CharonVIII

你们公司太骚了，不允许动防火墙策略，但是要用到防火墙的 ACL 功能。。

话说你们现在禁网是怎么做的？是电脑上安装软件实现还是依靠防火墙 ACL 实现？
你们的路由器支持 ACL 吗？

你用的是 redir-host 还是 fake-ip ？
据我所知，如果用的 redir-host ，在匹配到域名规则走代理之前也会进行一次 DNS 解析，这是必须的。

而 fake-ip 规则虽然也会先进行一次 DNS 查询，只不过 clash 内核会返回一个保留地址，然后如果匹配到域名规则要走代理的话就不会进行真正的本地 DNS 查询。

当然，fake-ip 模式也有其他的问题，比如 P2P 受限制、VPN 业务可能受限制、没办法在 Dnsmasq 下用黑白名单等等

@fredcc 我用最新的 alpha-gb3db113 版本测试下来依然是无返回结果，如图：

https://img.chkaja.com/4353234effd209ab.png

@jinqzzz 我测试都是关掉 openclash 再测试的。
刚才测试了下关闭 openclash 的情况下在 openwrt 上用命令 dig +tcp @223.5.5.5 -p 53 www.ai2moe.org ，返回结果正常，说明 openwrt 上是可以进行 TCP 的 UDP 查询的，得出结论：223.5.5.5 的 TCP 查询是没问题的。

我又把 PC 的 DNS 手动设置为 223.5.5.5 后测试访问 www.ai2moe.org ，结果竟然可以正常访问。而打开 openclash （ openclash 只设置一个 223.5.5.5 的 Nameserver ）就无法正常访问 www.ai2moe.org 。
所以就是说 223.5.5.5 没问题，我电脑自己不管是用运营商 DNS 还是 223.5.5.5 访问网站都没问题，问题就出在过了 openclash 内核以后就寄了。。分析下来这可能更像是 openclash 内核的问题，我去反馈下看看。

谢谢各位大佬们的思路！

@Tianao 感谢分析，我这边还没测试过直接在 windows 上设置 DNS 为 223.5.5.5 能否正常访问网站（估计不行），但是我测试过由跑在 openwrt 上的 openclash 来代为用 223.5.5.5 解析 DNS 的话是解析结果错误的。

看你的原因分析感觉非常有道理，确实如果是这个原因的话就说得通了。那么最好的办法要么在阿里、腾讯 DNS 之外再加个 114DNS 或者运营商 DNS ，要么就用阿里和腾讯的加密 DNS 。

我现在的解决方案就是 openclash 用阿里和腾讯的 DoT 来规避 UDP DNS 的 payload size limit 的问题（当然用 DoH 也行），目前情绪稳定。

@Tianao 大佬太厉害了，分析非常详细，感觉给我开辟了新大陆！

我刚才测试了下 telnet 223.5.5.5 53 ，显示空白页面，应该代表对 223.5.5.5 的 53 端口的 TCP 连接是通畅的。
然而我用电脑又试了下 nslookup www.ai2moe.org 223.5.5.5 ，结果显示：
————————————————————————
nslookup www.ai2moe.org 223.5.5.5
服务器: public1.alidns.com
Address: 223.5.5.5

DNS request timed out.
timeout was 2 seconds.
*** 请求 public1.alidns.com 超时
————————————————————————
还是感觉原因不明啊。

其实这种事情也真是我上了这么多年网第一次遇到，太异常了。照理说 A 记录太多的网站肯定不止这一家...

@buytraffic 品胜电池质量怎么样？网上有人说电池鼓包，还有人说电池开始还行，但是会迅速老化，续航能力尿崩。。我现在还剩下 86%的电池容量，不知道跌破 80%以后会怎么样

？？苹果官方要换电池还必须要你检测出来电池健康度<80%的吗？我还以为因为是付费的，所以想换就能换

看你这描述我要死了，画张图吧