DNS RESOLUTION
PassWall DNS设置、dnsmasq解析路径与Fake-IP常见问题指南
域名如何变成连接目标，取决于设备实际使用的解析路径。DHCP、设备自设DNS、缓存和代理相关组件，需要放在同一张检查清单中核对。
画出当前设备真正使用的解析路径
记录LAN客户端的DNS、网关、DHCP租约和IPv6信息。dnsmasq通常提供DNS转发与缓存，也可承担DHCP；其上游由当前配置决定。客户端自设DNS、浏览器安全DNS或VPN可能改变实际入口，路由器本机查询成功不能替代客户端验证。
客户端入口→本地DNS服务→实际配置的上游
具体分层方法见dnsmasq与Fake-IP解析关系。核对监听冲突时先保留原配置，不直接删除DNS配置文件。
区分地址、映射与加密传输
| 概念 | 承担的职责 | 检查边界 |
|---|---|---|
| 真实IP解析 | 返回A或AAAA等记录 | 分别核对IPv4和IPv6结果 |
| Fake-IP | 维护域名与合成地址的映射 | 是否启用、地址池及实现以实际版本为准 |
| 普通DNS | 常见UDP/TCP 53查询 | 53端口重定向只影响匹配流量 |
| DoH / DoT | 分别通过HTTPS或TLS承载DNS | 不能假定被普通53端口规则自动接管 |
| DNS缓存 | 在有效时间内复用响应 | 比较TTL和实际查询来源 |
Fake-IP不是真实服务器地址。DNS分流与代理出站是相互配合的两个环节，解析成功后还需核对透明代理链路。
根据差异定位，不一次改动所有设置
比较同一域名在客户端、路由器和已配置上游的结果，记录响应码、A与AAAA及时间。若设备间不同，核对LAN来源与设备策略；解析一致但连接失败，查看防火墙、监听与转发路径。
如果异常只发生在路由器更新订阅时，检查的是路由器自身请求环境，参照订阅更新获取层定位。每次仅调整一项，保留原值并用新连接验证，不把所有DNS异常都归因于节点。