ADZERO HANDBOOK

DNS 与分流

编辑地址与备选库，保留当前代理的原生 DNS 路径。

默认地址与路径

在「运行概览 → DNS 与分流」统一设置两组地址、查询策略、严格模式和本机 SOCKS5 端口。上游测试与自动备用也集中在这里，增强页只保留过滤功能。

分组	默认当前地址	默认备选
国内	223.5.5.5	119.29.29.29
国外	1.1.1.1	8.8.8.8

支持有效 IPv4/IPv6 数字地址与标准 53 端口，不接受 DoH/DoT 网址、域名或任意端口。两组实际参与查询的地址不可重叠。普通 TCP DNS 本身不加密，代理传输与节点出口的加密范围取决于所用协议。

修改与应用

每行一个 IP，先使用“单一 + 备用”；满足路径条件后再选“组内并发”。
本机无认证 SOCKS5 用于国外测试；NaiLink 国外并发及严格模式、PassWall 国外并发及严格 TCP 模式必填。
保存到待应用，核对规则和分流草稿，再点一次「应用并重新加载」。

单一模式最多八个地址，仅第一条参与查询，其他为同组备用。并发模式最多三个地址同时查询，采用首个有效应答；格式错误、查询不匹配或失败应答不会抢先胜出。国内、国外不跨组竞争。并发增加请求量，不能把污染应答自动变成可信答案。

升级保留原模式，不自动开启并发或严格模式。恢复默认也先进入草稿，不立即改网络。并发模式不再做备用轮换。

自动分流要不要开

普通广告过滤无需开启自动分流。需要由 AdZero 设置国内直连、国外经当前受支持代理的 DNS 与分流时，再开启。关闭时保留个人地址库；设置通常在下一次开启自动分流时使用。

PassWall 保留原有 dnsmasq 或 ChinaDNS-NG 引擎和原生节点、分组策略。AdZero 不保证任意代理引擎或自定义 ACL 都支持自动分流；无法确认时会提示，不强制转换引擎。

并发兼容性

接入	并发路径	限制
OpenClash / Nikki	内核原生多上游，国外各项绑定当前代理组	保留 Fake-IP 与节点选择；并发本身无需 SOCKS
NaiLink	国内普通 TCP，国外经本机 SOCKS5 TCP；沿用原生缓存	国内 TCP 路径必须可达；国外并发和严格模式必须有可用本机 SOCKS5
PassWall	国内使用本机 TCP 并发；国外要求原生 TCP DNS 模式和经验证的本机 SOCKS5	国内也须通过 TCP 预检；Xray / sing-box 国外并发会拒绝，不静默改引擎
无代理	国内组使用 dnsmasq 多上游	不使用国外组，不支持严格模式

独立并发进程不会自动继承 NaiLink 内核内部的 DNS 出口。UDP 查询成功不代表 TCP 53 可用；不能盲目改为 UDP，以免再次进入透明 DNS 而回环。NaiLink 切换 dae、sing-box、mihomo 后需重新确认本机 SOCKS5 监听与实际出口，不保证旧端口仍然适用。SSR Plus+ 仅适配广告名单；PassWall2 接入广告过滤但保留原生 DNS 与分流，DNS 上游和并发请在原插件设置，不支持 AdZero 严格模式。HomeProxy 目前仅识别。

严格 DNS 防旁路

默认关闭，需要自动分流与唯一活动的受支持代理、单个默认 IPv4 LAN、端口 53 的单个 dnsmasq，以及 nft / conntrack。代理接入未确认时阻断 DNS；通过 UDP/TCP 应答检查后开放。切换期间通常在下一轮五秒检查中发起恢复，实际耗时取决于代理；不会因代理失败回落到国内组或直连。

接管默认 IPv4 LAN 的 UDP/TCP 53，阻断该 LAN 的 IPv6 DNS 与 TCP/UDP 853；其他 IPv6 数据继续保留。
国内生效 DNS 组保留为代理节点引导解析例外。这不是零外发承诺；其他进程显式查询这些例外地址也不在“国外组不直连”保证内。
浏览器／应用内置 DoH 经 HTTPS 443，需在设备侧关闭或统一管理。此版不解密 HTTPS，不阻断全部 443，也不声称覆盖任意 DoH、其他 VLAN、VPN 或绕过本路由器的流量。
PassWall 严格模式要求默认 DNS 接管与本机代理开启，没有启用的自定义 ACL。SSR Plus+ 暂不支持。
严格模式期间不接入可选 CNAME／设备增强入口，也不提供临时暂停。关闭并恢复仍可使用；恢复冲突保留记录，不覆盖手动设置。

