PassWall2 DNS 设置怎么选：从默认值到分流排查

更新于 2026-11-01 · passwall.lol

简答：PassWall2 DNS 设置优先采用“先保持默认、再按现象调整”的原则：普通家庭网络先确认客户端 DNS 指向路由器，直连 DNS 保持系统可用值，远程 DNS 仅在出现解析异常、分流不准确或节点域名无法解析时单项修改。不要同时更改远程协议、出站方式、IPv6 和 FakeDNS，否则无法判断是哪一项造成问题。本文只讨论 PassWall2 的 DNS、分流和连接排查，不覆盖安装、订阅购买或具体服务状态。

定义：PassWall2 DNS 设置，是指在路由器代理分流过程中，决定直连域名和代理域名分别由哪个解析器、通过哪种协议和哪条出站路径完成解析的配置。

先按这张表选择，不要一开始改所有选项

PassWall2 的 DNS 页面可能因版本、内核和界面语言不同而出现名称差异。下面的“建议”是排查起点，不代表所有固件都存在完全相同的菜单或默认值。PassWall2 当前源码可以确认：节点域名解析支持 Auto、TCP、UDP 和 DoH；节点域名策略包含 Auto、UseIPv4 和 UseIPv6；FakeDNS 与直连 DNS 写入 IPSet 也属于分流相关选项。查看节点 DNS 选项源码查看分流与 FakeDNS 选项源码

PassWall2 DNS 场景速查

场景	先采用的方案	先不要改什么	出现异常时的回退
刚完成基础配置	直连 DNS 和远程 DNS 保持当前默认或系统可用值；远程 DNS 出站先保持默认	不要同时启用 FakeDNS、改 IPv6 和改多组 DNS	恢复保存前配置，重启 PassWall2 后重新验证
国内网站变慢或打不开	检查直连域名 DNS、分流规则和客户端是否把 DNS 指向路由器	不要先把所有 DNS 改成远程代理查询	暂时关闭新增的 FakeDNS 或 DNS 重写项，逐项测试
部分代理域名解析失败	仅为节点域名设置可达的 TCP、UDP 或 DoH 解析方式	不要直接把节点 DNS 与全局 DNS 一起替换	节点 DNS 恢复 Auto，再测试节点域名解析
IPv6 可能绕过分流	先确认实际是否启用 IPv6 透明代理，再决定 UseIPv4 或保留 Auto	不要仅凭“有 IPv6 地址”就断定必须关闭 IPv6	先选择 UseIPv4 做对照测试，并记录变化
流媒体或特殊域名需要目标地区解析	仅在明确理解其影响时测试 FakeDNS	不要把 FakeDNS 当作普通 DNS 加速开关	关闭 FakeDNS，恢复普通域名解析后复测

三步完成一套低风险的 PassWall2 DNS 设置

先确认终端确实使用路由器。
电脑、手机或电视的 DNS 地址应优先指向当前网关或旁路由地址，而不是绕过路由器直接使用其他解析器。旁路由场景尤其要检查 DHCP 是否仍由主路由下发，以及终端默认网关是否真的经过旁路由。OpenWrt 文档说明，dnsmasq 默认会使用上游接口提供的解析器，也可以通过网络和 DHCP 配置指定上游 DNS；因此，系统 DNS、dnsmasq 和 PassWall2 同时接管时，需要先明确谁是终端的实际 DNS 入口。查看 OpenWrt DHCP 与 DNS 配置说明
停止条件：如果终端 DNS 仍未指向路由器，先不要继续改 PassWall2 DNS 页面。验证边界：终端能打开网页，只能说明部分网络路径可用，不能证明所有 DNS 查询都经过 PassWall2。
只选择一个变量进行修改。
先保持直连 DNS、远程 DNS 出站和 FakeDNS 不变，测试一个国内域名、一个代理域名和一个节点域名。如果只有节点域名无法解析，再进入节点或订阅相关 DNS 选项，确认该节点地址是域名还是 IP；PassWall2 源码明确将“节点地址为域名时使用的 DNS”作为独立选项，并注明该能力只支持 Xray 或 sing-box 节点类型。核对节点域名解析字段
停止条件：如果问题实际是节点认证、核心启动或防火墙转发，DNS 修改不会替代这些检查。验证边界：“节点列表显示正常”不等于节点域名已经成功解析。
保存后清缓存并分层复测。
保存并应用后，先测试路由器自身解析，再测试局域网终端，最后测试代理出站。Windows 可以清理本地 DNS 缓存；移动设备可以切换网络或重新连接 Wi-Fi。PassWall2 项目说明也将浏览器安全 DNS、终端缓存和透明代理列为 DNS 问题的检查项。查看 PassWall2 项目中的 DNS 排查提示
停止条件：若路由器自身都无法解析域名，不要先判断为终端或浏览器问题。验证边界：一次查询成功不代表分流、IPv4、IPv6 和长期缓存都正常。

