外观
路由器侧 DNS 配置与分流
路由器侧分流要先决定境内外域名由谁解析、规则在哪一步判断，再让解析结果与规则保持一致。常见做法是境内域名走境内解析并直连，境外域名经代理通道或加密方式解析并走节点，同时拦截设备绕开路由器的解析请求。
此外还要保持规则列表更新。本文只讲通用原理与排查顺序，不涉及具体版本与菜单。
核心结论与适用条件
- 如果路由器上的分流规则以域名为基础，那么 DNS 与规则必须一起设计。只改规则不管解析，结果往往是“规则对了，连接仍错”。
- 如果家里设备较多，那么路由器是统一的 DNS 入口，应通过 DHCP 把路由器自己作为解析服务器下发，再由路由器决定上游。
- 如果你使用 Fake-IP 一类的模式，那么需要接受部分依赖真实地址的应用可能要单独放行，并保留回退的办法。
- 如果你发现设备绕开了路由器的解析，例如浏览器使用内置加密解析，那么需要在路由器侧拦截对外的解析请求，并在设备上调整相应设置。
- 如果网络同时存在 IPv6，那么必须明确它的处理策略，否则可能出现分流绕过。
- 如果这是第一次改路由器配置，那么先记录原配置并确认能回退，再小步修改，每次只动一处。
这些结论的前提是：你清楚自己在改什么，使用的订阅与软件均来自合法合规的渠道，并遵守所在地区的法律法规。路由器方案的整体位置请看移动与路由器专题总览；全家共用订阅时的流量分配思路在家庭共享订阅的分配方法里展开，本文不重复。
为什么路由器上的 DNS 比桌面端更重要
在桌面或手机客户端里，DNS 只影响一台设备；在路由器上，它同时影响全家。更重要的是，路由器通常处在“透明代理”的位置：设备本身并不知道自己的流量被分流，也没有机会在应用层做补救。一旦路由器的解析出了问题，所有设备都会遇到同样的症状：网页打不开、应用转圈、某些站点时好时坏。
分流规则大多以域名为条件，例如“这个域名走代理，那个域名直连”。但设备发起连接之前，首先要把域名解析成地址。解析这一步有几种可能的结果：得到正确的地址；得到被污染的错误地址；得到的是离用户很远、不适合访问的地址；或者解析请求本身被发往了不该去的地方。无论哪一种，都会影响后面规则的判断。
理解这一点之后，路由器上的 DNS 配置就可以拆成三个互相独立的问题：
- 设备把解析请求发给谁？这是入口问题，由 DHCP 与劫持决定。
- 路由器把解析请求转发给谁？这是上游问题，由分域名策略决定。
- 解析得到的结果如何与规则对接？这是模式问题，由 Fake-IP 或真实解析决定。
后文按这三个问题展开，最后给出泄露与污染的排查顺序。
参数对比：常见 DNS 策略的取舍
下表比较路由器上常见的几种 DNS 策略。没有任何具体数值，口径是通用技术原理的定性归纳；“待核实”表示取决于你所用的固件与插件。
| 指标 | 单一上游解析 | 按域名分流解析 | Fake-IP 模式 | 加密解析（DoH 等） | 单位 | 统计口径 | 数据来源 | 更新时间 |
|---|---|---|---|---|---|---|---|---|
| 配置复杂度 | 低 | 中 | 中到高 | 中 | — | 定性 | 通用技术资料 | 2026-10-18 |
| 污染风险 | 高，取决于上游 | 低，境外域名走专用上游 | 低，解析在节点侧 | 低，传输加密 | — | 定性 | 通用技术资料 | 2026-10-18 |
| 泄露风险 | 高 | 中，取决于规则覆盖 | 低 | 取决于是否指向境外且被拦截 | — | 定性 | 通用技术资料 | 2026-10-18 |
| 应用兼容性 | 好 | 好 | 部分应用需放行 | 好 | — | 定性 | 通用技术资料 | 2026-10-18 |
