Утечка DNS: обнаружение и ремонт

Утечка DNS — это когда трафик едет через прокси, а запросы имён по-прежнему уходят открытым текстом на резолвер местного оператора: содержимое ваших сессий им не видно, зато виден полный список посещаемых доменов.

Обнаружение

С включённым прокси откройте любой сайт проверки утечек DNS (ищите «dns leak test») и запустите расширенный тест:

• в результатах только резолверы региона вашего выходного узла → утечки нет;
• всплыли резолверы местного оператора → течёт.

Ремонт: связка приёмов

1. Режим fake-ip: запросы приложений локально получают поддельные IP, а настоящий резолв происходит на дальнем конце прокси — основная утечка исчезает у истока («fake-ip и redir-host»);
2. Шифрованный upstream: то, что Clash обязан резолвить сам, идёт по DoH/DoT — конфиг в «Свой DNS»;
3. TUN как общесистемная сеть: с dns-hijack любой запрос к 53-му порту на машине принудительно достаётся Clash — накрываются даже программы, обходящие системный прокси.

После ремонта прогоните тест снова. Бонус: IPv6 добавляет обходных путей утечкам — если тесты упорно грязные, а IPv6 вам не нужен, выключите его на General и повторите.