆写功能依赖于Shadowrocket的VPN隧道处于激活状态才能正常工作，因为所有经过覆写的DNS查询都需要通过虚拟网卡进行拦截和重定向。在配置DNS覆写之前用户应当确保应用已成功建立VPN连接，并确认iOS系统设置中Shadowrocket的“蜂窝网络”和“后台应用刷新”权限均已开启，否则DNS请求可能绕过VPN直接由系统默认DNS服务器处理。如果VPN连接状态不稳定或权限配置不完整，即使DNS覆写设置保存成功，实际解析效果也可能无法正常体现。
基础DNS服务器列表的配置方法
在DNS设置中添加自定义服务器地址
在DNS配置界面顶部找到“DNS服务器”输入框，点击后手动输入希望使用的DNS服务器IP地址或加密协议链接，输入完成后点击键盘上的“换行”或“返回”键即可将该服务器添加至下方的使用列表。用户可以根据解析需求同时添加多个DNS服务器，Shadowrocket在执行域名解析时会同时向所有列表中的服务器发起查询，并采用最快返回正确结果的应答作为最终解析值，这种并发查询策略既保证了解析速度也提升了容错率。如果需要移除某个服务器，左滑该条目并点击“删除”按钮即可完成移除操作。
国内与国际服务器的组合推荐方案
为了兼顾国内网站的低延迟解析和境外网站的抗污染解析，推荐用户将国内公共DNS与境外安全DNS同时填入服务器列表，形成内外兼顾的混合解析策略。国内推荐使用阿里云DoH（https://dns.alidns.com/dns-query）和腾讯云DoH（https://doh.pub/dns-query），这两组服务器在大陆网络环境下解析速度快且支持加密传输，能够确保国内域名的快速准确解析。国际方面推荐接入Cloudflare的1.1.1.1和Google的8.8.8.8作为补充，这些服务器在解析境外域名时返回不受污染的正确IP地址，两者组合能够覆盖绝大多数的国内国际访问场景。
服务器排列顺序对解析效率的优化作用
DNS服务器在列表中的排列顺序会影响Shadowrocket并发查询时的处理优先级，虽然应用会同时向所有服务器发起请求，但列表靠前的服务器会在请求构造阶段获得更优先的处理资源分配。高频访问国内域名的用户应当将国内DNS服务器放置在列表前端，使得大多数国内域名的解析请求由国内服务器优先响应，缩短整体的解析等待时间。列表顺序的调整通过长按条目右侧的拖动柄上下移动即可完成，用户可以根据自身的网络使用习惯随时调整排列次序以获得最佳的解析体验。
DNS劫持与强制重定向的设置
理解DNS劫持对硬编码请求的拦截逻辑
某些应用程序在代码中硬编码了固定的DNS服务器地址（如8.8.8.8），这些请求会绕过Shadowrocket的DNS服务器列表直接发送至硬编码的目标服务器，导致用户的自定义DNS覆写策略对这些应用完全失效。DNS劫持功能通过拦截所有目标端口为53的DNS查询数据包，强制将这些请求重定向至用户指定的DNS服务器，从而彻底接管应用中所有硬编码的DNS查询行为。开启劫持后即使用户不手动修改系统DNS设置，所有应用和系统服务的域名解析请求都会被Shadowrocket的VPN隧道捕获并按覆写规则处理。
劫持目标地址与端口的具体填写规范
在DNS配置界面的“DNS劫持”模块中，用户需要在输入框中填写希望重定向到的目标DNS服务器地址及端口，常见格式为“8.8.8.8:53”或“1.1.1.1:53”，填写完成后点击开关按钮即可激活劫持功能。如果用户同时在DNS服务器列表中配置了加密DoH服务器，劫持地址同样可以填写这些加密服务器的IP地址和对应端口，将所有明文DNS请求统一转发至加密解析通道。劫持地址的端口号必须为53（标准DNS端口）或853（DNS-over-TLS端口），填写非标准端口可能导致劫持功能无法正常拦截和转发请求。
劫持开启后的流量路径变化
