DNS 与 Fake-IP 排查：为什么节点可用但某些域名打不开

节点连接测试成功，不能证明目标域名的解析与路由正确。域名访问至少涉及“谁解析”“得到什么结果”“应用用哪个结果连接”三个问题，排查时应把它们分开。

DNS 不是只填一个服务器地址

应用可能使用系统 DNS，也可能自行进行加密解析；代理客户端还可能有自己的解析器，并为节点地址和目标网站使用不同路径。浏览器的安全 DNS、操作系统解析与核心 DNS 同时存在时，改动其中一处不一定影响实际请求。

排查应从一个具体失败域名入手，记录应用、时间、错误和客户端连接日志。不要一次替换全部解析器，否则即使恢复，也无法知道是哪条路径起作用。

在支持 Fake-IP 的配置中，客户端可向应用返回用于映射的合成地址，并在后续连接时根据映射识别原域名。该地址不是目标网站的真实公网地址。Mihomo 的 DNS 文档还提供过滤规则，用于处理不适合这种方式的域名或场景。来源：Mihomo DNS 配置

看到合成地址，不代表目标网站被入侵。问题在于应用后续连接是否仍进入负责映射的客户端；如果解析在一个路径完成，连接却绕到另一条路径，可能出现无法访问。

先比较应用。 同一设备、同一节点，浏览器与另一个应用是否同时失败？只有浏览器异常时，核对其自带 DNS 和扩展；只有单个软件异常时，查其代理与解析设置。

再比较域名。 普通 HTTPS 网站正常、单个服务失败时，检查日志中的具体域名，不要只测试主站首页。登录、图片与接口可能使用不同域名。

最后比较网络。 保持客户端与配置不变，改用另一条你有权使用的网络做对照。如果基础网络也无法正常解析，应先处理基础连接，而不是修改所有代理规则。

PowerShell 中可执行：

Resolve-DnsName example.com -Type A
Resolve-DnsName example.com -Type AAAA

example.com 仅作命令格式示例，实际应替换为需要诊断的非敏感域名。这两条命令用于观察相应查询路径，不保证重现浏览器的安全 DNS 或代理远程解析。

存在记录不代表目标端口可达，没有 AAAA 记录也不一定是故障。不同 CDN、地区和缓存时间可能产生不同回答，不应只凭 IP 不一致就断言污染或泄露。来源：Microsoft Resolve-DnsName 文档

网页检测通常通过一组受控查询推测可见解析器。它能提供线索，但结果受缓存、转发和解析服务部署影响，不能据此证明整台设备的所有应用都符合你的路由预期。

先写明自己的目标：是某个应用必须通过指定解析路径，还是全部相关流量都应被接管？再用客户端日志和应用行为核对。DoH/DoT 保护的是相应解析传输，并不自动让后续网页连接进入代理。

记录现有模式与配置后，只调整一项。若确认某个内部域名与 Fake-IP 不兼容，按当前核心文档设置范围明确的例外，再检查局域网访问。不要不加区分地把所有域名排除，或把关闭验证当作 DNS 修复方法。

若故障伴随 IPv6，可转到双栈检查；若错误实际包含证书或握手信息，应阅读TLS 错误排查。

资料核对：2026 年 9 月 28 日。命令只用于诊断，不代表本站已测试你的网络。