6. DNS 与 hosts#

DNS 是透明代理和 TUN 的核心。很多“规则不生效”本质上是 Link1 没拿到域名。

DNS 最小配置#

dns:
  enable: true
  listen: 127.0.0.1:1053
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  nameserver:
    - https://223.5.5.5/dns-query
    - tls://223.5.5.5:853

实际影响：

• enable=true 才会启用 Link1 DNS resolver。

• listen 开启本地 DNS 服务，供系统或路由器转发查询。

• enhanced-mode=fake-ip 能提高透明代理下域名规则命中率。

• nameserver 是默认上游 DNS。

DNS server 写法#

Link1 支持以下 DNS 上游写法：

DoH 可以通过 URL fragment 指定 HTTP/3：

nameserver:
  - https://dns.google/dns-query#h3=true

也可以用 fragment 选择路由出口：

nameserver:
  - https://dns.google/dns-query#PROXY

DNS 字段说明#

Fake-IP#

Fake-IP 的工作方式：

客户端查询 api.example.com
  -> Link1 返回 198.18.0.10
客户端连接 198.18.0.10:443
  -> Link1 反查：198.18.0.10 属于 api.example.com
  -> 域名规则可以命中

适合：

• TUN。

• 透明代理。

• 路由器网关模式。

不适合或需要过滤：

• 某些局域网设备连通性检测域名。

• 依赖真实 IP 的服务发现。

• 内网域名。

示例：

dns:
  enhanced-mode: fake-ip
  fake-ip-filter:
    - '*.lan'
    - '+.local'
    - 'dns.msftnsci.com'

nameserver-policy#

按域名指定不同 DNS：

dns:
  nameserver:
    - https://dns.google/dns-query
  nameserver-policy:
    '+.corp.example.com':
      - openvpn://corp-vpn
    '+.tailnet.ts.net':
      - ts://tailnet
    'geosite:cn':
      - https://223.5.5.5/dns-query
    'rule-set:private':
      - system://

实际影响：

• 企业域名可走企业 VPN DNS。

• Tailnet 域名可走 Tailscale MagicDNS；tailscale://name 和 ts://name 等价。

• 国内域名可走国内 DNS。

• 特定规则集可使用专用 DNS。

• policy key 支持逗号拆分，例如 geosite:cn,private。

fallback-filter#

dns:
  fallback:
    - https://1.1.1.1/dns-query
  fallback-filter:
    geoip: true
    geoip-code: CN
    geosite:
      - geolocation-!cn
    domain:
      - '+.google.com'
    ipcidr:
      - 240.0.0.0/4

含义：当默认 DNS 返回结果不符合预期时，使用 fallback 结果。常见用途是减少 DNS 污染影响。

字段影响：

hosts#

静态 hosts：

hosts:
  router.lan: 192.168.9.1
  api.local:
    - 10.0.0.10
    - 10.0.0.11

实际影响：

• 优先于上游 DNS。

• 适合内网服务、测试域名、固定映射。

• 如果 dns.use-hosts=false，配置里的 hosts 不生效。

hosts-providers#

从外部文件或 URL 加载 hosts：

hosts-providers:
  intranet:
    type: file
    path: ./hosts/intranet.hosts

  remote-hosts:
    type: http
    url: https://example.com/hosts.txt
    path: ./hosts/remote.hosts
    interval: 3600
    proxy: DIRECT

字段影响：

DNS 与规则的关系#

域名规则依赖域名上下文，IP 规则依赖 IP 上下文。TUN/透明代理下推荐：

dns:
  enable: true
  enhanced-mode: fake-ip

tun:
  enable: true
  dns-hijack:
    - any:53

sniffer:
  enable: true

这样能让规则引擎尽可能同时拿到域名和 IP。