Свой DNS: шифрованный резолв DoH / DoT

Классический DNS ходит открытым текстом по UDP 53 — любой на пути видит и может подменить ваши запросы. Перевод upstream-DNS Clash на шифрованные DoH (DNS over HTTPS) или DoT (DNS over TLS) убирает этот слой риска. Перекрываем секцию dns через Mixin:

mixin:
  dns:
    enable: true
    enhanced-mode: fake-ip
    nameserver:
      - https://dns.alidns.com/dns-query      # DoH
      - tls://dot.pub                          # DoT
    fallback:
      - https://1.1.1.1/dns-query
      - https://8.8.8.8/dns-query
    fallback-filter:
      geoip: true
      geoip-code: CN

nameserver против fallback

nameserver — основной пул (быстрые шифрованные резолверы поблизости: местные домены резолвятся быстро и верно); fallback — второе мнение (доверенные зарубежные). С включённым fallback-filter.geoip: если IP из основного ответа не принадлежит CN, Clash берёт ответ fallback — фактически автоматическое распознавание подозрительных ответов с переключением на зарубежный источник. Скорость и точность разом.

После настройки Logs на уровне debug показывает, какой upstream ответил на каждый запрос; в связке с fake-ip в обычной работе открытый DNS с машины практически не уходит.