| 对规则列表依赖 | 低 | 高 | 高 | 低到中 | — | 定性 | 通用技术资料 | 2026-10-18 |
| 对路由器性能要求 | 低 | 中 | 中 | 中，需要处理加密连接 | — | 定性 | 通用技术资料 | 2026-10-18 |
| 是否需要拦截设备自带解析 | 是 | 是 | 是 | 是 | — | 必要性判断 | 通用技术资料 | 2026-10-18 |
| 实测解析耗时 | Not Tested | Not Tested | Not Tested | Not Tested | — | 本站测试状态 | 本站 | 2026-10-18 |
这张表的结论不是“哪一种更优”，而是每种策略把风险放在了哪里。单一上游简单，但风险交给了上游；按域名分流把风险转移到规则覆盖；Fake-IP 把风险转移到应用兼容；加密解析则把风险转移到性能与拦截策略。你需要根据家庭里的设备类型决定接受哪一种风险。
Decision Path
路由器 DNS 策略选择
text
路由器是否承担全家分流？
├─ 否，只在个别设备上用客户端
│ └─ DNS 配置留在客户端，路由器保持默认
└─ 是
├─ 是否有不能装客户端的设备（电视、盒子）
│ ├─ 是 → 路由器必须统一接管解析
│ └─ 否 → 可以先小范围试用
├─ 选择解析模式
│ ├─ 应用兼容性优先 → 真实解析 + 按域名分上游
│ ├─ 响应与泄露控制优先 → Fake-IP + 放行清单
│ └─ 不确定 → 先用真实解析，稳定后再评估
├─ 设备是否绕开路由器的解析
│ ├─ 是 → 拦截对外解析请求，并关闭设备内置加密解析
│ └─ 否 → 保持
└─ 网络是否含 IPv6
├─ 是 → 明确策略（纳入规则或按需关闭）
└─ 否 → 继续入口问题：设备的解析请求怎么到路由器
设备通常通过 DHCP 获取网络参数，其中包含解析服务器地址。把路由器自己设为被下发的解析服务器，是让所有设备“默认”使用路由器 DNS 的前提。如果上级网络或其他设备同时在下发 DHCP，设备可能拿到别的解析服务器，导致配置失效，所以家里应只保留一个 DHCP 服务来源。
仅靠下发还不够。部分设备会忽略下发值，直接向固定的外部解析服务器发起请求；部分浏览器会使用内置的加密解析，把请求通过加密通道发往指定服务商。这两种情况都会绕开路由器的规则。解决办法是在路由器侧把设备发往标准解析端口的请求重定向到路由器自己的解析服务，也就是常说的“DNS 劫持”或“DNS 重定向”。这里的“劫持”是对自己网络内部的流量做规范化，不涉及他人网络。
对于使用加密解析的浏览器，路由器很难直接拦截（流量与普通网页请求无异），更可行的办法是在浏览器设置中关闭或改写它的安全解析选项，让它回到使用系统解析。具体选项位置因软件而异，请在对应软件的设置里查找“安全 DNS”“加密解析”一类的说明。
如果家里使用旁路由方案，入口问题还会多一层：设备需要把网关和解析服务器都指向旁路由，才能让解析与分流发生在同一台机器上。旁路由与主路由的取舍可以看旁路由方案怎么选。
上游问题：按域名决定谁来解析
入口解决后，路由器上的 DNS 服务需要决定“把这个域名交给哪个上游”。最常见的分法是三类：
- 境内域名：交给境内的解析服务，目的是得到距离用户更近、更适合直连的地址。
- 境外域名：通过代理通道转发到境外解析，或使用加密方式访问境外解析服务，避免被污染或篡改。
- 未命中任何规则的域名：由兜底策略处理。兜底应该选保守的一端，具体取决于你的规则是“默认直连”还是“默认代理”。