DNS劫持功能激活后，设备上所有发往任意DNS服务器的UDP端口53请求都会被VPN隧道截获并替换目标地址为用户指定的劫持目标，从网络层面看这些请求的原始目标被完全覆盖。这种强制重定向同时覆盖了系统级DNS查询和应用内置的硬编码DNS请求，确保用户配置的DNS覆写策略在所有网络场景下都具有绝对的控制权。但劫持功能一旦开启，某些依赖于特定DNS响应进行网络连通性检测的应用可能因解析路径改变而出现短暂的网络感知异常，用户在开启该功能后应观察常用应用的行为是否出现非预期的变化。
基于规则集的精细化DNS分流
为代理规则启用force-remote-dns参数
在Shadowrocket的配置文件中，用户可以在RULE-SET规则后方添加“force-remote-dns”修饰符，强制匹配该规则的域名解析请求通过代理节点所在的远端DNS服务器完成解析。该修饰符的作用在于当某个域名被明确划分为代理流量时，其DNS解析也同时交由境外DNS服务器处理，彻底规避本地DNS污染或运营商劫持对解析结果的干扰，确保代理节点获取到的是目标网站的真实境外IP地址。在配置文件中添加该修饰符后，代理链路的DNS解析路径与数据转发路径保持一致，有效消除因解析结果错误而导致的连接失败或路由错误。
国内直连域名保持本地解析的策略
对于配置文件中的国内网站直连规则，用户应当确保这些规则不添加force-remote-dns修饰符，使其保持由本地DNS服务器解析的默认行为，从而获得最快的域名响应速度和最低的解析延迟。国内主流网站如果通过境外DNS服务器解析，可能返回的是针对境外用户的CDN节点IP地址，导致访问速度大幅下降甚至出现访问被拒绝的情况。通过区分代理域名和直连域名的DNS解析路径，用户可以在保障境外网站可访问性的同时，维持国内网站的高速稳定访问体验。
规则中DNS修饰符的添加方法与注意事项
在配置文件的规则列表编辑界面中，用户点击具体规则条目后可以在策略动作区域找到并勾选“force-remote-dns”选项，勾选后该规则的所有匹配请求都会强制通过远端DNS解析。这一修饰符只对策略动作为PROXY的规则有效，对于DIRECT或REJECT动作的规则添加该修饰符不会产生任何实际效果，因为直连和拒绝流量本就不涉及代理节点的DNS通道。用户在添加修饰符时应当合理评估每个代理域名的解析需求，避免不加区分地为所有代理规则统一添加该参数，以减少不必要的远端DNS查询对解析速度的影响。
本地静态DNS记录（Hosts）的覆写设置
Hosts静态映射的功能定位与适用场景
在DNS配置界面的底部找到“Hosts”模块，用户可以在这里添加自定义的域名到IP地址的静态映射记录，这些记录在Shadowrocket的DNS解析过程中拥有最高的优先级。Hosts映射适用于需要将特定域名固定指向某个IP地址的场景，例如将内部OA系统的域名映射到公司内网IP、屏蔽特定网站的访问（映射到127.0.0.1）、或在测试环境中强制域名指向测试服务器IP。Hosts记录的优先级高于任何DNS服务器返回的解析结果，是实现域名级别的强制路由控制的最直接手段。
静态记录的添加格式与操作步骤
在Hosts模块中点击右上角的加号图标进入添加记录界面，第一行输入需要映射的完整域名（如“test.internal.com”），第二行输入对应的IP地址（如“192.168.1.100”），点击保存后该静态记录立即生效。添加完成后返回DNS配置主界面，可以看到新记录出现在Hosts列表中，每条记录以“域名 -> IP地址”的形式清晰展示，用户可以随时点击编辑或左滑删除进行管理。对于需要批量添加大量Hosts记录的高级用户，可以通过导入.conf格式的配置文件一次性完成多条记录的批量添加，大幅提升配置效率。
Hosts记录与规则引擎之间的优先级关系
