01解析决定地址，路由决定怎样连接

访问域名通常先要获得可连接的地址，随后才建立到目标的通信。

DNS负责名称解析，代理规则负责如何处理连接，两者密切相关却不是同一功能。解析成功只说明得到了回答，不保证后续地址能够到达；连接走代理，也不自动意味着先前的解析请求使用了同一条路径。

这种分离解释了不少看似奇怪的现象：网页主体打开了，图片却加载失败；同一域名在不同网络下返回不同地址；换节点后暂时仍连接旧地址。网站可能使用多个域名和内容分发服务，各请求又受缓存与规则影响。理解解析和连接各自的职责，比把所有失败都称为DNS问题更有帮助。

02DNS分流是对解析请求作选择

DNS分流可以根据域名或其他条件，为不同查询选择适合的解析服务与发送路径。

目的通常是让解析结果与后续访问方式协调。例如，本地服务需要本地可用地址，经过某个远端出口访问的服务则可能更适合与该出口条件相符的解析。具体机制取决于客户端内核，不能把一份配置的字段含义套到所有软件。

还存在一个容易忽略的启动问题：客户端若要连接以域名表示的代理服务器，往往先得解析这个服务器本身。若解析又依赖尚未建立的代理，就可能形成循环。因此一些软件会区分代理服务器域名解析与普通目标域名解析。它们看起来都叫DNS，但处在连接流程的不同位置。

03Fake-IP是本地映射，不是远端网站地址

Fake-IP模式通常会向应用返回一个受控范围内的虚拟地址，并在本地记录该地址对应的域名。

应用尝试连接这个虚拟地址时，代理内核可以借助映射识别原始目标，再按规则处理真实访问。这个地址是客户端协作机制的一部分，不应被当作网站服务器在公网中的实际地址。

它的价值在于帮助代理保留域名关联，并让某些分流流程更容易协调。但它不会创造新的服务器、增加带宽或替代节点身份验证。某些依赖真实地址的程序、局域网发现或特殊网络行为可能需要兼容处理。因此看到虚拟地址时不必立即认为解析被破坏，也不能认为开启该模式就适合所有应用。

04例外规则与缓存会改变观察结果

并非所有域名都适合返回虚拟地址。

局域网设备名称、某些应用的连通性检查以及特殊服务，可能需要按客户端支持的方式走例外路径。例外的含义是改变特定查询的处理方式，并不是关闭所有代理。具体规则应围绕真实兼容问题设置，堆砌一份来历不明的超长名单反而难以维护。

缓存让系统不用每次重新查询，能够减少等待，但也会让新设置不立刻体现。操作系统、浏览器、应用和代理内核可能各自保留不同信息。修改规则后仍看到旧地址，不一定意味着配置未生效；需要分清观察的是哪个缓存层。频繁同时更换DNS、节点与模式，则会让原因更难判断。

05加密DNS保护的是特定传输环节

DoH和DoT等机制用于保护客户端与所选解析服务之间的查询传输，减少沿途直接读取或修改查询内容的机会。

它们并不意味着解析服务本身看不到查询，也不等于网页流量自动经过代理。选择解析服务时，仍需要考虑可信度、可达性、地区适配与客户端支持，而不只看是否带有“加密”两个字。

浏览器还可能使用自己的加密DNS设置，从而绕开操作系统或代理内核预期的解析入口。这不一定导致失败，却可能让规则行为与想象不同。所谓DNS泄漏也应先定义预期：哪些查询本应经过哪个受信任路径，实际又发向哪里。单看检测网页展示了一家解析商，无法完整推断所有应用的行为。

06用完整流程解释问题

假设一个应用通过代理出口访问服务，但其解析结果面向另一地区，目标选择就可能不够合适；若应用使用了已缓存的地址，新DNS策略暂时也不会改变已有连接。

另一方面，目标站本身故障时，更换解析通常无济于事。把查询、返回地址、规则匹配和最终连接串起来，才有可能找到真正不一致的环节。

日常使用不需要追求最多的DNS选项。更重要的是保持策略目的清楚，知道哪些请求由系统处理、哪些由代理处理，以及遇到异常时如何返回已知可用状态。具体操作集中在客户端统一教程；这里的核心判断是：解析正确、路径合适和应用能够使用，必须分别确认，不能用一个开关代替全部验证。