先问设备实际把DNS请求交给谁
LAN设备通常通过DHCP获得DNS服务器地址，但手动设置、浏览器安全DNS、VPN客户端或应用自带解析都可能改变实际路径。先记录客户端当前地址、网关、DNS与IPv6信息，再与路由器分配的设置比较。路由器本机解析正常，不能证明每个客户端使用的解析服务器也正常。
dnsmasq可提供DNS转发与缓存，并承担DHCP等小型网络服务。它把请求交给配置的上游，不代表上游一定是代理核心，也不意味着所有流量经过同一条路线。可结合DNS配置栏目逐段记录入口、监听地址、上游及缓存；排查端口冲突时保留原配置，不要删除完整dnsmasq配置文件。
真实地址与Fake-IP各自代表什么
常规解析可返回真实的A或AAAA记录。Fake-IP是一种由相关组件维护域名与合成地址映射的机制：客户端连接映射地址后，兼容的处理链路再找回域名并处理连接。合成地址不是真正的远程服务器地址，不能脱离映射系统直接作为远端目标使用。
是否提供Fake-IP、使用什么地址池、由哪个核心维护映射，应以实际版本和启用方案为准；本站不预设PassWall所有版本都采用该方式。DNS分流决定查询交给谁，代理分流决定连接走哪条路径，两套规则需要配合但不是同一件事。
排查映射时还要考虑生命周期：客户端缓存的合成地址若超过对应映射的有效范围，后续连接可能缺少所需上下文。不要仅替换某个地址就认为已恢复。应核对当前方案的映射与缓存管理方式，再重新查询域名并新建连接比较结果。
端口53重定向的作用范围
普通DNS通常使用UDP或TCP 53。对53端口设置重定向，只影响符合这些匹配条件的流量；DoH通过HTTPS交换DNS消息，DoT通过TLS承载DNS，不能假定这两类加密查询也会自动被同一条53端口规则接管。应用独立解析还可能让路由器的域名关联信息不足。
先查清客户端的实际请求机制，再决定是否调整策略，不要无依据地关闭所有加密DNS。若解析正确而连接异常，继续对照透明代理与防火墙处理路径，确认LAN流量是否进入需要的链路。DNS查询成功并不保证代理核心、远端服务或IPv6路径可用。
按客户端、路由器、上游分层比较
选一个可复现域名，记录客户端默认解析结果，再比较路由器向已配置上游发起查询的结果。分别记录A与AAAA、响应码和TTL，区分缓存、上游错误及两种地址族的差异；仅在有证据时对相关组件做有限缓存清理，避免连续改动多个变量。
同一域名在不同设备上表现不同，还应核对LAN设备的地址与访问控制，检查实际DNS是否绕开预期路径。若某个监听端口已经由其他服务占用，先确定职责再调整一处设置。最后用新建连接验证域名解析和实际应用访问，保存脱敏记录以便复查。