直连 DNS、远程 DNS 和远程 DNS 出站分别怎么理解

直连 DNS主要服务于不经过代理的域名解析。它是否合适，取决于当前网络能否稳定访问该解析器，以及分流规则是否将对应域名判定为直连。国内站点变慢时，优先检查直连 DNS 是否不可达、是否被其他服务覆盖，以及 dnsmasq 是否仍在混用多个上游解析器。

远程 DNS是代理分流中用于解析代理域名或特定目标域名的解析路径。它不等于“开启后所有 DNS 都自动安全”，因为实际结果还受到远程 DNS 出站、节点可用性、域名策略、浏览器安全 DNS 和 IPv6 路径影响。建议先保持默认，只有在直连解析异常、代理域名被错误解析或节点域名频繁变化时再单项调整。

远程 DNS 出站决定远程 DNS 查询是通过直连路径还是代理路径发出。选择直连通常更容易建立基础连接，但如果该解析器在当前网络不可达，查询可能超时；选择代理可以改变可达性，但依赖代理核心、节点和规则已经正常。因此，代理本身还未连通时，不宜把所有 DNS 查询都强制放进代理出站，否则可能形成“节点需要 DNS，DNS 又等待节点”的循环。

DoH、DoT、TCP、UDP 的选择应以当前网络可达性和 PassWall2 当前界面为准。源码中明确列出 TCP、UDP 和 DoH 选项，但没有据此证明某种协议在你的线路上一定更快或更稳定。一般排查顺序是：先用 Auto；UDP 超时再对照 TCP；普通 DNS 查询受到干扰或需要加密时，再测试 DoH。每次只改协议，不要同时替换地址、出站方式和 FakeDNS。

UseIP、UseIPv4、UseIPv6 与 IPv6 排查

节点域名策略用于决定域名是否、以及以哪类地址解析后再连接。PassWall2 当前节点配置源码列出 Auto、UseIPv4 和 UseIPv6；这只能说明界面支持这些选择，不能证明某个值适合所有网络。查看当前节点域名策略选项

普通双栈网络：先保持 Auto，分别测试 IPv4 和 IPv6 的节点连通性。
怀疑 IPv6 未经过代理：先记录终端是否获得 IPv6 地址，再临时选择 UseIPv4 做对照；如果网页恢复正常，再检查 IPv6 透明代理、规则和防火墙，而不是直接把该现象认定为 DNS 泄漏。
节点只提供 IPv6 或 IPv6 路径更稳定：只有在路由器、核心和出站都确认支持 IPv6 时，才测试 UseIPv6。
旁路由环境：同时检查主路由是否给终端下发 IPv6 默认路由。即使 IPv4 流量经过旁路由，IPv6 也可能走另一条路径。

如果修改 UseIPv4 后只有部分网站恢复，说明问题可能同时涉及规则、IPv6 出站或目标站点地址，不应仅凭一次网页访问下确定诊断。

FakeDNS、直连 DNS 写入 IPSet：什么时候不要开

PassWall2 源码对 FakeDNS 的说明是：让代理域名使用 FakeDNS，并列出流媒体 DNS 解锁、降低 DNS 查询延迟等适用场景；同时也提示直连 DNS 结果写入 IPSet/NFTSet 可能与某些特殊情况冲突。查看 FakeDNS 与直连 IPSet 说明

因此，新手默认建议关闭或保持原值，不要把 FakeDNS 当成解决所有解析问题的通用开关。它可能影响依赖真实 DNS 返回、IPv6、UDP 或本地网络识别的应用；如果开启后出现某些应用打不开、局域网域名异常或规则命中不一致，第一步是关闭 FakeDNS 并恢复原配置，而不是继续叠加 DNS 重写。

“直连 DNS 结果写入 IPSet”适合需要把直连域名解析结果交给 IPSet/NFTSet 参与转发的场景，但源码同时标注可能与特殊情况冲突。若你已经使用 SmartDNS、AdGuard Home 或其他 DNS 分流服务，建议先确认只有一个组件负责主要分流，再逐项启用 PassWall2 的写入功能。

