DNS 增强

添加或修改 DNS

请到「运行概览 → DNS 与分流 → DNS 设置」编辑，保存到待应用后统一应用。查看各代理推荐组合和 SOCKS5 端口位置。

上游连通性测试

已移到同一 DNS 编辑器的「测试已应用的 DNS」。国内本机并发使用 TCP，其余国内路径使用 UDP；国外本机 SOCKS5 TCP，未填时跳过。切换代理或 DNS 引擎后需重测；修改未应用时不能测试旧配置。测试不验证原生分流、污染或网页访问。查看并发前提。

同组备用切换

开关已移到同一 DNS 编辑器，随 DNS 草稿统一应用。仅单一模式生效，连续三轮失败且有健康备用、满足至少五分钟冷却后尝试切换；并发组不轮换，国内国外不混组。旧设置沿用，新入口的明确开关优先。

增强 DNS 入口适用范围

严格 DNS 模式使用独立保护路径，期间不接入此可选增强入口；普通广告过滤继续工作。

支持确认可用的系统默认 dnsmasq.servers、PassWall、NaiLink 原生监听及 OpenClash 常规 DNS 的默认 IPv4 LAN 路径。开启增强入口与别名过滤并保存后，按当前唯一活动代理自动确认接入。无需另填公共 DNS 或 SOCKS 端口；入口默认关闭。

NaiLink / dae：先通过原生 API 校验，再添加 LAN 地址的 TCP/UDP 5355 监听和只针对路由器 DNS 的 must_direct 路由，保留原生分流与缓存。增强进程退出时由 AdZero 自有表回到同一个原生监听。已有自定义 bind、端口占用或不支持该配置时保留原设置，不强行接入。sing-box、mihomo 不使用这条 dae 专用增强入口，基础域名过滤与内核识别仍可工作；不要把未接入增强入口理解为未开启基础过滤。

OpenClash：保留 Fake-IP、节点和缓存，从最终运行配置读取本机 DNS 与控制接口，沿用现有认证。Fake-IP 应答同时通过原生真实解析 API 核对别名，干净请求仍返回原生 Fake-IP。首次解析会等待真实上游；接口失败或超过 1.5 秒时保留原生应答，并显示近期核对未完成提示。带客户端子网或 DNS 签名的请求不使用另一解析视图作为拦截依据。

严格模式、OpenClash TUN、Nikki、自定义 ACL、IPv6 接管、多代理和不稳定切换期间不叠加入口。稳定代理变化由两次五秒采样发现，随后恢复与适配；实际重载另需时间，不能保证所有已有应用缓存立即更新。

增强入口沿用原生上游与缓存，不新增共享缓存；仅使用 AdZero 自己的接管表。退出或服务不可用时尝试移除接管，回到原生路径。未知网络结构不会猜测接管。

同一客户端的 TCP DNS 会复用自己的原生连接，减少重复建连；上游关闭时有限重连，不在设备间共享回答。域名查询、手动校验保持增强入口运行，修改网络配置时仍暂时退出接管。

若显示“增强入口退出待确认”，表示接管或旧 DNS 会话清理尚未完成。恢复记录会保留，请查看日志定位原因，不要手动删除记录或全局清空连接。

CNAME 别名过滤

在支持的增强入口中，检查实际 DNS 应答里从查询名称可达的 CNAME 别名链；别名命中当前规则时阻断。它可补充部分追踪域名覆盖，不能覆盖绕过入口或同域广告。

v0.19.2 也检查同类型 HTTPS/SVCB 的 AliasMode（优先级 0），并让设备附加拦截检查可达的别名目标。普通 ServiceMode、无关记录、附加区与不匹配的查询类型不用于别名拦截；放行例外仍优先。这些检查仅在上方受支持且已启用的增强入口生效。

设备附加规则

按固定的局域网私有 IPv4 设置附加放行和拦截。最多三十二台设备，每台各三十二条；建议先在 DHCP 设静态租约，避免地址变化后规则对应错设备。

设备放行只豁免该设备的附加/CNAME 过滤，不能覆盖全局名单、订阅或其他插件的原生拦截，也不是给设备关闭全部广告过滤。附加命中单独统计，避免与概览被动统计重复累加。