代理模式与 DNS

这两块最容易混：代理模式决定路由器怎么接管流量，DNS 设置决定域名怎么解析。流量不通先分清是哪一层出的问题。

三种代理模式

模式	怎么接管	什么时候用
Fake-IP	给需要代理的域名分一个虚拟 IP（`198.18.x.x`），内核收到再还原成域名转发	默认。兼容性好、配置简单，绝大多数家庭路由器够用
TUN	建虚拟网卡接管流量	需要更完整的接管，或某些应用在 Fake-IP 下不听话
Mixed	TUN 的另一种网络栈（mixed stack）	System / gVisor 表现不稳、虚拟机环境兼容性差时试它

TUN 系（含 Mixed）的前提：设备有 /dev/net/tun，容器或 PVE LXC 还要宿主机放行 TUN。

Clashoo 把 TCP、UDP、网络栈拆开配，不必一个模式全包：

项目	可选	说明
TCP	Redirect / TProxy / TUN	Redirect 最省事，TProxy 兼容性好，TUN 接管最彻底
UDP	TProxy / TUN	走代理的 UDP 出问题时，可以只把 UDP 443 拦掉让应用回落 TCP
网络栈	gVisor / System / Mixed	只有 TCP 或 UDP 选了 TUN 才生效

另有「禁用 QUIC GSO」开关，个别网卡驱动下 GSO 会导致 UDP 分片异常。

选了 TUN 但设备不支持时，Clashoo 会自动降级到兼容模式继续跑。能上网就说明只是没吃上 TUN，不是配错了。

可以按 IPv4、IPv6、MAC 分组，分别控制两件事：是否接管 DNS、是否走代理。想让某台设备（比如电视盒子）绕开代理，或者反过来说「只让这台走代理」，都在这一块。

DNS 页面按作用拆成三区，先分清谁管谁：

区域	管什么
基础 DNS	内核 DNS 本身怎么工作：接管开关、监听端口、Fake-IP / Redir-Host、是否解析 IPv6、Fake-IP 网段
上游 DNS	解析域名时去问谁：国内 DNS、国外加密 DNS、节点域名专用 DNS、直连域名 DNS
分流 DNS	什么域名问哪个上游：默认 `geosite:cn` 走国内，`geosite:geolocation-!cn` 走国外

默认值基本可以直接用，关键的几项：

设置	默认	说明
DNS 监听端口	`1053`	dnsmasq / 防火墙把请求转到这里，不冲突就别改
增强模式	`fake-ip`	推荐保留
Fake-IP 网段	`198.18.0.1/16`	测试网段，不与公网冲突
Fake-IP 过滤域名	`*.lan`、`rule-set:cn_domain` 等	国内域名走真实 IP 直连；内置 `cn.mrs`，不用加载 10MB 的 `geosite.dat`，启动更快
Bootstrap DNS	`223.5.5.5`、`119.29.29.29`	用来解析 DoH / DoT 服务器本身的域名，要稳定
ECS 客户端子网	留空	留空最省心；填错会拿到不合适的 CDN 节点

	基础 DNS → IPv6 解析	透明代理 → IPv6 DNS 劫持
作用对象	Clashoo 内核自己解析域名时查不查 AAAA	局域网设备发出的 IPv6 DNS 请求要不要被接管
关掉的后果	内核基本只拿 IPv4 地址	设备可能绕过 Clashoo，分流规则失效、DNS 泄漏

即使不用 IPv6 代理，也建议保留 IPv6 DNS 劫持。运营商下发的 IPv6 DNS 一旦绕过 Clashoo，分流和 Fake-IP 都会失灵。