四类常见现象的排查顺序与回滚方法

现象分流清单

现象	优先检查	最小改动	回滚
节点域名无法解析	路由器自身解析、节点地址类型、节点专用 DNS	仅将节点 DNS 从 Auto 对照到 TCP 或 DoH	恢复 Auto，保存并重启相关服务
只有部分网站打不开	域名分流、IPv4/IPv6、浏览器安全 DNS	关闭浏览器安全 DNS并清缓存后复测	恢复浏览器原设置，再检查 PassWall2 规则
国内网站变慢	直连 DNS、dnsmasq 上游、是否误走代理	先关闭新增 FakeDNS 或直连 IPSet 写入	恢复改动前的 DNS 和分流设置
路由器能访问 IP，不能解析域名	本机 DNS 服务、dnsmasq、PassWall2 DNS 重写和日志	用路由器上的解析命令对照公共地址与本地地址	停用最近新增的 DNS 接管项，再重启 DNS 服务

PassWall2 项目公开问题中可以看到一种可复现的排查思路：路由器能访问 IP，但本机域名解析失败时，应分别对照公共 DNS 地址和本地监听地址，而不能仅凭局域网客户端仍能上网就判断路由器 DNS 正常。查看 PassWall2 路由器本机 DNS 异常案例

回滚时建议按相反顺序操作：先关闭最后启用的 FakeDNS、DNS 重写或节点专用解析；再恢复远程 DNS 协议和出站；最后恢复 IPv6 与分流规则。每次保存前截图或备份配置，避免在多个页面反复切换后无法确认原值。

验证 DNS 是否按预期工作

验证入口：检查电脑、手机或其他终端的 DNS 是否指向实际网关或旁路由。
验证路由器：分别测试路由器本地解析和指定上游解析；如果本地失败而指定上游成功，优先检查 dnsmasq、PassWall2 接管和监听状态。
验证分流：分别访问一个应直连的域名、一个应代理的域名和节点域名，记录是否出现超时、解析错误或路径不一致。
验证浏览器：检查 Chrome 等浏览器的安全 DNS 设置。PassWall2 项目将浏览器内置安全 DNS 列为可能绕过路由器 DNS 的检查项，但浏览器选项名称会随版本变化。参考项目排查提示
验证 IPv6：在启用和临时使用 UseIPv4 两种状态下分别复测，不能只用一次测速或一次网页访问判断长期效果。

如果页面能打开但仍担心 DNS 泄漏，应继续检查终端 DNS、浏览器安全 DNS、主路由 DHCP、旁路由默认网关和 IPv6 路径。PassWall2 页面显示“运行中”或端口监听，也不能单独证明所有终端流量都使用了预期的 DNS 分流。

常见问题

PassWall2 DNS 设置新手应该选什么？

先保持直连 DNS、远程 DNS 出站和 FakeDNS 的当前值，确认终端 DNS 指向路由器，再分别测试直连域名、代理域名和节点域名。只有出现明确异常时，才一次修改一个选项。

远程 DNS 选 DoH、TCP 还是 UDP？

没有适合所有网络的固定答案。建议先用 Auto；UDP 查询超时可对照 TCP；需要加密或普通查询不可达时再测试 DoH。修改后必须重新验证节点域名、国内网站和代理网站。

FakeDNS 要不要打开？

普通新手配置不建议为了“防泄漏”或“加速”盲目打开。PassWall2 源码将 FakeDNS描述为适用于让代理域名获取目标域名等特定场景；开启后如果应用、局域网域名或 IPv6 行为异常，应先关闭并恢复原配置。

PassWall2 开启后国内网站变慢怎么办？

先检查是否误把直连域名交给代理解析，再检查直连 DNS 是否可达、dnsmasq 是否混用多个上游，以及浏览器是否启用了自己的安全 DNS。先关闭最近新增的 FakeDNS、DNS 重写或 IPSet 写入，再逐项复测。

IPv6 会不会绕过 PassWall2？

不能仅凭存在 IPv6 地址下结论。应确认 IPv6 默认路由、透明代理、分流规则和核心出站是否都支持；可临时选择 UseIPv4 做对照。如果问题消失，再针对 IPv6 路径排查。

为什么节点列表正常，但节点域名仍然连不上？

节点列表显示只说明配置被读取，不等于节点域名已解析或代理出站可用。先测试路由器自身解析，再检查节点地址是否为域名，以及节点专用 DNS 是否支持当前内核和协议。