2.1 现象#

某天 Steam / Dota2 游戏协调服务器异常，重启路由器后恢复，但随后排查发现 DNS 链路并不干净：

1
C:\Windows\system32>nslookup steamchina.com
2
服务器:  public1.alidns.com
3
Address:  2400:3200::1

解析服务器是 IPv6 地址的阿里公共 DNS（2400:3200::1），不是自建 AGH。也就是说，电脑发起的 DNS 查询根本没有进内网 DNS 服务器，直接被 IPv6 DNS 旁路了。

2.2 根因：RA 报文携带的 RDNSS#

IPv6 地址与 IPv6 DNS 的下发是两个独立通道，都藏在路由器的 RA（Router Advertisement，路由器通告）报文里：

此外 DHCPv6 还有两种模式：

• 无状态（SLAAC）：只广播前缀，终端自己生成 IPv6 地址，不额外下发参数。
• 无状态 + 有状态：除了 RA 前缀，还会启用 DHCPv6，可能额外下发 DNS 服务器。

如果主路由开了「有状态」或者 RA 里带了 RDNSS，Windows 网卡就会自动拿到一整套 IPv6 DNS（例如阿里 2400:3200::1、240c::6666）。

2.3 为什么 Windows 会绕过首选 DNS#

Windows DNS 客户端会并行查询网卡上的所有 DNS 服务器。只要网卡存在 IPv6 DNS，即使 IPv4 首选 DNS 填的是 AGH，也会出现查询直接打到 IPv6 DNS 的情况，表现为 nslookup 的服务器变成了公共 IPv6 DNS。这也是「明明把 DHCP 首选 DNS 改成了 AGH，却总有个别解析不走 AGH」的经典来源。

2.4 一个关键认知：关 DNS 不等于关 IPv6#

很多人以为「关掉 IPv6 DNS 就是禁用 IPv6」，这是误解：

• 远程访问：直接用 IPv6 地址访问设备，不需要域名 AAAA 解析，与 DNS 完全无关。
• Lucky DDNS：Lucky 读取本机网卡上的公网 IPv6 地址，通过 HTTPS 调用域名服务商 API 提交 AAAA 记录更新，不依赖内网 DNS 查询，因此关掉 IPv6 DNS 对 DDNS 毫无影响。

5.1 爱快主路由：LAN 口配置#

进入「网络设置 → IPv6 设置 → 选中 LAN 口」，按如下修改：

• DHCPv6：开启，模式选 无状态（不要选「无状态 + 有状态」，有状态会通过 DHCPv6 下发 DNS）。
• IPv6 DNS：取消勾选（核心开关，取消后 RA 不再携带 RDNSS）。
• RA 通告绑定：不勾选，保证内网所有设备正常获取 IPv6。
• 保存并应用。

避坑：爱快部分固件即使你不手动填 IPv6 DNS，RA 的 RDNSS 也会自动填入公共 IPv6 DNS（如 2400:3200::1、240c::6666），所以必须找到「IPv6 DNS」开关并显式关闭，而不是只看有没有手动填。

5.2 ImmortalWrt 旁路由：只拿 IPv6，不外发#

1
uci set dhcp.lan.dhcpv4='disabled'
2
uci set dhcp.lan.dhcpv6='disabled'
3
uci set dhcp.lan.ra='disabled'
4
uci set dhcp.lan.ra_dns='0'
5
uci set dhcp.lan.dns_service='0'
6
uci set dhcp.lan.ignore='1'
7
uci commit dhcp
8
/etc/init.d/dnsmasq restart

1
option noresolv '1'
2
list server '127.0.0.1#7874'

5.3 Windows 客户端：清空 IPv6 DNS#

• IPv4 属性：首选 DNS 填 AGH 内网地址，备用 DNS 留空。
• IPv6 属性：DNS 服务器全部清空，不要手动填任何 IPv6 DNS。

这样即使 RA 意外携带 RDNSS，本机也不会采用。属于最后一道防线，正常情况下应保持路由器层面已关闭 RDNSS。

5.4（可选强化）AdGuard Home 禁用 AAAA 记录#

上面三步解决了「系统不拿 IPv6 DNS」，但 AGH 本身仍然会正常返回域名的 AAAA 记录（IPv6 解析结果）。如果你想让 DNS 层也彻底和 IPv6 分手——即域名解析只走 IPv4，AGH 不再返回任何 AAAA 记录——可以在 AGH 里加一条全局规则：

进入「过滤器 → 自定义过滤规则」，添加：

1
||*^$dnstype=AAAA

作用与辨析：

• dnstype=AAAA 修饰符表示只拦截 AAAA 类型（IPv6 地址记录）的查询，A 记录解析完全不受影响，正常返回。
• 配合「系统无 IPv6 DNS」+「IPv4 首选 DNS = AGH」，整条链路变为：所有域名查询走 IPv4 的 AGH → AGH 只返回 A 记录 → IPv6 仅保留地址与直连访问，域名解析彻底与 IPv6 脱钩。
• 外网访问不受影响：外部访客的解析请求走公网 DNS（如阿里云），不经过你的 AGH，Lucky DDNS 更新到域名服务商的 AAAA 记录照常生效。

两个注意点：

• 该规则会拦截所有域名在内网解析时的 AAAA 记录。如果某台内网设备确实需要解析某个域名的 IPv6 地址，用白名单例外放行：

1
@@||example.com^$dnstype=AAAA

• 依赖纯 IPv6 站点的场景（只能通过 AAAA 访问的网站）会无法解析，需要自行权衡是否启用。

验证：

1
C:\Windows\system32>nslookup -type=AAAA steamchina.com

预期：不再返回 AAAA 记录（空应答或只返回 A 记录）；普通解析依旧指向 AGH。

6.1 旁路由 IPv6 地址#

1
ip -6 addr

预期输出（前缀已脱敏）：

1
3: br-lan: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 state UP qlen 1000
2
    inet6 2408:xxxx:xxxx:xxxx:1234:5678:9abc:def0/64 scope global dynamic noprefixroute

关键点：地址是 2408: 开头的公网 IPv6，且带 noprefixroute，代表旁路由只持有地址、不分发前缀，不会抢主路由的 RA 通告。

6.2 Windows 网卡信息#

1
C:\Windows\system32>ipconfig /all

预期结果：

• 网卡存在公网 IPv6 地址。
• IPv6 DNS 服务器一栏为空。
• IPv4 DNS 只有 AGH 内网地址。

6.3 域名解析路径#

1
C:\Windows\system32>nslookup steamchina.com
2
服务器:  adguardhome
3
Address:  192.168.3.3

解析服务器变成了 AGH（192.168.3.3），IPv6 DNS 旁路问题彻底消失。

6.4 路由路径#

1
C:\Windows\system32>tracert steamchina.com
2

3
  1    <1 毫秒   <1 毫秒   <1 毫秒 192.168.3.2   ← 旁路由
4
  2    <1 毫秒   <1 毫秒   <1 毫秒 192.168.3.1   ← 主路由
5
  3     3 ms     2 ms     2 ms  x.x.x.x          ← 运营商出口
6
  ...
7
 18    68 ms    68 ms    69 ms  218.92.141.107   ← 目标服务器

中间若干跳显示 请求超时 属于正常现象：运营商骨干设备普遍关闭 ICMP 超时应答，只要最终能到达目标 IP，链路就是通的。