关闭严格模式后按记录交还 DNS 和防火墙；OpenClash 原生 DNS 快照交接单独核对，避免保留旧代理端口。不要手删恢复记录、防火墙或操作锁。

怎样判断解析速度

先看概览当前路径的正常 DNS 应答耗时，再用上游测试比较同组地址。第一次查询和命中缓存的耗时不同，不要只看一次测试就换地址。

DNS 返回了地址或 NOERROR，不等于地址可靠、代理出口正确或网页可访问。怀疑污染时需对照可信路径；切换后坏缓存与旧连接问题见解析异常。

兼顾速度和稳定性的起始设置

国内先填 223.5.5.5、119.29.29.29；国外先填 1.1.1.1、8.8.8.8。每组两个即可，实际快慢以网络与节点测试为准。先应用普通策略并验收，再单独打开严格模式。

当前代理	起始查询策略	严格模式和 SOCKS5
NaiLink	两组先用单一 + 备用；国内 TCP 预检通过后再考虑并发	无可用本机 SOCKS 时关闭严格模式和国外并发，不猜端口
PassWall：Xray / sing-box DNS	国外单一 + 备用；国内 TCP 预检通过后可并发	保留引擎；国外并发不能仅填端口解决。严格需原生接管、本机代理、无自定义 ACL
PassWall：原生 TCP DNS	先用单一；国内 TCP 与国外 SOCKS DNS 检查通过后再并发	国外并发或严格模式必须有当前代理的无认证本机 SOCKS 端口
OpenClash / Nikki	可使用内核原生两组并发，保留节点和 Fake-IP	严格在基础测试后开启；并发和严格本身无需 SOCKS，仅国外测试使用

在哪里查看 SOCKS5 端口

OpenClash：「插件设置 → 流量控制」的 SOCKS5／混合端口。PassWall：「基本设置／SOCKS 配置」的本机监听，不同版本字段有所不同。NaiLink 的远端 SOCKS 节点不是本机监听；没有本地 SOCKS 服务时，不能凭空填端口开启国外并发或严格模式。透明代理端口也不能代替。

# 只读；缺失的字段会留空
uci -q get 'passwall.@global[0].node_socks_port'
uci -q get 'passwall.@global[0].tcp_node_socks_port'
uci -q get openclash.config.socks_port
uci -q get openclash.config.mixed_port
netstat -lnt

必须确认候选端口在路由器本机监听、支持无认证 SOCKS5 且属于当前代理，再填到 AdZero。不需要对 WAN 开放；1070 只是示例，DNS 53、网页管理、HTTP-only 和透明代理端口都不能代替。

未填本机 SOCKS 不妨碍 NaiLink 原生单一 DNS，但 AdZero 国外测试会跳过，国外自动备用不会用未验证的地址切换。保存了备用地址不代表它们都已验证。

测试、备用和失败提示

v0.21.1 修复部分固件不支持小数秒 sleep 导致的并发启动误判。入口使用原生毫秒等待，仍在三秒内核对健康、配置和进程；无需为此关闭并发或严格模式。开启失败且回滚成功时，页面显示本次操作已撤销、原配置已恢复，保护保持关闭；恢复尚未确认时会保留恢复提示。

启动请求失败、入口未就绪、健康记录不符和监听失败会分别说明。监听失败时先核对端口归属；不要强行终止未知服务。广告规则已载入而入口未就绪，仍不能视为本次开启成功。

组内并发的 TCP／SOCKS DNS 请求会短时复用已建立的连接，减少重复握手；连接按组、目标地址和本机 SOCKS 端口隔离，空闲 10 秒或达到寿命限制后关闭。不缓存 DNS 答案、不修改 TTL、不改变国内／国外出口。复用连接失效时仅在原查询时限内尝试一次新连接；国外组不会因此回退直连。

v0.21.3 起，本机并发在应用前核对新配置的实际 TCP／SOCKS DNS 路径；启动、复用入口和代理重载后还要验证 DNS 应答。端口监听、健康文件存在都不能单独证明可用。国内 TCP 失败时不会改为 UDP，国外失败时不会回落直连；应用失败按原事务恢复，恢复未确认时保留记录。

展开「测试已应用的 DNS」：国内本机并发使用 TCP，其余国内路径使用 UDP；国外通过明确配置的本机 SOCKS5 TCP，留空时跳过。代理、PassWall 引擎或地址改变后需重测。测试仅说明上游可达，不证明原生分流、抗污染或网页可用。自动备用仅用于单一模式，并发组无需轮换。

当前代理引擎不支持、缺少 SOCKS5 或 SOCKS 路径不可用时，预检会拒绝应用并保留原配置。具体原因直接显示在界面；不把“上一项操作失败”当成保护已关闭。已有待应用选择可以修改后重新保存，不要反复重启或手删恢复记录。

代理切换后如显示“代理接入待同步”，当前运行代理与上次接入尚未一致。PassWall 的 Xray / Sing-box DNS 使用国外单一＋备用；国内并发还须通过新路径 TCP 预检。NaiLink 无本机 SOCKS 时先保留两组单一。修改后保存到待应用，再统一应用；两次预检都核对新计划，真正的配置冲突仍会拒绝。旧接入记录和旧设备检测不能证明新接入已完成。