关于更换默认 DNS 的讨论

[ojibk]

鉴于阿里 DNS 从 2024 年 10 月 1 日起实施了严厉的“限速”策略。在高峰期或网络负载较高时，免费版的服务质量确实会受到动态限制，从而导致解析延迟或超时。

但是社区各文档和教程依然将阿里 DNS 当作第一推荐。因此建议教程文档和默认设置将缺省 DNS 配置由阿里 DNS 更换为火山引擎 (字节跳动) DNS： 180.184.1.1 / 180.184.2.2（相对较新，目前负载较轻），还由于 8.8.8.8 的可用性其实已远不如 1.1.1.1，兹建议将缺省谷歌 8.8.8.8 改为 CF 的1.1.1.1。

在像 Mihomo 或 Sing-box 这类先进的分流软件中，要实现“既享受极低延迟，又完美避开阿里限速，同时确保隐私防泄漏”，核心思路是：协议加密、并发测速（Racing）与精准的域名路由（Policy Routing）。

我们不需要把所有国内解析压力都压在一家头上。通过合理的配置，我们可以让各家 DNS “各司其职”。

以下是基于 Mihomo 内核的实战配置方案与原理解析。

一、 核心配置原则
全量使用 DoH 加密： 彻底抛弃传统的 UDP 53 端口。使用 https:// 开头的 DoH 协议，既能防止本地运营商的 DNS 劫持和隐私窥探，又能绕过阿里对 UDP 2000bps 的严苛限速（DoH 的限速阈值是 20 QPS，相对更宽容）。

主路并发（火山 + 腾讯）： 将目前无限制、速度极快的火山 DNS 和腾讯 DNS 作为国内域名的主力并发组。软件会同时向这两者发包，谁先返回就用谁的 IP，极大降低偶发延迟。

定向投喂（孤立阿里）： 既然阿里 DNS 对阿里系域名（如淘宝、高德、优酷）的 CDN 调度最精准，那我们就只把阿里系域名的解析请求丢给它。这样一天的查询量微乎其微，绝对不可能触碰 20 QPS 的红线。

国外域名走代理： 所有非国内域名，必须通过代理隧道发送给海外的安全 DNS（如 Cloudflare 或 Google），彻底杜绝 DNS 污染和 IP 泄漏。

二、 Mihomo 配置模板
在你的配置文件的 dns 模块中，按照以下逻辑进行修改和优化。请确保保留你原有的 fake-ip-filter 等基础配置，重点替换 nameserver 和 nameserver-policy 部分。

dns:
enable: true
ipv6: false
listen: 0.0.0.0:1053
enhanced-mode: fake-ip
fake-ip-range: 198.18.0.1/16

default-nameserver 仅用于解析下方 DoH 链接本身的域名（Bootstrap）

这里可以使用最基础的 UDP DNS，因为它只在启动时工作几次

default-nameserver:
- 223.5.5.5
- 119.29.29.29

nameserver 是默认（全局/海外）的 DNS

必须走代理节点，以获取真实的海外被墙 IP，防止污染和隐私泄漏

nameserver:
- https://1.1.1.1/dns-query#proxy
- https://8.8.8.8/dns-query#proxy

nameserver-policy 是核心分流规则

nameserver-policy:
# 1. 阿里系域名：精准投喂给阿里 DNS，完美避开 QPS 限制，同时获得最佳 CDN
"geosite:alibaba,taobao,bilibili":
- https://dns.alidns.com/dns-query#DIRECT

# 2. 其他所有国内域名（及本地私有域名）：火山与腾讯并发测速，谁快用谁
"geosite:cn,private":
  - https://180.184.1.1/dns-query#DIRECT  # 火山 DNS (目前极快且无限制)
  - https://doh.pub/dns-query#DIRECT      # 腾讯 DNS (高可用兜底)

三、 为什么这样配置能完美解决问题？
彻底根除限速痛点： 通过 nameserver-policy，我们将国内 90% 的常规请求（微信、抖音、百度、普通网页）全部交给了火山和腾讯。阿里 DNS 仅负责处理 geosite:alibaba 等极少数特定请求。你的网络峰值 QPS 可能达到 50，但分摊到阿里头上的 QPS 可能只有 1 到 2，连官方限速阈值的边都摸不到。

极致的解析速度：
并发测速机制（Racing）意味着火山和腾讯在无时无刻地为你“赛跑”。如果晚高峰腾讯 DNS 出现了 50ms 的延迟，而火山只用了 10ms，内核会自动采纳火山的结果。

零泄漏的隐私堡垒：
默认的 nameserver 走的是 #proxy（或你的代理策略组名称）。这意味着，当你在访问被墙的站点或未被 geosite:cn 收录的边缘域名时，DNS 请求是被强加密并打包在代理隧道中发送到国外的。国内的运营商和公共 DNS 根本不知道你在查询什么，做到了物理级别的防泄漏。