自定义 DNS：配置 DoH / DoT 加密解析

传统 DNS 走明文 UDP 53 端口，路径上的任何设备都能看到并篡改你的查询。把 Clash 的上游 DNS 换成加密的 DoH（DNS over HTTPS）或 DoT（DNS over TLS）可以消除这一层风险。用 Mixin 覆盖 dns 段：

mixin:
  dns:
    enable: true
    enhanced-mode: fake-ip
    nameserver:
      - https://dns.alidns.com/dns-query      # DoH
      - tls://dot.pub                          # DoT
    fallback:
      - https://1.1.1.1/dns-query
      - https://8.8.8.8/dns-query
    fallback-filter:
      geoip: true
      geoip-code: CN

nameserver 与 fallback 的分工

nameserver 是主力解析组（选国内快的加密源，保证国内域名解析又快又准）；fallback 是可疑结果的替补组（选国外可信源）。开启 fallback-filter.geoip 后，当主力解析出的 IP 不属于 CN 时，Clash 会采用 fallback 的结果——等于自动识别「可能被污染的域名」并改用国外源，兼顾速度与准确。

改完后在 Logs 页面（debug 级别）能看到每条查询用了哪个上游；配合 fake-ip 模式，绝大多数场景下本地已经看不到明文 DNS 流量。