在不考虑DNS泄露问题的情况下，给DNS做分流是否有必要？

[lumine0915]

我看到有人会给DNS做分流以避免DNS泄露问题:

dns:
  enable: true
  cache-algorithm: arc
  ipv6: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  fake-ip-range6: 2001:2::1/48
  fake-ip-filter-mode: blacklist
  fake-ip-filter:
    - "rule-set:private"
    - "rule-set:fakeip-filter"
    - "rule-set:googlefcm"
    - "rule-set:cn"
  default-nameserver:
    - 119.29.29.29
    - 223.5.5.5
  nameserver:
    - "https://dns.google/dns-query#默认代理"
    - "https://cloudflare-dns.com/dns-query#默认代理"
  nameserver-policy:
    'rule-set:cn':
       - "https://doh.pub/dns-query"
       - "https://dns.alidns.com/dns-query"
  proxy-server-nameserver:
    - https://doh.pub/dns-query

我想问的是，如果我不在乎DNS泄露问题，而且启用fakeip模式且所有国外ip规则集都配置no-resolve，这种分流还是否有必要？不分流的话会不会有严重后果？

不分流就类似wiki上的快捷配置的写法：

dns:
  enable: true
  cache-algorithm: arc
  ipv6: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  fake-ip-range6: 2001:2::1/48
  fake-ip-filter-mode: blacklist
  fake-ip-filter:
    - "rule-set:private"
    - "rule-set:fakeip-filter"
    - "rule-set:googlefcm"
    - "rule-set:cn"
  default-nameserver:
    - 119.29.29.29
    - 223.5.5.5
  nameserver:
    - "https://doh.pub/dns-query"
    - "https://dns.alidns.com/dns-query"

[QuantIntellect]

不考虑泄露的话，没必要整套分流，不分流也不会有严重后果，你贴的第二份（不分流）配置可以直接用。走代理的 TCP 基本不受影响，主要要注意的是走代理的 UDP。

fake-ip 模式下，普通域名的 A/AAAA 查询直接返回 fake-ip，不会请求上游。nameserver/nameserver-policy 主要在这几处用到：

1. fake-ip-filter 里的域名：客户端拿到的就是真实解析结果
2. 没加 no-resolve 的目标 IP 规则：匹配到时会触发解析（文档）
3. DIRECT 出站：没配 direct-nameserver 时
4. 节点域名：没配 proxy-server-nameserver 时
5. 走代理的 UDP

TCP：fake-ip 会被还原成域名，fake-ip-filter 域名的真实 IP 也会记录 IP→域名映射。只要有域名，发给节点的就是域名，由节点自己解析，本地解析结果不影响连接。

UDP：mihomo 会先用 nameserver-policy/nameserver 把域名解析成 IP，再把这个 IP 发给节点。fake-ip-filter 里走代理的域名（比如 googlefcm，如果你让它走代理）也类似：UDP 总是用本地解析的 IP；TCP 在映射按 TTL 过期、又没嗅探出域名时也是。所以不分流时，发往被墙域名的 UDP（游戏、语音、QUIC）可能会被发到污染 IP，或者面向国内的 CDN IP。浏览器的 QUIC 连不上一般会回退到 TCP，影响不大。

在意这一点也不用整套分流，只给走代理的域名指定国外 DNS 就行（名单外、靠 MATCH 兜底的域名仍用国内 DNS）。其余 dns 配置不变，只改/加下面这三项：

dns:
  nameserver:
    - https://doh.pub/dns-query
    - https://dns.alidns.com/dns-query
  nameserver-policy:
    'rule-set:proxy': # 换成你 rule-providers 里走代理的域名集合（domain/classical）
      - "https://dns.google/dns-query#默认代理" # 默认代理 换成你实际的代理组名；名字不存在会被当成网卡名，查询会失败
  proxy-server-nameserver: # DNS 经代理时文档建议加上，避免鸡蛋问题
    - https://doh.pub/dns-query

另外两点区别：

• 末尾的 GEOIP,CN/cnip 如果没加 no-resolve，每个没命中域名规则的域名都会在这里解析一次。不分流时这次查询走国内 DoH，一般更快；污染结果通常不是 CN IP，照样会落到最后的代理规则。
• 你贴的第一份（分流）配置必须写 proxy-server-nameserver，是因为 nameserver 本身走 #默认代理（文档：“以防出现鸡蛋问题”）。它还会让不在 rule-set:cn 里的 DIRECT 域名经代理去问 Google/Cloudflare，拿到的 CDN 结果可能不适合直连，除非再配 direct-nameserver。

源码链接对应 v1.19.33（这些文件与当前 Alpha 相同）。

[lumine0915]

感谢回复，所以如果我udp用得多（比如需要用QUIC网站）还是写policy分流会更稳妥？