小米VPN DNS问题：路由器与手机设置区别

凌晨两点十七分，我的手机屏幕在黑暗中亮起一道刺眼的白光。那是小米14 Pro的“网络诊断”界面，红色的感叹号像一只充血的眼睛，死死盯着我。就在十分钟前，我刚刚把价值三万多人民币的USDT从交易所提现到冷钱包，而此刻，我正蹲在路由器旁边，手里攥着一根牙签，试图捅进那个比米粒还小的Reset孔。

这不是我第一次在深夜和网络设备搏斗。但这次不一样——因为那笔USDT转账的确认链接，是我通过手机上的VPN访问一个海外DeFi协议时生成的。如果VPN的DNS解析出了岔子，我可能正在把资产发送到一个伪造的钓鱼地址。

场景一：客厅里的“数字迷宫”

我家的网络拓扑图，如果画出来，大概像一碗打翻的重庆小面。主路由器是小米AX9000，放在客厅电视柜上，旁边堆着PS5、Switch和一台常年休眠的NAS。书房里还有一台刷了OpenWrt的旧红米AC2100，充当无线中继。而我的主力工作机——一台装了Windows 11的台式机，网线直连主路由。

问题出在“科学上网”上。我订阅了一个小众机场，节点分布在洛杉矶和东京。为了在PC上稳定访问DEX聚合器，我用了Clash Verge，开启了TUN模式。但手机上的小米自带浏览器和部分金融App，不走Clash的代理规则，它们直接访问系统网络。

今晚的导火索是：我在手机上打开Binance App准备确认提现，结果提示“网络异常”。我切到Wi-Fi设置，发现IP地址是192.168.31.x，网关正常，但DNS显示的是192.168.31.1——这是小米路由器的默认地址。按理说，路由器会转发DNS请求到上游。

但问题在于，我昨晚为了看Netflix，在路由器后台把DNS手动改成了8.8.8.8和1.1.1.1。而我的机场节点，其服务器端DNS解析策略是“绕过大陆”+“海外直连”。当手机App请求一个被污染的域名时，比如api.binance.com，路由器把这个请求发给了Google DNS。理论上没问题，但小米路由器有个“智能DNS加速”功能，它会对特定域名强制使用运营商DNS。

结果就是：路由器层面的DNS分流规则，和手机App内部的DNS缓存逻辑，发生了冲突。

场景二：手机上的“双轨制”陷阱

我拿起手机，打开“设置-我的设备-全部参数”，连点七次MIUI版本号，进入了开发者选项。我关闭了“自动选择DNS”，手动填写了8.8.8.8。然后我打开了一个叫“DNS Changer”的App（需要Root），试图强制全局走TCP查询。

但小米的MIUI对VPN连接有特殊的“省电策略”。当手机屏幕熄灭超过五分钟，系统会自动断开非活跃的VPN链路。而我的VPN客户端是“Shadowrocket”的安卓版，它虽然常驻通知栏，但底层用的是VpnService接口。这个接口在MIUI上有个臭名昭著的bug：如果同时开启“私人DNS”（即DoT），系统会优先使用dns.google，忽略VPN隧道内的DNS指令。

这导致了一个荒谬的现状：我的VPN隧道是通的，但DNS查询走了系统级的DoT加密通道，而那个通道指向的服务器，恰好被防火墙SNI阻断。 于是，所有域名解析都超时，但IP直连却正常。

我试了终极方案——在手机上安装“Termux”，用命令行手动执行nslookup api.binance.com 8.8.8.8。结果返回了正确的IP。但当我用curl --resolve强制指定IP访问时，却提示SSL证书错误。这说明，问题不是DNS解析，而是TLS握手阶段的SNI字段被干扰。

场景三：路由器的“伪全局”假象

我回到电脑前，打开小米路由器的管理后台。在“高级设置- DHCP服务器”里，我看到DNS设置是“自动”。但我之前用SSH登录过路由器，修改过/etc/resolv.conf，把nameserver指向了127.0.0.1——这是我为了跑AdGuard Home而设置的。

但我忘了，小米路由器自带的“米家App”和“小米WiFi”组件，会在固件升级后自动重置DNS配置。 昨晚系统自动更新到了1.0.140版本，把我的自定义DNS清空了。