这个分法依赖一份可靠的域名分类列表。列表通常来自社区维护的规则集，覆盖常见的国内站点与国外站点。长期不更新的列表，会让新出现的站点落入兜底，从而出现“国内站点走了代理”或“国外站点被直连”的错误。规则的更新机制与规则集的组织方式，可以参考配置文件里规则与 DNS 段如何书写，原理与桌面端相通，路由器上只是运行环境不同。
要注意的细节有三点。第一，用于解析上游的服务器本身，如果是以域名形式给出的，需要先被解析，这会形成“先有鸡还是先有蛋”的问题，通常的做法是为这类引导解析指定一个固定地址的上游。第二，同一个域名在不同上游得到的结果可能不同，因此“境内外域名各自去哪里解析”必须在规则里写清楚，不要依赖偶然的缓存。第三，家庭里的内部名称，例如本地设备的主机名，应交给路由器本身解析，不要发往外部上游，否则不仅解析失败，还可能把内部名称泄露出去。
模式问题：Fake-IP 还是真实解析
解析结果如何和规则对接，主要有两种思路。
真实解析：先通过上游得到真实地址，再用域名或地址去匹配规则，然后决定走直连还是代理。优点是兼容性好，应用拿到的地址是真实可用的，也便于用地址规则做补充；缺点是整个流程依赖上游解析的可靠性，解析被污染时，匹配会连带出错，并且境外域名的解析请求必须经过合适的通道，否则存在泄露风险。
Fake-IP：路由器的 DNS 服务立刻返回一个由代理软件分配的“假地址”，设备拿着假地址发起连接，代理软件根据假地址反查到域名，再用域名去匹配规则，真正的解析发生在节点一侧或按需进行。优点是响应快、解析泄露面小，而且规则可以完全基于域名；缺点是对某些依赖真实地址的应用不友好，例如需要直接连接局域网设备的软件、某些游戏、基于地址做校验的应用，需要放入放行清单，让这些域名返回真实地址。
选择哪种模式没有统一答案。建议的步骤是：先用真实解析建立稳定的基线，确认分流正确；再根据需要评估 Fake-IP，并预先准备好放行清单与回退办法。不要在没有基线的情况下直接上 Fake-IP，否则出现问题时很难判断是规则、解析还是应用本身的问题。
这两种模式背后的核心组件通常是同一类代理内核。内核的作用与它在桌面端的表现，可参考内核与客户端的关系；路由器上的具体插件使用方式则看OpenClash 的使用思路。本文不涉及版本与具体选项名称，请以所用插件的官方说明为准。
规则与 DNS 的配合：几个常见的联动点
规则与 DNS 并非各自独立，下列联动点最容易出问题。
域名规则与地址规则的顺序。如果规则里既有域名条件又有地址条件，匹配顺序会影响是否触发额外的解析。对未必需要解析的连接，把域名规则放在前面，可以减少不必要的解析请求；地址规则放在后面，在需要时再解析。
直连域名的解析上游。直连的域名如果仍交给境外上游解析，得到的地址可能不适合直连，造成访问变慢。反过来，需要代理的域名如果交给境内上游，可能得到被污染的地址。所以“直连域名走境内解析、代理域名走境外解析”是一条基本的配对原则。
局域网地址与内部域名。局域网地址应当永远直连，局域网内部名称应当由路由器本地解析。这看似平凡，却是家庭网络里最常见的错误来源之一：电视找不到电脑、打印机找不到路径，往往是内部名称被误发往外部上游。
分流到 AI 与流媒体域名。品牌资料显示覆盖相关使用场景，具体可用性、解锁状态及节点表现可能随 IP、地区和平台策略变化，建议以最新实际测试结果为准。从 DNS 的角度，关键是让相关域名在解析和连接两个阶段保持一致的出口，而不是在不同阶段落在不同地区。AI 场景的分流思路可以参考AI 工具的分流规则，流媒体域名与解析方式的关系可以看DNS 方式在流媒体场景的作用与限制。
TUN 与路由器模式的差异。在桌面端使用虚拟网卡接管时，解析也会被一并接管；在路由器上则由网关转发完成，两者的 DNS 劫持方式并不相同，概念对照可看TUN 模式在桌面端的作用。
泄露与污染：按顺序排查
