安全 DNS 为什么会把分流搅乱，三个浏览器各在哪关

打架的原因，一段说完

本机客户端的分流规则多数按域名写：这个域名走线路，那个域名直连。它得先看到域名。两种方式能看到：一是浏览器把请求交到它的端口时，请求里带着主机名，系统代理和切换器都是这样；二是客户端接管了整机的域名解析，浏览器问「这个域名是什么地址」时由它来答。

浏览器开了安全 DNS 之后，解析这一步改成浏览器自己通过 HTTPS 去问一台远端的 DoH 服务器，系统和客户端都看不到。结果有两种：

• 靠第二种方式看域名的客户端只看到一串数字地址，按域名写的规则全部落空。国内站被判成走线路、该走线路的站被判成直连，都会发生。
• DoH 服务器多在境外，这一问要是没经过线路，就会卡到超时。所有网页都要先等它，表现为每个页面打开都慢半拍，或者干脆打不开。

用系统代理或切换器接端口的，第一种影响小一些，第二种照样有。靠客户端分流的人，三个浏览器的开关都关掉省事。

Chrome 在哪关

右上角三个点 → 设置 → 左栏「隐私和安全」→ 「安全」→ 往下拉到「使用安全 DNS」，把开关关掉。地址栏输 chrome://settings/security 直达。开关下面的「使用当前的服务提供商」和「使用：自定义」两项都是开着时才用得到，关的是总开关。

Edge 在哪关

右上角三个点 → 设置 → 左栏「隐私、搜索和服务」→ 往下拉到「安全性」一节 → 名字以「使用安全 DNS」开头的那一项，关掉。地址栏输 edge://settings/privacy 能到这一页，再往下翻。不同版本这一项的措辞有出入（有的版本写「使用安全的 DNS」），找不到就在设置页顶部的搜索框输「DNS」。

Firefox 在哪关

右上角三条横线 → 设置 → 左栏「隐私与安全」→ 拉到「基于 HTTPS 的 DNS」→ 选「关闭」。它分四档：默认保护、增强保护、最大保护、关闭。前三档都会在某些情况下让 Firefox 自己解析，靠客户端分流的选最后一档。地址栏输 about:preferences#privacy 直达。

Firefox 另有一条不用关的路：手动代理里选 SOCKS v5 并勾上「使用 SOCKS v5 时代理 DNS 查询」，解析本来就交给客户端。Firefox 那一篇讲过三种选法。

系统这一层也可能有一个

Windows 11 的网卡设置里也能给 DNS 加密：设置 → 网络和 Internet → 正在用的网络，找到「DNS 服务器分配」旁边的编辑按钮，切到手动之后，每个地址下面都有一项「DNS over HTTPS」。开了它，效果和浏览器开安全 DNS 类似，只是范围是整台机器。一般没人主动开，排查时看一眼不吃亏；它和浏览器里的开关互不影响，要关各关各的。macOS 没有对应的系统级开关，但配置描述文件能装一个，装过描述文件的人到系统设置里找「描述文件」（macOS 13、14 在「隐私与安全性」下，15 起在「通用 → 设备管理」）。

关了之后怎么验证

客户端的连接记录里能看出来：条目里出现的是域名，说明它看到了；全是数字地址，说明还有谁在替浏览器解析。再分别用 Chrome、Edge、Firefox 打开同一个国内站和同一个走线路的站，三个浏览器表现一致了，才算关干净。

什么时候可以不关

• 浏览器全部请求交给端口、分流交给客户端，接法是系统代理或切换器：请求里带域名，客户端看得到，只剩 DoH 那一问可能慢。
• 不分流，客户端开全局：没有规则需要域名。
• Firefox 用 SOCKS v5 加「代理 DNS 查询」。

分流在浏览器这一侧怎么做、三条路各付什么代价，只让浏览器走那一篇比过；用 PAC 按域名分的，同样受这个开关影响，见 PAC 那一篇。

34 家里谁的订阅这样接省事

按域名分流这件事在通用客户端里做，自家客户端有没有规则模式各家没见到写法。所以挑订阅能导进通用客户端的家。书签栏这 34 家里：

• 跨界云：面板里就能复制订阅；Clash 系、v2rayN、Shadowrocket 三种客户端官网都点了名，协议 VLESS；测速是机场那边测的那份。
• 微风：面板里能复制，VLESS 协议；它没有码，标价就是付的数。
• 唯兔云：2020 年开的，协议 VLESS，线路官网写了两种，IPLC 专线和三网中转各出现一次；订阅给法、自家客户端没见到写法，登录面板看；码 rabbit 新注册的账号 9 折。
• U1S1：协议 Shadowsocks，官网列了四个系统，台数不限；订阅给法没见到写法，登录后到面板里找。
• 一翻云：2026 年 4 月新开，订阅能导进通用客户端是机场方确认的，链接得找客服发；协议 VLESS，线路写的是 IEPL，测速是测过一轮的那种。贴码 1FLYYUN 新开的账号 9 折。

订阅导进客户端、规则按域名写好，再把三个浏览器的安全 DNS 关掉，分流才按你写的走。第一次买先按月，一翻云是书签栏第 1 个，第一笔最少的就是月付那一档。