PassWall2 Fake-IP 怎么设置？FakeDNS 开启、验证与回退步骤
简答：PassWall2 里的 Fake-IP 通常不是单独填写一个 IP，而是由 FakeDNS、代理内核和 DNS 分流共同完成。先进入 Services → PassWall2，确认节点和核心正常，再在节点编辑页或 DNS 相关区域开启 FakeDNS；保存后用 nslookup 检查代理域名是否返回假 IP，并同时验证代理出站、直连域名和局域网访问。FakeDNS、Fake-IP 与 Fake-IP(TUN)在不同版本和内核中不一定是完全等价的功能，找不到同名选项时不要直接套用旧教程。
定义：Fake-IP 是一种让 DNS 为部分域名返回保留地址、再由代理内核根据域名映射接管连接的工作方式；FakeDNS 是实现该流程的一类 DNS 功能，Fake-IP(TUN)则通常还涉及 TUN 接管路径，三者不是所有版本中的同义词。
先判断：你要设置的是 FakeDNS，还是完整的 Fake-IP 链路？
如果你的目标是让代理域名通过假 IP 进入代理内核，不能只勾选一个开关后就认为配置完成。PassWall2 源码同时存在远程 FakeDNS、节点级 FakeDNS、直连 DNS 写入 IPSet/NFTSet 等不同控制项；这些选项分别影响 DNS 返回、节点分流和直连流量处理。PassWall2 节点选项源码显示，FakeDNS 主开关和按规则使用 FakeDNS 的选项并不是同一个字段。
本文只解决一个问题：在已经安装 PassWall2 的 OpenWrt 或 iStoreOS 路由器上，如何判断 Fake-IP 是否适合当前环境并完成低风险设置。不覆盖安装包选择、订阅导入、节点购买或具体服务可用性；这些内容应以你的固件、PassWall2 版本和节点配置实际结果为准。
| 环境 | 建议起点 | 先不要做什么 | 停止条件 |
|---|---|---|---|
| Xray、IPv4-only | 先启用一个代理节点的 FakeDNS，远程 DNS 使用已配置的协议，保存后验证假 IP | 不要同时修改 TUN、DNS 重定向和多条分流规则 | 代理域名无法解析或直连域名也返回假 IP |
| Xray、IPv4/IPv6 双栈 | 先确认 IPv6 是否确实参与透明代理，再测试 A 和 AAAA 查询 | 不要把 IPv4 能用当成 IPv6 已兼容 | A 记录正常但 AAAA 直连异常，或局域网 IPv6 失效 |
| sing-box、IPv4-only | 优先使用当前页面提供的远程 DNS、FakeDNS 和分流选项，不直接复制 Xray JSON | 不要把 Xray 字段原样粘贴到 sing-box | 页面保存后核心未启动或 DNS 监听异常 |
| sing-box、双栈或 TUN | 先关闭复杂组合，只验证基础 DNS、代理出站和局域网 | 不要同时开启 FakeDNS、TUN、IPv6 TProxy 和多套 DNS 重定向 | 局域网或 IPv6 流量无法恢复 |
PassWall2 FakeDNS 的具体设置路径
- 进入主页面：登录路由器 LuCI，打开
Services → PassWall2。项目 README 将该入口和节点列表列为基础配置位置，实际中文名称可能随 LuCI 翻译或版本变化。可参考 PassWall2 项目说明。 - 先确认节点：打开
Node List或类似的节点列表，编辑当前默认使用的节点。确认协议、服务器地址和核心类型没有报错；如果节点本身没有成功启动，不要先排查 Fake-IP。 - 寻找 FakeDNS：在节点编辑页面向下查看与 DNS、分流或高级选项相关的区域。当前源码中，Xray 节点存在名为
FakeDNS的主开关；分流规则中还可能出现按规则启用 FakeDNS 的选项。不同版本可能把它放在节点高级设置、分流规则或 DNS 设置区域，找不到时应以页面实际标签为准，不要猜测字段名。 - 只改一项：先选择一个代理节点或一条明确的代理规则启用 FakeDNS，暂时不要同时启用“直连 DNS 结果写入 IPSet/NFTSet”、DNS 重定向、TUN 和 IPv6 TProxy。该源码明确提示直连 DNS 写入 IPSet/NFTSet 在特殊配置下可能发生冲突，这属于配置提示，不代表开启后必然故障。
- 保存并应用：点击保存或
Save & Apply，等待服务重载。停止条件是页面报错、核心没有启动、DNS 监听消失或原本可用的局域网设备立即断网；出现这些现象时先回到原设置，不要继续叠加开关。