当你怀疑路由器 DNS 有问题时，建议按下面的顺序排查。顺序的原则是由外到内、每次只验证一件事。
第一步，确认现象。是某个域名不通，还是所有境外站点都慢？是所有设备都出现，还是只有个别设备？如果只有个别设备异常，问题大概率在设备侧（自带解析、本地缓存、客户端冲突），而不是路由器。
第二步，确认设备实际使用的解析服务器。在设备上用系统自带的解析命令查看当前使用的解析服务器，是否是路由器的地址。如果不是，回到入口问题：DHCP 是否被其他设备抢先、设备是否固定了自己的解析。
第三步，查看路由器解析服务的日志或统计。大多数插件会提供解析记录页面，你可以搜索出问题的域名，看它被分配到哪个上游、得到什么结果。如果记录里没有这个域名，说明请求根本没到路由器，回到第二步；如果有但结果不对，进入第四步。
第四步，核对该域名的规则归属。它被判为直连还是代理？规则列表里是否有这个域名？规则列表最近更新是什么时候？很多“解析污染”的表象，其实是规则列表过旧、域名落入兜底。
第五步，做泄露检测。使用公开的 DNS 泄露检测页面，在代理开启与关闭两种状态下各测一次，对比显示的解析服务器是否与预期一致。若在代理开启时仍显示本地运营商的解析服务器，说明境外域名的解析没有走专用上游。
第六步，检查 IPv6。如果 IPv4 一切正常，而问题仅在部分站点出现，且网络含 IPv6，请检查对应的 AAAA 解析与出口策略。必要时暂时关闭 IPv6 做对照实验，但要记得恢复。
第七步，回退对照。把路由器 DNS 改回默认并确认问题是否消失。如果消失，则问题在新配置；如果仍存在，则问题在别处，例如节点、订阅或本地网络。订阅相关的问题可以参考订阅更新失败的排查。
每一步都不需要具体数值，只需要判断“是”或“否”，并记录结果。记录本身比结论更有价值，因为它能让你在下次出现类似现象时迅速定位。
分流相关的几个小清单
下表把排查中遇到的典型症状与首先检查的方向对应起来，作为速查，不构成对任何具体软件行为的保证。
| 现象 | 优先检查 | 常见原因 | 处理思路 |
|---|---|---|---|
| 国内站点变慢 | 规则归属 | 域名落入兜底并走了代理 | 更新规则列表，补充直连规则 |
| 境外站点偶尔打不开 | 解析上游 | 污染或上游不稳定 | 为境外域名指定专用上游 |
| 个别设备异常，其他正常 | 设备自带解析 | 浏览器加密解析、固定解析服务器 | 关闭设备内置解析，重定向对外请求 |
| 局域网设备找不到 | 内部名称 | 内部域名被发往外部 | 内部名称由路由器本地解析 |
| 某应用在 Fake-IP 下异常 | 放行清单 | 应用依赖真实地址 | 将相关域名加入放行 |
| 开了代理仍有泄露 | 泄露检测 | 部分域名未走专用上游 | 补充规则，检查 IPv6 |
| 改动之后全家无法上网 | 回退 | 同时修改多项、配置冲突 | 恢复原配置，逐项重试 |
路由器 DNS 与手机端的关系
路由器上的 DNS 只在设备连接到家庭网络时生效。手机离开家庭后，使用移动网络或其他 Wi-Fi，路由器的配置不再起作用，需要依靠手机客户端自己的 DNS 与分流设置。这里有两个常见的误区。
第一个误区是“家里能用，外面就应该能用”。事实上，两套配置并不共用，解析上游、规则列表、模式选择都可能不同。第二个误区是在家里同时让路由器与手机客户端都开启代理。这会造成流量被重复代理，既浪费额度，也可能产生难以排查的循环或延迟。比较稳妥的做法是：在家时让手机的客户端保持待命状态或关闭，由路由器接管；外出时再开启客户端。
手机客户端本身的耗电与后台行为，可看手机代理的耗电与后台保活。这也是为什么对常在家中使用的设备，把分流交给路由器，往往能减少手机侧的负担。
方案关联：测试与回退方案
