DNS 泄漏：检测方法与修复

DNS 泄漏指：流量本身走了代理，但域名解析请求仍以明文发给了本地运营商的 DNS——对方虽看不到你的流量内容，却能完整记录你解析过哪些域名。

检测

开启代理后访问任一 DNS 泄漏检测网站（搜索 "dns leak test"），运行扩展测试：

• 结果里只有代理出口所在地的 DNS 服务器 → 无泄漏；
• 出现本地运营商（中国电信/联通/移动）的服务器 → 存在泄漏。

修复组合拳

1. 启用 fake-ip 模式：浏览器等应用的域名解析在本地被 Clash 用假 IP 应答，真实解析发生在代理远端，从源头消除大部分泄漏（见《fake-ip 与 redir-host》）；
2. 上游 DNS 换加密：Clash 自身需要的解析走 DoH/DoT，配置见《自定义 DNS》；
3. 需要全局兜底时开 TUN：配合 dns-hijack 把系统里所有发往 53 端口的查询强制劫持给 Clash 处理，连不走系统代理的程序的 DNS 也一并接管。

修复后重新跑一次检测确认。顺带一提：IPv6 环境下泄漏路径更多，若检测反复不干净且不依赖 IPv6，可在 General 页面关闭 IPv6 再测。