远程 DNS 相关设置也要在同一次配置中核对：远程 DNS 协议、DNS 查询策略和 DNS 出站应保持逻辑一致。PassWall2 的运行脚本会把远程 FakeDNS 转换为核心配置中的远程 DNS Fake 标记，说明它并非一个与 DNS 完全无关的独立开关。可查看 PassWall2 运行脚本。
一套可对照的最小配置：不要直接复制成 JSON
下面是配置思路表，不是可以脱离当前版本直接粘贴的配置文件。字段名称、DNS 监听端口和核心生成方式可能随 PassWall2 版本变化；请以 LuCI 当前页面和生成日志为准。
| 场景 | DNS 设置 | FakeDNS | 分流与协议 | 验证重点 |
|---|---|---|---|---|
| Xray + IPv4-only | 保留一个直连 DNS 和一个远程 DNS；远程 DNS 查询策略先使用 IPv4 | 仅对代理节点或代理规则开启 | 代理域名走代理，国内或局域网域名保持直连 | 代理域名可出现 198.18.0.0/16 范围内的假地址；直连域名不应全部变成假地址 |
| Xray + 双栈 | 先分别测试 A、AAAA；若 IPv6 未纳入透明代理，先不要让 FakeDNS 接管 AAAA | 先小范围开启 | 确认 IPv6 TProxy、路由和防火墙能力后再扩大范围 | 同时使用 IPv4 DNS 服务器地址和 IPv6 DNS 服务器地址查询，对照结果 |
| sing-box + IPv4-only | 使用页面生成的远程 DNS 与 DNS 出站选项 | 只启用当前页面明确提供的开关 | 不要套用 Xray 的 domainStrategy 或 DNS JSON 字段 | 查看 sing-box 核心日志，确认 DNS 请求和代理出站均有记录 |
| sing-box + 双栈/TUN | 先保持基础 DNS，逐项增加 FakeDNS 或 TUN | 出现 IPv6 异常时优先回退 | 先验证 TUN 接管，再验证 Fake-IP | 局域网、IPv4、IPv6 分开测试，不能用一次网页访问代替全部验证 |
常见教程会把 Fake-IP 与 FakeDNS 对应起来，但这只是便于理解的对应关系，不代表所有 PassWall2 内核、版本和 TUN 模式中的功能完全相同。项目源码显示，Xray 路径会读取远程 FakeDNS、查询策略和 DNS 出站等变量；这能证明当前代码存在这些配置通道，但不能自动证明每个固件页面都显示完全相同的菜单。
四层验证：确认 Fake-IP 真的生效
- 验证 DNS：在电脑上执行
nslookup 代理域名 路由器LAN地址。例如：nslookup example.com 192.168.1.1。不要只看“有返回结果”，还要记录返回地址。部分 FakeDNS 场景会出现 198.18.0.0/16 范围的假地址，但具体地址范围和返回结果取决于核心、规则和版本。 - 对照直连域名：再执行
nslookup 直连域名 路由器LAN地址，检查直连域名是否仍返回实际解析地址。若代理和直连域名全部返回同类假地址，优先检查分流规则、默认节点和 DNS 规则顺序。 - 验证代理出站：查看 PassWall2 日志或核心日志，确认测试域名出现 DNS 请求、规则匹配和出站记录。项目 README 建议使用系统日志检查服务启动问题，但日志只能说明某个请求被记录，不能单独证明网页一定可用。
- 验证路由和局域网：执行
ip route show table all | grep 198.18.，观察是否存在与假地址相关的路由；再测试路由器管理页、局域网设备和普通直连网站。端口监听、DNS 有结果或浏览器能打开一个页面，都不能单独证明整条代理链路正常。 - 双栈对照：在支持 IPv6 的设备上分别查询 A 和 AAAA 记录。若 A 记录符合预期而 AAAA 直接返回实际地址，说明当前 IPv6 DNS 或透明代理路径未必与 IPv4 相同，应先按 IPv6 单独排查。
项目问题记录中可以看到 FakeDNS 返回 198.18.x.x 地址的实际日志示例，也有 IPv6 查询与 IPv4 查询结果不一致的复现记录；这些只能作为排查线索，不能推导出所有设备和版本都会出现同样现象。可参考 PassWall2 IPv6 FakeDNS 问题记录。
开启后无法上网：按现象回退，不要继续加开关
| 现象 | 优先检查 | 低风险处理 | 验证边界 |
|---|---|---|---|
| 代理域名返回假 IP，但网页打不开 | 默认节点、核心日志、假地址路由和 DNS 出站 | 先关闭节点级 FakeDNS，保留原 DNS 设置，保存应用后重新测试 | DNS 返回假 IP 不等于代理连接已建立 |