本文主题不依赖特定品牌，因此这里的“方案关联”指的是配置与测试的方案。路由器 DNS 的修改，建议按以下流程落地：
- 记录：保存当前路由器的网络与 DNS 配置，包括截图或文字记录。
- 基线：在不引入代理的情况下，确认家庭网络正常，并记录若干个常用站点的访问体验作为对照。
- 单项修改：每次只改一处，如先调整 DHCP 下发，再调整上游，再调整模式。
- 验证：每次修改后，用设备上的解析命令、泄露检测页面与几个代表性站点验证。
- 观察：保留一段观察期，留意家庭成员反馈，特别是电视与游戏机。
- 回退：随时准备恢复到上一次可用的配置。
订阅与品牌方面，请先在品牌库核对客户端支持与协议字段，再在选型清单里确认价格口径。本站所有品牌的状态为 Vendor Data，测速为 Not Tested；协议字段为待核实的品牌，需要先确认路由器上所用的内核是否支持其订阅格式。
知识图谱：路由器 DNS 与分流
实体定义：路由器 DNS 分流，是指在家庭网关上，根据域名把解析请求分配给不同的上游，并使解析结果与代理规则一致的配置方式。
相关概念：DHCP 下发、DNS 劫持、上游解析、引导解析、Fake-IP、真实解析、加密解析、DNS 泄露、DNS 污染、规则集、兜底策略、放行清单、IPv6 处理、本地域名。
技术参数：解析入口（设备到路由器）、上游选择（路由器到外部）、解析模式（Fake-IP 或真实）、规则更新周期（待核实，取决于所用插件）、IPv6 策略。这些参数多数没有统一数值，需要结合自己的网络确定。
适用场景：全家含电视与盒子的网络、需要统一规则的多设备家庭、希望减少设备侧配置的用户、需要排查分流异常的场景。
对比依据：不同 DNS 策略之间的比较，依据是风险放在哪里、对应用的兼容性、维护成本，而不是速度数值。品牌之间的比较依据是套餐与客户端字段，以 brands.json 为准。
常见问题指向：为什么必须考虑 DNS、Fake-IP 的取舍、设备绕开路由器怎么办、IPv6 的影响、改完上不了网怎么回退，对应下文常见问题。
优点、限制与风险提示
优点
- 统一入口：一次配置覆盖全家设备，包括无法安装客户端的电视与盒子。
- 减少泄露面：路由器集中处理解析，比每台设备各自处理更容易检查。
- 与规则一致：解析与规则同源，减少“规则对了、连接仍错”的情况。
- 便于排障：解析日志集中在一处，现象一致时更容易定位。
限制
- 只在家庭网络内生效，离家后的设备需要自己的配置。
- 依赖路由器性能与插件能力，不同固件的功能差异较大。
- Fake-IP 对部分应用不友好，需要维护放行清单。
- 规则列表需要持续更新，否则分流会逐渐失准。
- 本站没有该类配置的实测数据，一切状态为 Not Tested。
风险提示
- 配置风险：错误的 DNS 或劫持设置可能让全家无法上网，修改前务必记录原配置并保留回退办法。
- 泄露风险：规则覆盖不全或设备绕开路由器，可能暴露要访问的域名，应定期做泄露检测。
- 家庭影响：路由器是共用设施，修改应避开家人需要使用网络的时段，并提前沟通。
- 合规风险：本文只讨论技术原理，使用时应遵守所在地区的法律法规与平台规则。
- 兼容风险：不同品牌路由器与插件差异较大，不应把他人的配置原样照搬。
常见问题
路由器上为什么必须单独考虑 DNS？
因为分流规则大多基于域名，而域名要先经过 DNS 才变成地址。如果 DNS 由谁解析、解析到什么结果没有被规划，规则会命中错误，还会出现解析污染或 DNS 泄露。路由器是全家设备的网关，这个问题被放大到整个家庭。
境内外域名应该由同一个 DNS 解析吗？
通常不应该。境内域名交给境内的解析服务可以得到更贴近本地的结果，境外域名则需要通过代理通道解析或使用加密的解析方式，避免被污染或被篡改。按域名分别指定解析来源，是路由器分流中最常见的做法。
