Dns

用小火箭（Shadowrocket）的人很多，但 DNS 设置这块经常被随手一填：8.8.8.8、1.1.1.1，完事。问题是，默认的 DNS 查询是明文的——你访问了哪些域名，运营商和中间节点看得一清二楚，代理开得再稳也白搭。想堵住这个口子，得把 DNS 换成 DoH（DNS over HTTPS），让查询走加密通道。

事情要从今年年中的一个晚上说起。我帮朋友排查"开了代理但某些网站还是打不开"的问题，常规操作都走了一遍：换节点、换协议、重启客户端，全都没用。最后随手打开一个 DNS 泄露检测网站，返回的结果让我愣住了——显示的 DNS 服务器是他本地宽带的，根本不是节点那边的。

“把 DNS 换成 8.8.8.8 试试”——这句话你肯定听过。神奇的是，有时候真管用，有时候屁用没有。我当年第一次遇到网站打不开，换了五个 DNS 才搞明白原理。这篇用踩坑复盘的方式，讲清 DNS 污染。

DNS 是上网的第一站：你输入的每个网址，都要先问 DNS"这个域名对应哪个 IP"。运营商默认的 DNS 经常又慢又脏（劫持插入广告），换个公共 DNS 是成本最低的网络优化。