| 国内或局域网域名也被转换 | China/局域网规则、默认代理模式、直连 DNS 写入 IPSet/NFTSet | 关闭直连 DNS 写入 IPSet/NFTSet，并清理相关规则后重载服务 | 源码只提示特殊场景可能冲突，不能据此认定必然是该选项造成 |
| IPv4 正常、IPv6 失败 | IPv6 TProxy、DNS 重定向、AAAA 查询和防火墙 | 临时关闭 IPv6 接管或 FakeDNS，先恢复 IPv4-only 基线 | IPv4 成功不能证明双栈配置完成 |
| 路由器本机打不开代理域名 | Localhost Proxy、假地址本地路由和内核监听 | 先关闭本机代理或 FakeDNS，恢复后再逐项启用 | LAN 客户端正常不代表路由器本机链路正常 |
| 保存后核心不启动 | 节点格式、核心安装、生成配置和日志 | 恢复备份或关闭最后一次修改的选项，再重启 PassWall2 | 不要把核心启动失败直接归因于 FakeDNS |
回退顺序建议固定为：记录当前设置 → 关闭 FakeDNS → 保存应用 → 重启 PassWall2 → 测试直连和局域网 → 再决定是否恢复。若此前启用了 DNS 重定向、TUN 或 IPv6 TProxy，应按“最后改动优先”的顺序逐项撤销。涉及清理 IPSet/NFTSet 时，先查看当前规则和备份，不要直接删除不确定归属的防火墙规则。
配置前后的备份与版本边界
修改前至少保存 PassWall2 的 UCI 配置和当前页面截图。可以先用 uci show passwall2 > /tmp/passwall2-backup.txt 保存文本备份；该文件只适合临时核对，不应当被视为完整固件备份。恢复时应逐项改回原值，再执行保存应用，确认 DNS、局域网和默认节点恢复后再继续。
PassWall2 的发布版本、Xray/sing-box 核心、OpenWrt 防火墙实现和 LuCI 页面都可能变化。项目发布页会列出对应版本及核心版本，升级前应查看 PassWall2 Releases；不要把 main 分支源码或旧教程中的菜单位置当成所有已发布版本的固定行为。
本站是第三方使用指南站，不是 PassWall2 或相关项目的官方页面。本文只依据项目公开源码、README、发布页和问题记录整理；无法由这些资料证明的固定端口、菜单名称、性能和兼容性不作保证。
常见问题
PassWall2 里的 Fake-IP 和 FakeDNS 是一回事吗？
不是严格意义上的同义词。Fake-IP描述的是返回假地址并由代理内核继续按域名处理的工作方式，FakeDNS是实现该流程的一类 DNS 功能；Fake-IP(TUN)还可能涉及 TUN 接管。常见教程会把它们对应起来，但不同内核和版本不保证完全相同。
PassWall2 FakeDNS 在哪里开启？
通常先进入 Services → PassWall2，再到 Node List 编辑正在使用的节点，在节点高级、DNS或分流相关区域寻找 FakeDNS。当前源码显示 Xray 节点有 FakeDNS 主开关，规则中也可能有按规则启用的选项；页面名称和位置会随版本变化，找不到时以当前 LuCI 页面为准。
为什么开启 FakeDNS 后 nslookup 返回 198.18 开头的地址？
这通常说明查询结果可能进入了 FakeDNS 地址池，但不能仅凭这一点判断代理连接成功。还要检查代理出站、核心日志、假地址路由和实际网页连接；如果直连域名也全部返回假地址，应检查分流规则和 DNS 设置。
IPv4 能用但 IPv6 失败，应该先改什么？
先分别查询 A 和 AAAA，确认问题只发生在 IPv6。随后暂时关闭 IPv6 接管或 FakeDNS，恢复 IPv4-only 基线，再单独检查 IPv6 TProxy、DNS 重定向、路由和防火墙，不要同时修改多个选项。
FakeDNS 开启后无法上网，怎么恢复？
记录当前配置后，先关闭 FakeDNS并保存应用，再重启 PassWall2，测试直连、局域网和原默认节点。如果恢复，再逐项开启；如果仍失败，继续检查节点核心、DNS监听和最近一次修改，而不要直接认定是 FakeDNS 单独造成。
相关阅读
- 继续看 PassWall2 TUN 模式的开启条件与验证
- 如果 Fake-IP 后分流不生效，按规则顺序排查
- 双栈环境异常时，查看 PassWall2 IPv6 连接排查
- 需要确认核心是否收到请求时，查看 PassWall2 路由日志
- 国内直连被误代理时，核对 China 规则与 DNS