DNS 与 IPv6

适用于提供这些设置的 oixCloud iPhone / iPad 版本；Apple TV 的界面单独见 电视端教程。缺少下述开关时先核对客户端版本

先看当前生效来源

进入「设置 → DNS」，先看顶部显示的自动、自定义或严格 DNS，以及当前来源。网络预设或模块可以覆盖全局 DNS；页面提示被覆盖时，修改下方全局地址不一定改变当前网络的实际解析器

「自定义 DNS」支持页面列出的普通 IP、DoH、DoH3、DoQ、DoT 和 TCP 格式，多项用逗号分隔。输入无效会提示错误，先修正再离开输入框；留空恢复当前模式的默认选择

严格 DNS

希望由 VPN 处理的公共域名不回退到系统 DNS 时：

1. 先连接 VPN，在「设置 → DNS」开启「严格 DNS」
2. 核对顶部实际服务器和来源。未配置时采用默认 Cloudflare DoH；自定义服务器中只有加密 DNS 可用于公共查询，走代理的查询要求 https:// DoH
3. 确认「跳过分流 DNS 解析」已强制开启、「允许回退系统 DNS」已强制关闭；严格模式期间这两项不可单独调整
4. 重新建立目标连接，在 请求与 DNS 检查 查看解析与出口。公共查询失败时先检查有效服务器、代理和规则，不要把超时误认为账户 Token 失效

严格 DNS 会跳过基于 IP 的分流预解析，域名规则和最终路由仍生效，因此可能改变依赖 IP / GeoIP / ASN 判断的路由结果。关闭严格模式后，上述两个开关恢复各自保存的选择

此模式仅约束 VPN 接管的 DNS。局域网名称、代理节点的启动解析使用各自路径，应用自带 DoH/DoT、被排除的流量以及没有进入 VPN 的请求不由这个开关统一控制。VPN 捕获的公共 TCP/53 查询会被拒绝，不自动放行明文备用查询

两个独立的兼容选项

设置	实际作用
跳过分流 DNS 解析	减少为 IP 类规则而执行的本地解析；直连和 DNS 例外仍可能解析，不等于全部 DNS 经代理
允许回退系统 DNS	自定义服务器无法回答时允许系统解析器接手；有效的不存在答复不会触发回退，严格模式始终禁止此回退

加密只保护到解析器这一段，并不自动选择代理出口。普通模式下，不能仅靠换成一个 https:// 地址就认定没有本地 DNS 查询

为特定域名添加 DNS 规则

中文模拟界面 · 虚构数据 · 点击查看大图

1. 进入「设置 → DNS → 新增 DNS 规则」
2. 选择精确、后缀或通配匹配，填写域名，例如自有内网的 corp.example.com
3. 按需要选择地址、别名、分流 DNS 或「始终真实 IP」，填写实际可达的服务器或地址
4. 保存并排序，从上到下第一个匹配项生效；重新请求目标，核对解析结果及到目标的路由

图中的 192.0.2.53 仅为文档地址，不能直接使用。内部域名交给公司 DNS 前，先确认公司网络和路由可达；获得正确地址不等于已经能连接

分开检查三个 IPv6 设置

位置	控制范围
设置 → IPv6 → 自动 IPv6 / 应用 IPv6 流量	VPN 是否接管应用 IPv6，顶部显示当前实际状态和来源；关闭自动后才能手动选择
设置 → DNS → IPv6 DNS 解析	本地域名解析是否请求 IPv6 地址，不会开启 VPN IPv6 接口，也不限制远端解析或直接填写的 IPv6 地址
设置 → IPv6 → 节点连接 → 服务器 IP 版本	连接代理服务器域名时的默认地址族；节点菜单或编辑器可单独覆盖，修改对新连接生效

网络预设可以覆盖全局 IPv6 设置。「隐藏 VPN 图标」或反射中的「本机兼容」也可能使 IPv6 绕过 VPN，先看顶部实际状态。关闭 IPv6 DNS 解析不等于关闭系统 IPv6，也不保证 IPv6 流量已被接管

验证与排查

• 用随机新域名测试，避免缓存遮蔽路径；DNS 测试显示解析器，国家或 IP 与代理节点不同不能单独证明泄漏
• 分别核对 IPv4、IPv6、当前节点、DNS 来源、网络预设和模块；切换 Wi-Fi / 蜂窝或重连后再测
• 应用自带安全 DNS、系统 DNS 描述文件和其他 VPN 需单独检查；端口 53 检查不能覆盖所有加密 DNS
• 「包含所有网络」影响系统流量接管，不能替代 DNS 出站策略；启用前阅读界面中的兼容性和更新提示
• 只有个别域名失败时，检查对应 DNS 规则与局域网/Tailscale 路径；严格模式下公共域名全部失败时，优先核对可用的 HTTPS DNS 和代理

需要验证物理网络上的查询时，可在自己的路由器或网络抓包。一次网页 DNS 测试通过不代表所有应用或断线期间都受保护