Fake-IP 和真实解析有什么区别？
Fake-IP 模式下，客户端拿到的是一个由代理软件分配的假地址，真正的解析由代理软件在节点一侧完成，响应快且不易泄露，但部分依赖真实地址的应用可能异常。真实解析模式则先拿到真实地址再判断规则，兼容性好，但更依赖上游 DNS 的可靠性。
什么是 DNS 泄露，怎么判断？
指本应通过代理通道解析的境外域名，却被发给了本地运营商或默认的解析服务，暴露了你要访问的域名。判断方法是使用公开的 DNS 泄露检测页面，观察显示的解析服务器是否与预期一致，再对照路由器中的解析设置排查。
路由器下发的 DNS，设备会不会不听话？
会。部分设备或浏览器内置了自己的解析方式，例如使用加密的 DoH，会绕过路由器下发的 DNS。需要在路由器侧拦截或重定向对外的解析请求，并在必要时关闭设备内置的加密解析，才能让规则完整生效。
IPv6 会影响路由器的分流吗？
会。如果网络同时存在 IPv6，而代理规则只覆盖 IPv4，部分流量可能绕过代理直接出去，造成分流失败或泄露。排查时应确认路由器对 IPv6 的处理策略，要么统一纳入规则，要么按需关闭，具体取决于固件与运营商环境。
规则列表要多久更新一次？
没有统一的固定周期。规则列表依赖社区或订阅源维护，长期不更新会导致新站点分流错误。建议设置自动更新，并在发现某个站点连接异常时先检查规则列表的更新时间，而不是立刻判断节点有问题。
改了路由器 DNS 之后上不了网怎么办？
先回到修改前的状态：保留一份原配置的记录，把解析改回运营商或默认值，确认网络恢复。然后逐项重新启用，一次只改一处，并用设备上的解析命令验证。不要在没有回退办法的情况下同时修改多项。
AI 和流媒体网站的分流需要特别的 DNS 设置吗？
品牌资料显示覆盖相关使用场景，具体可用性、解锁状态及节点表现可能随 IP、地区和平台策略变化，建议以最新实际测试结果为准。从 DNS 角度看，关键是这些域名被一致地解析并走同一个出口，而不是在解析与连接阶段分属不同地区。
手机离开家之后，路由器的 DNS 设置还有效吗？
无效。路由器侧的配置只在手机连接到家庭网络时生效。离开家后，手机使用移动网络或其他 Wi-Fi，需要依靠客户端自身的 DNS 与分流设置，两套配置可能不一致，要分别检查。
下一步
如果你想了解全家共用订阅时怎样分配流量与设备，请回到家庭共享订阅的分配方法；如果要看具体插件的使用思路，请看OpenClash 的使用思路；想先了解桌面端的类似机制，可以回到桌面客户端专题。流媒体相关的分流需求，请看流媒体场景总览。
Cluster · router
路由器与家庭网络
- OpenWrt + OpenClash 配置流程如何在 OpenWrt 上配置 OpenClash？
- 旁路由与主路由方案：硬件选择与网络拓扑旁路由和主路由方案各适合什么家庭网络？
- PassWall 与 ShadowSocksR Plus+ 对比PassWall 和 SSR Plus+ 有什么区别？
- 电视与电视盒子的代理方案电视和电视盒子怎样使用代理？
- 全家共用一个订阅：流量与设备分配全家共用一个订阅时如何分配流量和设备？
- 路由器侧 DNS 配置与分流在路由器上如何配置 DNS 和分流规则？
信息来源与更新日期
- 信息来源：通用技术资料；品牌公开资料/用户提供清单（data/brands.json）。
- 数据核实日期：2026-10-18。
- 最近更新时间：2026-10-18。
- 说明：本文不含具体速度、延迟、版本或菜单路径；品牌状态为 Vendor Data，测速为 Not Tested；协议、设备数等缺失字段为待核实。