在Shadowrocket中配置加密DNS（DoH、DoT、DoQ）时，标准操作是进入“设置-DNS”界面，在DNS服务器列表输入框中分别粘贴DoH的完整HTTPS地址或填写带端口853的DoT域名，亦可添加遵循“quic://”格式的DoQ地址，逐条添加后根据访问侧重将国内或国际服务器拖动排序至合理位置，然后返回主界面确保VPN连接处于激活状态使配置生效。配置完成后务必清除本地DNS缓存并通过实时日志确认每个目标域名的解析请求已从加密通道发出且返回IP正确，若解析异常则检查服务器地址可访问性并临时切换回明文DNS作为恢复手段，确认稳定后可关闭DNS劫持模块避免双重拦截干扰，让加密解析在保障隐私的同时与代理链路协同工作、稳定输出正确的域名解析结果。
加密DNS与传统DNS的本质差异
加密协议的三重技术优势
DoH（基于HTTPS的DNS）、DoT（基于TLS的DNS）和DoQ（基于QUIC的DNS）是三种主流的加密DNS协议，它们共同解决了传统UDP 53端口明文DNS查询存在的隐私泄露和内容篡改风险。传统DNS在设备与服务器之间传输时完全裸露，网络运营商或中间攻击者可以轻松截获并记录用户的每一个域名访问记录，甚至向查询响应中注入错误的IP地址实施DNS污染。加密DNS通过TLS或QUIC加密层将所有查询内容封装为密文传输，网络路径上的任何中间节点都无法读取查询内容也无法伪造响应结果，从根本上保障了解析链条的完整性和私密性。
三种协议的技术路线差异
DoH使用标准的HTTPS协议作为传输通道，将DNS请求封装在HTTP的POST或GET请求中发送，复用443端口使其流量特征与普通的网页浏览难以区分，具备最佳的穿透性和抗干扰能力。DoT则使用独立的TLS连接并绑定853专用端口，相比DoH少了一层HTTP封装开销解析速度略快，但独立的端口特征使其更容易被网络策略识别和拦截。DoQ是三者中最为前沿的方案，基于UDP的QUIC协议实现，在弱网环境下具备更快的连接建立速度和更强的丢包恢复能力，但当前支持该协议的服务商数量相对有限。
加密DNS在代理链路中的核心价值
在Shadowrocket的代理工作流中引入加密DNS，不仅保障了查询隐私，更是对抗DNS污染、确保代理节点获得正确目标IP的关键技术手段。当用户访问被污染的境外域名时，传统DNS会返回虚假的IP地址导致连接失败，而加密DNS通过境外服务器完成解析，返回的是目标网站的真实境外IP。结合代理链路的远端解析策略，加密DNS让域名查询与数据传输走同一条安全通道，消除了整个访问链路中最薄弱的明文环节，是构建完整加密代理体系不可或缺的一环。
DoH协议的配置方法与参数填写
获取可靠的DoH服务器地址
配置DoH的第一步是获取服务商提供的DoH接入URL，这些地址通常以“https://”开头并在路径中包含特定的查询接口标识。国际主流服务商包括Cloudflare的“https://cloudflare-dns.com/dns-query”、Google的“https://dns.google/dns-query”以及Quad9的“https://dns.quad9.net/dns-query”，国内则推荐阿里云“https://dns.alidns.com/dns-query”和腾讯云“https://doh.pub/dns-query”以确保国内域名的低延迟解析。用户在获取地址后应先在浏览器中访问该链接，如果返回“400 Bad Request”或类似响应则说明地址可访问且格式正确，如果返回超时则需更换其他服务商地址。
在DNS服务器列表中添加DoH条目
进入Shadowrocket的“设置-DNS”配置界面，在DNS服务器输入框中完整粘贴DoH的URL地址，输入完成后点击键盘换行键即可将条目添加至下方的服务器列表。添加时需注意URL必须包含完整的“https://”协议头，不能省略或误写为http，因为Shadowrocket严格依据协议头来识别DoH类型并启用对应的加密解析逻辑。如果需要同时配置多个DoH服务作为备选，重复粘贴操作即可依次添加，应用会在解析时并发请求所有列表中的DoH服务器并采用最快返回的有效结果。
保留明文DNS作为加密解析的补充
尽管DoH提供了优秀的隐私保护，但在网络环境极度受限或DoH服务器不可达的极端情况下，用户应在DNS列表中保留一至两个可靠的明文DNS作为保底解析通道。在DoH条目之后添加“223.5.5.5”或“119.29.29.29”等国内公共DNS的IP地址，Shadowrocket在执行并发查询时如果加密通道无响应，会自动切换至明文通道进行解析兜底。这种混合配置策略在确保加密解析优先的同时也大幅提升了网络在各种复杂环境下的容错性和稳定性，避免了因单一加密通道故障导致的全局断网风险。
DoT协议的配置步骤与端口规范
填写DoT服务器地址与853端口
DoT协议的配置相对直接，用户无需输入完整的URL格式，只需在DNS服务器输入框中填写服务器域名或IP地址，并在其后使用冒号追加标准DoT端口853即可完成基本配置。有效的DoT服务器地址格式为“1.1.1.1:853”或“dns.google:853”，Shadowrocket在检测到端口为853时会自动启动TLS加密握手流程与服务器建立安全的解析通道。输入完成后点击换行键将条目加入服务器列表，应用会在首次解析请求发出时与服务器完成TLS证书验证和会话协商。
指定SNI字段增强TLS握手兼容性
在某些网络环境下，直接通过IP地址连接DoT服务器可能因TLS证书的域名验证失败而导致握手中断，此时用户可以在DoT地址后追加“#”符号并填写SNI（服务器名称指示）字段来强制指定证书校验域名。完整的格式为“1.1.1.1:853#cloudflare-dns.com”，这样的写法告诉Shadowrocket在TLS握手阶段使用“cloudflare-dns.com”来验证服务器证书，同时实际的网络连接仍指向IP地址1.1.1.1。SNI字段的填写解决了部分DoT服务器不支持直接IP访问时的证书校验问题，确保加密解析通道在任何网络环境下都能稳定建立。
DoT与DoH的双协议并行部署
DoT和DoH在技术实现上互不冲突且可以同时存在于DNS服务器列表中，Shadowrocket会在每次域名解析时并发向所有协议类型的服务器发起查询请求，返回最快的正确结果即为最终解析值。用户可以将DoH服务器作为优先的穿透首选，同时将DoT服务器作为加密保底，两种协议复用不同的传输层通道，单一协议的故障或干扰不会影响另一种协议的正常运作。这种双协议并行的冗余架构在对抗复杂网络环境下的DNS干扰时表现出极高的可靠性，即便某种加密DNS协议在特定网络中被封锁，另一种协议仍然可以维持正常的加密解析服务。
DoQ协议的前瞻性配置与兼容性
理解DoQ基于QUIC的协议特性
DoQ是DNS-over-QUIC的缩写，它利用QUIC协议的多路复用和0-RTT握手特性，将DNS查询的建立延迟压缩到极致，尤其适合在移动网络和高丢包率的弱网环境中发挥优势。与DoH和DoT基于TCP不同，DoQ通过UDP传输数据且内置了拥塞控制和丢包恢复机制，在信号不佳的移动场景中表现远优于基于TCP的加密DNS协议。但DoQ作为较新的技术标准，目前公开提供DoQ服务的公共DNS服务商还相对有限，主要集中Cloudflare（端口784）和Quad9（端口8853）等少数技术前瞻的厂商。
DoQ服务器地址的特殊格式要求
在Shadowrocket中添加DoQ服务器时，输入格式必须遵循“quic://域名或IP:端口”的固定范式，例如“quic://cloudflare-dns.com:784”或“quic://9.9.9.9:8853”，应用会根据前缀“quic://”自动识别并启用基于UDP的QUIC解析通道。与DoH的URL格式不同，DoQ地址不需要完整的路径后缀，只需指定服务器地址和对应端口即可，Shadowrocket会在QUIC会话建立后自动协商标准的DNS-over-QUIC请求格式。输入完成并保存后，应用在首次解析时会尝试与DoQ服务器完成QUIC连接握手，若网络环境和服务器均支持，加密解析通道即告建立。
当前版本兼容性与降级策略
由于DoQ仍处于技术推广阶段，不同版本的Shadowrocket对DoQ协议的支持程度可能存在差异，用户在配置后若发现解析异常可通过实时日志查看具体的握手错误信息。如果当前使用的Shadowrocket版本不支持DoQ或网络环境不兼容该协议，应用会自动将该条目降级为普通的UDP明文解析并忽略加密特性，用户可从日志中获知降级信息并决策是否继续使用。为了确保解析服务的绝对连续性，建议将DoQ作为高级补充选项而非唯一的解析通道，同时保留DoH或DoT作为主力的加密解析方案。
国内外DoH服务器的混合排列策略
国内服务器优先保障本土访问速度
在DNS服务器列表中，用户应将国内的DoH服务器（如阿里云和腾讯云）排列在最前端，因为国内服务器在解析国内主流域名时能够返回经过优化的本地CDN节点IP，确保百度、淘宝、微信等高频访问网站的页面加载速度最优。国内DoH服务器同样通过HTTPS加密通道传输查询内容，在隐私保护和抗污染能力上与国际服务器一致，但对国内域名的解析准确性和响应速度具有天然的地缘优势。将国内服务器前置也符合“高频命中规则前置”的性能优化原则，绝大多数网络请求的域名解析需求能够由列表前端服务器快速响应，有效降低解析延迟。
