V2Ray DNS 分流設定教學：境內外網域分開解析、防止 DNS 污染

先釐清解析器選擇、DNS 出站與網站出站

「DNS 分流」至少包含兩個獨立判斷：網域要交給哪個解析器，以及連往解析器的查詢要走哪個出站。網站連線還有第三個判斷。將境外 DNS 位址填入設定，不代表查詢已透過代理傳送；將網站路由設為代理，也不代表瀏覽器先前在本機進行的解析會自動改由核心處理。

V2Ray/Xray 的 dns 物件用來設定內建解析器；routing 則決定連線走哪個出站。geosite:cn 是網域規則集，geoip:cn 是 IP 位址規則集，兩者不能互換。若應用程式沒有將網域交給核心，只有 IP 位址的連線就無法直接依網域規則集比對；流量嗅探有時能找回網域資訊，但不能把它當成適用於所有協定的補救方式。

境內 DNS 與遠端 DoH：先釐清各自用途

以下以 223.5.5.5 解析境內網域，並以 https://1.1.1.1/dns-query 處理其他查詢。這些是可替換的公共解析器範例，並非適用於所有網路的固定最佳選擇。前者通常使用 UDP 53，後者使用 HTTPS 443；加密保護的是用戶端與解析器之間的查詢傳輸，解析器仍看得到所處理的網域。

UseIPv4 可在第一輪排查時限制使用 IPv4，避免同時處理 IPv6 路由問題；這不代表建議長期停用 IPv6。網路與節點都支援 IPv6 時，可在基礎設定確認正常後改用 UseIP，再分別檢查 A 與 AAAA 記錄。DNS 查詢類型策略也不能取代系統層級的 IPv6 路由設定。

dns.servers 範例：網域比對與回退行為

以下是核心設定片段，並非可單獨匯入的完整節點設定。範例適用於 v2rayNG 使用的 Xray 核心；使用 v2rayN 時，也應先確認目前選用的核心。修改前請先備份設定；使用用戶端產生設定時，應在對應的 DNS 設定或自訂設定入口修改，不要編輯下次啟動時就會被覆寫的暫存執行檔。

{
  "dns": {
    "tag": "dns-internal",
    "queryStrategy": "UseIPv4",
    "servers": [
      {
        "address": "223.5.5.5",
        "domains": [
          "geosite:cn"
        ],
        "skipFallback": true
      },
      "https://1.1.1.1/dns-query"
    ]
  }
}

• domains 可為符合條件的網域指定優先使用的解析器，並不是限制「該解析器只能解析這些網域」的存取控制規則。
• skipFallback: true 表示該伺服器不會參與一般回退，不代表「伺服器失敗時禁止嘗試其他伺服器」。
• 沒有 domains 限制的 DoH 伺服器會作為預設解析器。依照上述設定，境內解析失敗時仍可能回退至該伺服器，因此這是具有回退機制的分流方案，而非嚴格隔離方案。
• tag 可用來識別內建 DNS 發出的查詢，作為路由判斷依據；它不是監聽本機 53 連接埠的 DNS 服務。

若要嚴格限制符合條件的網域只能使用指定伺服器，可評估 Xray 的 disableFallbackIfMatch。啟用前請先確認目前核心支援此欄位，並了解指定解析器故障時，解析也會失敗。請勿同時大幅調整回退、快取與 IPv6 策略，否則發生故障時會有多種可能原因。

routing 範例：確保遠端 DNS 確實透過代理

以下片段假設現有設定已包含標籤為 proxy 的可用代理出站，以及標籤為 direct 的直連出站。標籤必須與實際的 outbounds[].tag 完全一致。此範例沒有最後的全域比對規則，未符合規則的連線會使用第一個出站，因此也要求第一個出站為 proxy。若現有設定採用其他預設策略，請依原有結構調整，不要直接覆寫。

{
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      {
        "type": "field",
        "inboundTag": [
          "dns-internal"
        ],
        "ip": [
          "223.5.5.5"
        ],
        "port": "53",
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "inboundTag": [
          "dns-internal"
        ],
        "ip": [
          "1.1.1.1"
        ],
        "port": "443",
        "outboundTag": "proxy"
      },
      {
        "type": "field",
        "domain": [
          "geosite:cn"
        ],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "ip": [
          "geoip:private",
          "geoip:cn"
        ],
        "outboundTag": "direct"
      }
    ]
  }
}

前兩條只比對內建 DNS 查詢，避免把使用者直接連往相同 IP 的其他連線也當成解析請求。後兩條則處理網站連線。IPIfNonMatch 的意思是：網域連線未符合現有規則時，再嘗試解析 IP 並比對 IP 規則；它不會決定使用哪台 DNS，也不會自動將 DNS 查詢送入代理。

DoH 與 FakeDNS：加密查詢和虛擬位址並非同一回事

DoH 將 DNS 訊息放在 HTTPS 連線中傳送，主要用來保護查詢傳輸。FakeDNS 則會向應用程式傳回虛擬 IP，並維護網域與虛擬位址的對應關係，讓後續連線仍能依網域處理。FakeDNS 不會將真實網站部署在虛擬位址上，也不代表「已完成遠端真實解析」。

例如使用 198.18.0.0/15 作為 FakeDNS IPv4 位址池時，系統必須將連往該位址池的連線送回核心，並由核心還原對應網域。若連線繞過 VPN 或 TUN 路徑，虛擬 IP 就無法像真實公網位址一樣連線。啟用後只有部分應用程式無法使用時，應先檢查個別應用程式的代理設定、流量擷取範圍與對應處理，不要直接更換節點。

• 一般 DNS 分流尚未確認正常：先不要啟用 FakeDNS，保留真實位址作為排查基準。
• 應用程式只提供目標 IP，導致網域規則難以生效：再評估 FakeDNS 與目前入站及嗅探設定的配合情況。
• 關閉 FakeDNS 後仍出現虛擬位址：清除相關應用程式與系統快取，並重新建立連線，避免繼續使用舊的對應資料。

在 v2rayN 與 v2rayNG 中逐項驗證

用戶端介面與核心設定分屬不同層。同一個「遠端 DNS」輸入欄位，在不同用戶端版本中可能會產生不同的設定結構；應以最後載入的核心設定為準。在 v2rayN 中，可前往「設定」→「參數設定」檢查記錄相關選項，再到主視窗的記錄區查看啟動結果。DNS 編輯入口的名稱可能隨版本變更，請勿將一般單行位址欄位當成完整 JSON 編輯器。

1. 記錄目前設定。記下節點、目前的路由模式、DNS 位址，以及系統代理或 VPN 狀態。在 v2rayNG 的「設定」中檢查 DNS 相關項目；修改後停止並重新啟動服務，確認記錄中沒有設定解析錯誤。
2. 檢查啟動錯誤。先處理未知欄位、找不到出站標籤、讀取 geosite 資料失敗等問題。核心未正常啟動時，測試網頁只會得到誤導性的結果。
3. 確認應用程式是否提交網域。桌面環境可使用支援遠端解析的 SOCKS 請求進行測試。以下命令假設本機 SOCKS 連接埠為 10808；若執行中的設定不同，請改用實際連接埠。
4. 確認路由規則命中情況。暫時啟用較詳細的記錄，分別造訪境內與境外網域，確認 DNS 查詢和網站連線所使用的出站。驗證完成後，請恢復常用記錄層級，避免長期記錄不必要的瀏覽細節。
5. 排除快取影響。重新啟動核心並關閉舊連線後再測試。在 Windows 上可執行 ipconfig /flushdns 清除系統快取，但瀏覽器或應用程式自己的快取可能仍需另外清除。

curl --proxy socks5h://127.0.0.1:10808 --head --max-time 15 https://www.example.com/

socks5h 會將網域交給 SOCKS 代理解析；改用 socks5 時，通常會先在本機解析，兩種測試路徑並不相同。這個命令只能確認網域是否進入代理路徑，不足以單獨證明所有 DNS 都已依預期分流。另一個常見誤區是只執行 nslookup www.example.com 223.5.5.5：這會直接查詢指定解析器，可用來確認該解析器是否連得上，卻不能證明內建 DNS 規則已生效。

常見問題：解析逾時、位址異常與設定未生效

最後應保留一份能清楚說明的設定：哪些網域使用境內解析、預設查詢交給哪個解析器、解析連線走哪個出站，以及未符合規則的網站如何處理。每次只調整一個變數，並透過啟動記錄與連線結果確認，比一次加入多個公共 DNS 更容易找出問題。