開啟 3 天免費試用
註冊即可免費體驗全部高級功能。
*只限新用戶；每位用戶只可獲得一次試用。
Mihomo Fake-IP 與 Redir-Host：DNS 兼容診斷及還原
Ryan Foster
2026年10月11日· 7 分鐘讀完
Mihomo Fake-IP 與 Redir-Host 決定的是應用程式收到哪一類位址，並非哪個模式令整個互聯網更安全。Fake-IP 回傳與域名建立內部對應的合成位址，Redir-Host 則回傳解析所得的位址。診斷兼容問題時，應沿同一域名逐一追查解析器、應用程式、捕獲路徑及實際出站。［1］［2］
關鍵要點
- 合成 DNS 答案是對應標記，不是網站的公網位址。
- 瀏覽器、應用程式及系統解析器未必使用同一路徑。
- 每次只調整一個模式或例外，再建立新連線檢查。
- 保留區域網絡服務及獨立管理通道。
何時應比較 Mihomo Fake-IP 與 Redir-Host？
本文適用於你有權管理的 Mihomo 實例，DNS 欄位已按穩定版 v1.19.32 及官方設定文件核對。這是根據文件設計的診斷程序，不是作者完整端到端實測，也不保證所有客戶端封裝行為相同。先記錄實際核心及封裝版本；封裝可能重新產生 YAML，令手動修改失效。［1］［3］
利用自建服務的責任規劃確認設定及還原的負責人。若問題其實是哪些應用程式進入代理，先比較TUN 與系統代理的涵蓋範圍。未到達 Mihomo 的連線，不會因更改 DNS 模式而自動被捕獲。
準備私人備份、原有解析器設定及獨立管理連線。共用電腦應先協調維護時段，不更改他人的代理。正在使用日常代理或 VPN 客戶端時保留其原有狀態，改用另一部獲授權測試裝置，避免多層捕獲令結果難以判讀。
步驟 1：固定域名及解析路徑
選擇一個你獲准請求的公共域名，以及一項由你控制的區域網絡服務。記錄主機名稱、記錄類型、客戶端、時間、Mihomo 設定檔、DNS 監聽及確切故障。逾時、憑證錯誤與應用程式拒絕位址是不同觀察，不應一概稱為 DNS 洩漏。
以下直接查詢本機 1053 連接埠的 DNS。把示例域名換成指定名稱，連接埠換成實際監聽值；只在該監聽所在主機執行，另一部裝置的 loopback 代表它自己。
dig @127.0.0.1 -p 1053 example.com A
dig @127.0.0.1 -p 1053 example.com AAAA
私下保留答案類型及 TTL，然後與系統解析器和故障應用程式比較，維持域名及網絡不變。不要把訂閱、完整設定或瀏覽紀錄上載至公開檢查網站。瀏覽器的加密 DNS 可能不經系統解析器，因此 dig 答案不能證明瀏覽器的路徑。
不要將 127.0.0.1:1053 填入作業系統的一般 DNS 位址欄，很多欄位不接受自訂連接埠。使用封裝本身支援的整合方法，或只保留直接診斷查詢。為了方便查詢而監聽所有介面，會增加額外暴露面。［1］
步驟 2：核對有效模式及位址對應
查看核心真正載入的設定，並計入封裝覆寫。以下只是既有可用 DNS 設定的部分欄位，並非完整互聯網代理設定；保留獲授權上游解析器、路由、IPv6 政策及原有例外。
dns:
enable: true
listen: 127.0.0.1:1053
enhanced-mode: fake-ip
fake-ip-range: 198.18.0.1/16
fake-ip-filter-mode: blacklist
fake-ip-filter:
- 'printer.home.arpa'
把 printer.home.arpa 換成你管理的確切本機名稱，或刪除這個示例例外。blacklist 模式下，符合項目不會取得 Fake-IP，但這不會建立 DNS 記錄，也不會選出能回答本地域名的解析器。whitelist 或 rule 模式的意思不同，不可直接套用此列表。［1］
分辨應用程式取得的合成位址，與出站最終解析或選取的目標。對應必須能由接收連線的 Mihomo 實例識別；將答案轉交另一主機、更換設定檔後沿用快取，或令連線繞過捕獲，都可能在公共域名正常時失敗。Redir-Host 改變答案的位址行為，並不取消 DNS 政策或路由判斷。［2］
198.18.0.0/15 位址不能證明公網可達，也不能獨自證明惡意劫持。伺服器的 SSRF 防護仍要拒絕不合格的特殊用途及私人目標，不可因桌面代理使用合成 DNS 而整段放行。抓取 URL 的伺服器須使用自己的可信解析及目標驗證；本文沒有授予保安例外。
步驟 3：分辨 Mihomo DNS 兼容性故障
以不同應用程式請求同一資源，並建立新連線；不要比較舊瀏覽器連線與剛發出的指令查詢。加密 DNS、上游、捕獲及 DNS 模式若一起改動，便無法確認是哪項因素造成差別。
| 觀察 | 應比較的項目 | 不能據此證明 |
|---|---|---|
| 直接查詢取得合成 A 記錄 | 有效模式與過濾匹配 | 瀏覽器也使用此監聽 |
| 瀏覽器正常，原生程式失敗 | 程式解析器、代理支援及快取 | 所有原生程式均需 Redir-Host |
| 打印機名稱失效 | 本地 DNS 權威與準確例外 | 私人名稱均應交給公網 DNS |
| A 正常但 AAAA 不同 | DNS IPv6 設定與實際路由 | IPv6 流量已受保護 |