国际服务器保障境外域名的纯净解析
在国际DoH服务器的选择上，Cloudflare和Google的公共DNS在解析境外域名时返回的是全球最优的Anycast IP地址，且能够有效规避因本地网络策略导致的域名污染问题。将这些国际服务器放置在列表的中后段位置，确保在解析境外域名时国内服务器若返回异常结果，应用能够快速从备用国际服务器获得纯净的正确解析。混合列表中的国际服务器与国内服务器形成解析互补，国内服务器专注于速度和准确性，国际服务器专注于抗污染和覆盖面，两者共同构建了一个既能快速响应国内域名又能准确解析境外域名的完整解析矩阵。
根据网络环境动态调整列表组合
当用户处于国内网络环境时，可适当增加国内DoH服务器的比重并在列表中置前；当用户通过代理节点访问境外网络时，可增加国际DoH服务器的数量并提升其在列表中的优先级。用户可以在Shadowrocket中创建多个配置文件，每个配置文件预设不同的DNS服务器组合和排序，并通过按WiFi自动切换配置的快捷指令在不同网络环境下自动加载对应的DNS配置。这种基于网络环境的动态DNS调整策略，让用户在国内和境外网络之间移动时始终拥有最优的域名解析路径和抗污染能力。
配置后的验证流程与故障速排
通过实时日志确认加密通道启用
完成DNS覆写配置后，用户应当立即打开Shadowrocket的实时日志功能并访问一个目标域名，在日志输出中搜索包含“DNS”或“解析”标签的记录，查看每条记录的解析服务器地址和响应状态。如果日志中显示的服务器地址与用户配置的DoH或DoT地址一致，且记录尾部标注有“TLS”或“HTTPS”的加密标识，则说明加密解析通道已成功建立并处于正常工作状态。若日志中显示的解析服务器地址与配置不一致或未显示加密标识，则表明配置未被正确加载，需要返回DNS设置页面检查地址格式和协议头是否填写正确。
清除缓存与强制刷新解析状态
在修改DNS配置后，iOS系统和Shadowrocket的内部缓存中可能仍保留着旧配置下的解析结果，导致新配置的DoH或DoT通道无法立即生效。用户应在DNS配置页面底部点击“清除DNS缓存”按钮强制清空所有本地缓存的记录，同时关闭并重新开启VPN连接让网络栈完全重置，确保后续发出的每一个域名解析请求都完全基于新配置的加密通道发起。清除缓存后重新访问目标网站并通过实时日志观察每次解析的详细过程，确认所有域名查询均已经过配置中的DoH或DoT服务器完成，无任何请求回落至明文DNS通道。
故障识别与紧急回退方案
当配置加密DNS后出现大面积网页无法打开或解析超时的情况，用户应首先检查DoH或DoT服务器地址是否可访问，在浏览器中尝试访问DoH的URL地址或通过telnet测试DoT的853端口连通性。若确认服务器地址无误但仍解析异常，可以临时将DNS配置切换回明文DNS（如114.114.114.114）作为应急恢复手段，待网络环境稳定后再逐步重新启用加密通道。持续的解析失败可能源于本地网络对非标准端口的封锁或对HTTPS流量的拦截，此时用户可通过代理节点完成DoH解析请求的转发，即在使用代理模式的前提下刷新DNS配置。
常见问题FAQ
配置DoH后网页加载速度反而变慢了，正常吗？
DoH相比明文DNS会增加TLS握手和HTTP封装的开销，首次解析延迟比明文DNS多几十毫秒属于正常现象。若延迟增加过于明显，可将国内DoH服务器置前或更换为解析路径更优的服务器地址，在隐私保护与速度之间找到平衡点。
使用DoT时提示“证书验证失败”是什么原因？
DoT服务器地址如果填写为IP而非域名，TLS握手时无法匹配证书中的域名信息会导致验证失败。解决方法是改用域名格式填写DoT服务器地址，或添加“#SNI”指定字段强制校验域名，详细格式为“IP:端口#正确域名”。
DoH、DoT、DoQ可以同时配置吗？
可以，Shadowrocket的DNS列表支持三种协议同时存在，解析时会并发向所有服务器发起查询并采用最快返回的正确结果。这种配置在追求极速响应的同时提供了最高的解析冗余度，任一协议通道故障都不会影响整体解析服务。
加密DNS能完全防止ISP记录我的访问记录吗？
加密DNS仅加密了域名查询阶段的内容，ISP无法看到你具体查询了哪些域名，但仍然能看到你访问的目标服务器IP地址。要彻底隐藏访问记录，必须将加密DNS与代理节点配合使用，让代理隧道同时承载解析请求和实际数据传输。