功能定位：为什么要在快连里手动指定DNS
kuailian（Kuailian）默认启用内置DoH（DNS over HTTPS）服务器，目的是屏蔽广告与跟踪，同时降低GFW对53端口的干扰。但在三种典型场景下，用户需要手动改写：
- 企业内网需解析私有域名（如*.corp.example），内置DNS无法返回RFC 1918地址；
- 游戏玩家想锁定东南亚游戏服专属解析通道，减少CDN漂移导致的跳ping；
- 合规审计要求所有日志留存在公司指定递归服务器，便于统一追踪。
手动指定DNS并非“全局替换”，而是让快连在建立隧道后，把指定地址作为上游；当上游不可达时，客户端会回退到内置DoH，保证不断网。理解这层“外层—回退”关系，是后续排错的前提。
变更脉络：v6.4.2 前后的菜单差异
截至当前的最新版本（桌面6.4.x），快连把DNS设置拆成两级：连接前（拨号阶段域名解析）与连接后（隧道内上游）。2025年及更早客户端只有“连接后”选项，导致部分用户在拨号阶段就被污染。新版把两段都暴露出来，才出现“手动指定DNS”这一说法。
操作路径：Windows端的最短入口
步骤1：打开隐藏的高级面板
主界面右上角「≡」→ 设置 → 左侧栏最底部「实验室功能」→ 开启「自定义DNS」。若未看到该开关，请确认客户端已更新到6.4.2及以上，或退出账号重新登录强制拉取配置。
步骤2：填写上游DNS
实验室页面会出现「连接后DNS」输入框，支持以下格式：
- 单IP：1.1.1.1
- DoH URL：https://dns.cloudflare.com/dns-query
- DoT域名：tls://dns.google
多个上游用英文逗号分隔，客户端会并发探测，取RTT最低者生效。
步骤3：指定连接前DNS（可选）
同页下方「拨号域名解析」默认空，表示使用系统DNS。若公司拨号域名在内网劫持，可填入内网递归IP，例如10.0.0.53；此时要确保该IP在privacy tool路由表之外，否则会出现“鸡生蛋”死锁。
步骤4：立即生效验证
点击「保存」后无需重启，断开并重新连接节点即可。若只是切换节点，DNS配置会保持。
平台差异速览
| 平台 | 入口深度 | 是否支持DoH |
|---|---|---|
| Windows | 设置→实验室→自定义DNS | ✅ |
| macOS | 偏好设置→高级→DNS | ✅ |
| Android | 我的→右上角齿轮→网络加速→自定义DNS | ✅ |
| iOS | 设置→Kuailian→DNS over HTTPS | ✅（仅系统级DoH） |
验证是否生效：三步走
1. 观测客户端日志
连接成功后，点击主界面底部「诊断」→「实时日志」，过滤关键词“dns”。若出现
upstream=1.1.1.1 rtt=28ms
即表示已采纳你填写的上游。
2. 外部泄漏测试
浏览器访问 https://dns.leaktest.com，点击「Standard test」。结果页面只应出现你指定的IP，若混有本地运营商DNS，说明Split-Tunnel规则把浏览器绕过了隧道，需在「应用路由」里把浏览器设为强制代理。
3. 本地抓包复核（进阶）
Win11自带PacketMonitor可零依赖抓包：
netsh trace start capture=yes provider=Microsoft-Windows-DNS-Client level=5 netsh trace stop
用Wireshark打开ETL，过滤“dns and ip.addr==1.1.1.1”，若能查到A记录查询，则证明Windows内核层确实把查询发给了指定服务器。
常见分支与回退方案
提示：以下回退逻辑由客户端硬编码，用户无需手动干预，但理解后可快速定位故障。
- 上游443端口被中间设备reset → 30s后回退内置DoH；