| 兩種模式都逾時 | 上游存取與引導解析 | 換模式能修好上游 |
Ubuntu 的解析歸屬與分域 DNS 可按系統解析診斷方法處理。討論私隱時，要分開答案格式與DNS 查詢離開預期解析路徑。合成答案或網頁載入，均不足以證明全部查詢去了哪裏。
區域網絡例外還須確認權威本地解析器具有該名稱記錄，回傳位址可沿預期本地路由到達。除非管理及裝置探索本身就是獲授權目標，否則應放在實驗之外。mDNS 可能使用不同於一般單播 DNS 的探索機制，過濾項不能替代它。
步驟 4：逐項調整並建立新請求
私下複製有效設定，確認封裝如何持久保存修改。證據只指向一個本地名稱時，先測試準確例外及正確本地解析器；程式廣泛拒絕合成位址時，才比較 enhanced-mode: redir-host，其餘上游、捕獲規則及網絡維持不變。［1］
載入前，使用所選核心或封裝有文件支援的檢查功能。語法獲接受不代表路由、憑證或程式兼容已驗證；沒有明確舊設定還原方法時，不應在唯一管理路徑繼續試改。
Fake-IP 故障診斷只應透過程式文件支援的方法刷新測試連線及相關快取。持久 Fake-IP 對應與一般 DNS 快取屬不同狀態，不要刪除共用快取資料庫、重設全部程式或重啟無關網絡服務。
若變更改善原任務，保留域名、查詢路徑、答案類別、程式結果及未更改的控制條件；無效則先還原，再試其他假設。捕獲及路由另參考Linux 透明捕獲機制比較。
步驟 5：讀者應如何驗證？
下表是供你實際檢查的預期現象，不是作者已取得的結果。記錄每項觀察及未測分支；DNS 答案、代理流量紀錄與目標回應互相補充，不能互相取代。
| 檢查方法 | 預期現象 | 失敗處理 |
|---|---|---|
| 查詢指定監聽的 A 及 AAAA | 答案符合有效政策 | 核對載入設定及解析錯誤 |
| 用新連線重做原任務 | 資源沿已記錄路徑可用 | 撤銷變更並比較程式 DNS |
| 請求自有本地服務 | 服務身份及管理仍可達 | 還原本地 DNS 及窄例外 |
| 只查看測試流量紀錄 | 域名與出站符合規則 | 核對捕獲及對應歸屬 |
| 透過設定所有者重新開啟 | 預期設定仍被保存 | 先修正保存方式再保留變更 |
若實驗同時更換互聯網出口，核對該請求的可見 IP，另測 DNS、IPv6 及失敗行為。IP 網頁只描述本身請求，不能代表所有程式；不應據此宣稱匿名、提速或全面涵蓋。
步驟 6：還原設定及本次快取狀態
透過原設定所有者載入備份，還原本次刻意改動的解析器或程式 DNS 偏好，再關閉測試連線。若沒有決定保留，移除為實驗加入的例外。
程式支援限定範圍清理時，只清除測試記錄；若無法選擇，等待文件列明的到期時間，或使用隔離測試設定檔，不刪除共用狀態。還原後確認原有答案類別、本地服務及管理連線。
移除臨時詳細紀錄，妥善保管保留的診斷資料；含代理憑證的備份同樣敏感。未能確認還原便停止後續變更，使用獨立管理通道，不以關閉防火牆或另一代理補救。
總結
- 先確認解析器及捕獲路徑，再比較位址模式。
- 測試模式或準確例外時保持上游政策一致。
- 以新連線檢查原程式及本地服務。
- 還原設定與測試快取後，才進行下一項實驗。
常見問題
Fake-IP 答案是否表示 DNS 被劫持？
程式使用你設定的 Mihomo DNS 時，合成答案可能完全符合預期。先核對解析器所有者與有效政策，再判斷是否有惡意干預。
Redir-Host 是否一定更兼容？
程式不接受合成目標時，Redir-Host 或有幫助，但仍取決於解析、捕獲及路由。應比較具體故障任務，不能選定通用贏家。
fake-ip-filter 能處理所有本地名稱嗎？
過濾只改變合成位址處理，不會提供權威本地記錄。保留正確區域網絡解析器及路由，再驗證個別服務身份。
為何 dig 與瀏覽器結果不同？
瀏覽器可能使用自己的加密解析器或現有連線。應按其實際 DNS 設定建立新請求，不以直接查詢代替瀏覽器路徑證據。
應否關閉 IPv6 簡化測試？
不要把關閉 IPv6 當通用修復。記錄 A、AAAA 與可用 IPv6 路由；缺少 AAAA 答案不能證明每個程式如何連線。
伺服器可否讓 Fake-IP 網段通過 SSRF 過濾？
桌面代理對應不會令特殊用途位址變成安全伺服器目標。保留目標驗證與可信伺服器解析，不為整個網段設例外。
更換模式後是否要清除全部快取？
按文件方法刷新測試連線及相關快取即可。不能限定範圍時等待到期或隔離測試，不破壞共用程式狀態。
免責聲明：程序根據文末官方資料設計，沒有聲稱作者完成整體部署或兼容實測。只在獲授權並具備還原路徑的環境操作。
來源:
- Mihomo — DNS configuration — https://wiki.metacubex.one/config/dns/
- Mihomo — DNS resolution process — https://wiki.metacubex.one/config/dns/diagram/
- Mihomo — v1.19.32 configuration source — https://github.com/MetaCubeX/mihomo/blob/v1.19.32/config/config.go
Sources checked 2026 年 10 月 11 日。
延伸閱讀:
