自定義 DNS：配置 DoH / DoT 加密解析

傳統 DNS 走明文 UDP 53 埠，路徑上的任何裝置都能看到並篡改你的查詢。把 Clash 的上游 DNS 換成加密的 DoH（DNS over HTTPS）或 DoT（DNS over TLS）可以消除這一層風險。用 Mixin 覆蓋 dns 段：

mixin:
  dns:
    enable: true
    enhanced-mode: fake-ip
    nameserver:
      - https://dns.alidns.com/dns-query      # DoH
      - tls://dot.pub                          # DoT
    fallback:
      - https://1.1.1.1/dns-query
      - https://8.8.8.8/dns-query
    fallback-filter:
      geoip: true
      geoip-code: CN

nameserver 與 fallback 的分工

nameserver 是主力解析組（選國內快的加密源，保證國內域名解析又快又準）；fallback 是可疑結果的替補組（選國外可信源）。開啟 fallback-filter.geoip 後，當主力解析出的 IP 不屬於 CN 時，Clash 會採用 fallback 的結果——等於自動識別「可能被汙染的域名」並改用國外源，兼顧速度與準確。

改完後在 Logs 頁面（debug 級別）能看到每條查詢用了哪個上游；配合 fake-ip 模式，絕大多數場景下本地已經看不到明文 DNS 流量。