更致命的是，我启用了“游戏加速器”功能。这个功能会劫持所有UDP流量，包括DNS的53端口请求。它会把DNS查询转发到小米的专属服务器，然后根据“优化策略”返回结果。对于币圈用户来说，这个“优化”意味着：它可能把uniswap.org解析到一个CDN节点，而不是合约地址的托管服务器。

我尝试关闭游戏加速器，但发现它和“QoS智能限速”绑定在一起。一旦关闭，我的NAS下载就会抢占带宽，导致视频通话卡顿。

场景四：虚拟币场景下的“DNS投毒”恐慌

凌晨三点，我额头开始冒汗。因为我想起了一件事：昨天在Twitter上看到有人讨论，某交易所的域名被劫持，用户访问时跳转到钓鱼页面，输入了助记词。虽然我的USDT还在冷钱包里，但如果刚才那笔提现的确认页面被篡改，后果不堪设想。

我决定做个实验。我在PC上用dig @1.1.1.1 api.binance.com查询，得到IP是52.84.12.34。然后我在手机上用nslookup api.binance.com（走的是路由器DNS），得到的IP是104.16.132.229。两个IP都来自Cloudflare，但前者是币安官方用的ASN，后者可能是Cloudflare的通用边缘节点。

这意味着，我的手机DNS解析结果，被路由器“智能”地替换成了Cloudflare的Anycast地址。 而币安为了合规，可能对某些地域的IP返回不同的API响应。如果手机App连接到了那个“通用”IP，可能会被触发风控，甚至显示“服务不可用”。

我果断关掉了手机Wi-Fi，切换到5G移动网络。然后重新打开Binance App，这次提示“网络连接成功”。我长舒一口气，但心里清楚：这只是暂时的。只要我回到家里，连上那个被“智能优化”过的路由器，问题就会重现。

解决方案：路由器与手机的“分权治理”

凌晨四点，我泡了一碗红烧牛肉面，开始写这份笔记。经过反复测试，我总结出以下三条铁律，适用于所有在币圈挣扎的小米用户：

第一，路由器层面必须“一刀切”。
不要用小米自带的DNS代理，也不要开启“智能DNS加速”。进入路由器后台，把DHCP的DNS强制设为1.1.1.1和8.8.8.8，同时关闭“游戏加速器”的DNS劫持功能。如果找不到关闭选项，直接刷OpenWrt固件，用dnsmasq的server参数指定上游。

第二，手机端必须“独立隧道”。
在开发者选项里，开启“始终开启VPN”，并选择“锁定VPN”。同时，在VPN客户端的设置里，勾选“绕过大陆域名”和“远程DNS”。但最关键的是，关闭MIUI的“私人DNS”功能（设置-连接与共享-私人DNS，选择关闭）。因为私人DNS会优先于VPN的DNS指令，导致分流失效。

第三，用“直连IP+证书固定”作为最后防线。
对于交易所和DeFi协议，我建议在PC上维护一个hosts文件，手动写入常用域名的IP。但IP会变，所以更稳妥的办法是使用支持“证书固定”的浏览器插件。比如用Brave浏览器访问币安时，开启“HTTPS Everywhere”和“NoScript”，手动允许官方脚本。

尾声：路由器指示灯像一只假寐的猫

写完笔记，天已经蒙蒙亮。我蹲在路由器旁，看着它的指示灯有节奏地闪烁，像一只假寐的猫。我最后一次测试：手机连上Wi-Fi，打开Bitfinex App，点击“余额”。页面加载了三秒，然后弹出我的持仓——0.05枚BTC，安然无恙。

我关掉手机，揉了揉干涩的眼睛。那笔USDT提现的确认链接，我在5G网络下重新验证了合约地址，确认无误。但我知道，下次我再调整路由器设置时，必须记得：在这个虚拟币的世界里，DNS不是“域名解析”，而是“资产流向的十字路口”。一个错误的解析，可能让你的数字资产流向一个永远找不回来的黑洞。

而小米路由器那个“智能”的DNS优化，就像一位过度热心的交警，在深夜的十字路口乱指挥——它不知道你车里装的是黄金，还是砒霜。