Hosts静态记录在Shadowrocket的处理流程中位于DNS解析的最前端，当某个域名在Hosts列表中存在映射时，引擎会直接使用该IP地址而不会向任何DNS服务器发起查询请求，这意味着Hosts记录完全绕过了DNS服务器列表和劫持配置。Hosts记录的优先级高于配置文件中所有基于域名的分流规则，因为域名在进入规则匹配之前就已经被解析为IP地址，后续的规则引擎处理的是IP层面的匹配。利用这一高优先级特性，用户可以通过Hosts记录强制将特定域名的流量定向到特定IP，实现比规则分流更底层的路由控制。
配置后的验证、缓存清理与故障恢复
通过实时日志验证DNS解析结果
完成DNS覆写配置后，用户打开Shadowrocket的实时日志功能并访问一个目标网站，在日志输出中查找包含“DNS”或“解析”标识的条目，可以清楚看到该域名实际使用了哪个DNS服务器进行解析以及返回的IP地址。日志中的解析记录能够直接验证DNS服务器列表是否生效、劫持功能是否成功拦截了硬编码请求以及force-remote-dns修饰符是否被正确执行。如果日志显示解析服务器并非用户配置的目标服务器，说明配置过程中存在格式错误或权限问题，需要返回设置页面逐一检查每个配置项。
清除本地DNS缓存强制应用新配置
在修改DNS覆写设置后，Shadowrocket和iOS系统层面可能仍然缓存着旧配置下获得的DNS解析结果，导致新配置无法立即生效。用户应在DNS配置页面底部点击“清除DNS缓存”按钮强制清空所有本地缓存的解析记录，同时也可以在iOS“设置-通用-日期与时间”中开关一次“自动设置”来触发系统级DNS缓存的刷新。清除缓存后重新访问目标网站，所有域名解析请求都会基于最新的覆写配置重新发起查询，用户可以通过实时日志确认新配置已正确加载并返回预期的解析结果。
配置失效时的回退方案与故障排查
当DNS覆写配置导致网络出现大面积解析异常时，用户可以快速回退到默认解析设置，在DNS配置界面中逐一删除所有自定义DNS服务器条目并在劫持模块关闭开关，配置保存后Shadowrocket将恢复使用系统默认的DNS解析路径。如果回退后网络仍然异常，用户可尝试重启iPhone彻底重置系统网络栈，清除所有残留的缓存和路由表数据后再逐步重新配置DNS覆写选项。在重新配置过程中应当逐步添加各个DNS组件（先加服务器列表再开劫持），每添加一个组件都通过日志验证其效果，避免一次性启用所有功能导致故障原因无法定位。
常见问题FAQ
DNS覆写设置后国内网站访问反而变慢是怎么回事？
通常是因为DNS服务器列表中国际DNS服务器排序靠前，国内域名的解析请求优先由境外服务器处理，返回了距离较远的CDN节点IP。解决办法是将国内DNS服务器移动至列表最前端，确保国内域名优先由国内服务器解析，或将国际DNS服务器作为备用选项而非首选。
force-remote-dns修饰符和劫持功能哪个优先级更高？
两者作用于DNS解析链的不同阶段，force-remote-dns决定解析请求通过本地还是远端服务器发起，而劫持功能拦截的是到达VPN隧道前的所有明文DNS请求。如果劫持开启，force-remote-dns指定的远端解析请求同样会被劫持重定向，两者并非互斥而是叠加生效。
添加Hosts记录后规则引擎中的域名规则还生效吗？
不生效。Hosts记录在域名解析阶段就将域名转换为了IP地址，后续的规则引擎接收到的已经是IP目标，因此基于域名的分流规则无法对已经解析完成的请求进行匹配。如需同时保留Hosts映射和域名规则，应在Hosts记录中指定IP后，再通过IP-CIDR规则来实现对应的分流策略。
关闭VPN后DNS覆写配置会自动失效吗？
会完全失效。DNS覆写完全依赖于VPN隧道对网络请求的拦截和重定向能力，当VPN连接断开后所有DNS请求恢复由系统默认DNS服务器处理，用户配置的DNS服务器列表、劫持规则和Hosts记录均不再发挥任何作用。