V2Ray DNS設定ガイド：中国国内・海外ドメインの名前解決分離とDNS汚染対策

DNS分流が解決する2つの問題

中国国内のネットワーク環境から海外ドメインを直接名前解決すると、応答が汚染されることがよくあります。返ってくるIPが目的のサイトのものではなく、接続がタイムアウトしたり、別のページに飛ばされたりします。暗号化されたリモート名前解決では問い合わせをTLSトンネルに包むため、汚染源が応答内容を改ざんできません。これが分流におけるDoHの中心的な役割です。

中国国内のドメインは逆です。リモート名前解決でも結果は得られますが、問い合わせ経路にプロキシが1ホップ余分に挟まり、さらに一部の中国国内CDNは名前解決の発生元によって異なるノードを返すため、リモート名前解決では遠方のノードを掴みやすくなります。中国国内ドメインはローカルDNSに任せて最寄りで名前解決すれば、CDNの振り分けも正確になります。

分流の目的は、問い合わせを機械的に分けることではなく、2種類のドメインをそれぞれの名前解決経路に流しつつ、routingルールとdnsセクションが同じドメイン集合を使うようにすることです。

dnsセクションの基本構造と分流の書き方

Xrayのdnsセクションはservers配列で、順番にマッチングされます。ドメインがエントリのdomainsリストに一致すればそのエントリが使われ、domainsを持たないエントリはすべてのドメインにマッチするため、最後にフォールバックとして置きます。次の記述を設定のルートノードに置くだけで動きます。

"dns": {
  "servers": [
    {
      "address": "https://1.1.1.1/dns-query",
      "domains": ["geosite:geolocation-!cn"],
      "tag": "proxy"
    },
    {
      "address": "223.5.5.5",
      "domains": ["geosite:cn"],
      "expectIPs": ["geoip:cn"]
    },
    "223.5.5.5"
  ]
}

1つ目は海外向けで、問い合わせはプロキシのアウトバウンド経由で送信されます。2つ目は中国国内向けで、expectIPsで応答の帰属を検証します。3つ目は素のアドレスによるフォールバックで、geositeデータに収録されていないドメインをカバーします。v2rayNが生成する設定では、プロキシのアウトバウンドタグはproxy、直結はdirectなので、参照時はこれに合わせてください。プロキシサーバーのアドレスはIPを直接書くのがおすすめです。名前解決の段階を減らせます。

固定の名前解決が必要なドメインはdns.hostsに書けます。これはservers配列より優先され、問い合わせは外部に送信されません。内部ネットワークのホスト名やセルフホストのサービスドメインに向いています。

routingルールとdomainStrategyの連携

dnsセクションはドメインを誰が名前解決するかを決め、routingは接続がどのアウトバウンドを通るかを決めます。dnsセクションだけを設定してroutingを設定しないと、トラフィックがすべてプロキシ経由になる可能性があります。逆にroutingだけを設定してdnsを設定しないと、中国国内ドメインもリモート名前解決で汚染されます。この2つは必ずセットで設定してください。

"routing": {
  "domainStrategy": "IPIfNonMatch",
  "rules": [
    {
      "type": "field",
      "domain": ["geosite:cn"],
      "outboundTag": "direct"
    },
    {
      "type": "field",
      "domain": ["geosite:geolocation-!cn"],
      "outboundTag": "proxy"
    }
  ]
}

domainStrategy 3つの値の使いどころ

• AsIs：ドメイン名の文字列だけでルールにマッチさせ、自らは名前解決しません。ルールがすべてドメインで書かれていてIPルールに依存しない場合に向いています。
• IPIfNonMatch：ドメインルールに一致しなかった場合に名前解決してIPルールを試します。分流の場面でよく使われる値です。
• IPOnDemand：ルールにIP条件があれば名前解決するため、DNSリクエストが増えます。通常は必要ありません。

expectIPsの汚染対策としての意味と検証方法

expectIPsはルーティングルールではなく、名前解決の結果を検証するだけのものです。結果が指定したgeoipリストに含まれていなければ破棄し、順番に次のサーバーを試します。中国国内エントリで最もよく使われる書き方はexpectIPs: ["geoip:cn"]で、ローカルDNSが中国国内IPだけを受け入れるようにします。

{
  "address": "223.5.5.5",
  "domains": ["geosite:cn"],
  "expectIPs": ["geoip:cn", "geoip:private"]
}

expectIPsは否定も書けます。海外エントリにgeoip:!cnを追加すると、中国国内のCDNノードに解決された結果を拒否できます。検証に失敗したときにフォールバックせずエラーにしたい場合は、エントリにskipFallback: trueを付けます。geoip:privateは内部ネットワークのアドレス帯を許可するので、内部ドメインが誤って破棄されるのを防げます。

分流が機能しているか検証する

1. 「設定」→「パラメータ設定」→「基本設定」でログレベルをdebugに変更し、ノードに再接続します。
2. 海外サイトにアクセスし、ログでそのドメインが1つ目のDoHで名前解決され、問い合わせがプロキシ経由で送信されていることを確認します。
3. 中国国内のサイトにアクセスし、問い合わせが223.5.5.5に届き、応答がgeoip:cnの検証を通過していることを確認します。
4. コマンドラインでnslookup www.qq.com 223.5.5.5を実行し、ローカルDNS自体が使えることを確認します。

よくある問題とトラブルシューティング

分流を設定して問題が起きたら、次の4つの手順で順に確認してください。