- 手动填写内网IP但IP不在路由表 → 客户端弹Toast“DNS unreachable”，自动改用系统DNS；
- DoH证书校验失败 → 视为中间人攻击，立即断开隧道并弹警告，用户需选择“继续”或“换节点”。
例外与取舍：什么时候不该手动改
1. 对抗DNS污染不是刚需：若你只用快连看国内流媒体，内置DoH已足够，手动改到海外DNS反而增加RTT。
2. 公司强制透明代理：部分企业网关会劫持所有53/853/443出站，并丢弃非白名单DoH。此时手动指定只会导致解析超时，建议保持默认让客户端自动回退。
3. 合规日志留存：若你填的是个人订阅DoH服务商，对方通常只保留24h日志，无法满足审计要求；应改用公司自架递归，并在Input框填入DoH URL，保证日志落在本地磁盘。
故障排查：现象→原因→验证→处置
现象1：填写8.8.8.8后网页打不开
可能原因：Split-App隧道把浏览器设成“直连”，而8.8.8.8在路由表之外被墙。
验证：关闭快连，cmd执行
nslookup google.com 8.8.8.8
若返回超时，即确认IP被墙。
处置：把浏览器改回“强制代理”，或改用DoH URL（走443端口）。
现象2：内网域名解析随机失败
原因：你填的10.0.0.53只在总部有效，连到阿根廷节点后RTT>400ms，被客户端判定为劣质。
验证：日志出现“upstream=10.0.0.53 rtt=450ms dropped”。
处置：在「拨号域名解析」保留10.0.0.53，但把「连接后DNS」留空，让海外流量走内置DoH，内网流量走本地。
适用/不适用场景清单
| 场景 | 建议 | 理由 |
|---|---|---|
| 海外游戏加速 | 手动指定游戏服DNS | 降低CDN漂移，ping更稳定 |
| 公司内网远程办公 | 拨号阶段用内网DNS，连接后留空 | 兼顾解析成功率与海外速度 |
| 公共Wi-Fi防劫持 | 无需修改，保持默认DoH | 默认已加密，手动改无收益 |
| 合规日志留存 | 填写公司DoH URL | 日志落在本地，满足审计 |
最佳实践速查表
- 先确认需求：抗污染/内网解析/日志留存，三者优先级不同；
- 填写格式优先用DoH URL，避免53端口被抢答；
- 多上游用逗号，最多3条，RTT探测后自动选优；
- 任何改动后，务必执行泄漏测试，确保无本地DNS裸奔；
- 遇到超时，先看日志是否已回退，再决定是否换节点，而非盲目改参数。
FAQ（结构化数据）
手动指定DNS会降低速度吗？
若指定节点与DNS地理距离更远，可能增加10–30ms解析延迟；客户端会选RTT最低上游，经验性观察整体影响可忽略。
公司内网域名仍解析失败怎么办？
检查Split-Tunnel是否把内网段排除在隧道外；若排除，则本地DNS查询不走privacy tool，需确保内网递归可达，或把内网段加入强制代理列表。
填了DoH URL却提示证书错误？
中间设备可能做TLS拆包；临时可在「实验室」关闭「DoH证书校验」用于排查，长期建议换用IP+DoT或更换网络。
总结与下一步行动
快连Windows端手动指定DNS的核心价值，是在“加密隧道”与“特定解析需求”之间取得平衡：既不让本地劫持裸奔，也不盲目依赖默认上游。读完本文，你应已掌握：
- 两级DNS的生效顺序与回退逻辑；
- 最短设置路径及平台差异；
- 三套验证办法确保真正落地；
- 常见故障的定向排查步骤。
下一步，建议你立即在测试节点上填写一条DoH URL，执行泄漏测试，确认无异常后再推广到生产节点；若涉及企业合规，把操作截图与日志留存流程写进内部Wiki，减少后续审计沟通成本。
警告：本文基于客户端截至当前的最新版本撰写，菜单项可能随小版本迭代而微调；若发现路径不一致，请先检查更新日志，再反馈给支持中心。
