Clash 怎么检查有没有 DNS 泄漏

Clash 怎么检查有没有 DNS 泄漏——这不是一个配置完成就自动安全的问题，而是一个必须主动验证的运行态事实。DNS 泄漏意味着你的域名查询请求绕过了 Clash 设定的代理链路（比如走本地 ISP 的 DNS 服务器或系统默认 DNS），直接暴露了你访问的网站意图，哪怕流量本身已加密代理，也足以让网络管理员、ISP 或中间节点推断出你的行为轨迹。它不依赖 HTTPS 是否启用，也不因使用了 TUN 模式就天然免疫；它可能藏在系统 DNS 设置里、藏在浏览器的 DoH 预加载中、藏在 Windows 的“智能多宿主名称解析”里，甚至藏在 Clash 自身 DNS 配置的逻辑漏洞中——比如 `fallback-filter` 规则未覆盖常见 CDN 域名，或 `nameserver` 列表末尾误加了 `114.114.114.114` 这类明文公共 DNS。

先做基础确认：确保 Clash 正在运行且代理模式为「Rule」或「Global」（非 Direct），TUN 模式已启用（若使用 tun stack），且配置文件中的 `dns` 区块明确存在且生效。打开 Clash Dashboard，进入「Profiles」页签，点击当前激活配置右下角的「Edit」图标，搜索 `dns:` 字段——你应看到类似这样的结构：

```yaml dns: enable: true listen: 0.0.0.0:53 enhanced-mode: redir-host # 或 fake-ip，但 redir-host 对泄漏检测更直观 nameserver: - https://1.1.1.1/dns-query - https://8.8.8.8/dns-query fallback: - https://1.0.0.1/dns-query fallback-filter: geoip: true ipcidr: - 240.0.0.0/4 ```

关键不在有没有 DNS 配置，而在是否被完整执行。此时打开终端（macOS/Linux）或 PowerShell（Windows），执行 `scutil --dns`（macOS）或 `Get-DnsClientServerAddress -AddressFamily IPv4`（PowerShell），检查系统当前实际使用的 DNS 地址——它应当显示为 `127.0.0.1`（Clash 的本地监听地址），而非 `192.168.x.x`、`114.114.114.114` 或任何外部 IP。若显示非 `127.0.0.1`，说明系统层面尚未将 DNS 查询导向 Clash，泄漏风险已存在。 延伸阅读：技术岗简历的项目经历怎么写。 延伸阅读：PikPak 支持哪些离线协议。

接着进行实测：访问 [https://www.dnsleaktest.com](https://www.dnsleaktest.com)，点击「Extended test」。等待结果页面加载完毕后，观察列出的 DNS 服务器 IP 和所属 ISP。理想结果只出现 Cloudflare（1.1.1.1）、Google（8.8.8.8）或 Quad9（9.9.9.9）等你明确配置在 `nameserver` 或 `fallback` 中的地址，且地理位置与你期望的出口区域一致（例如全部显示为“United States”而非“China Unicom”）。若出现 `114.114.114.114`、`223.5.5.5`、`180.76.76.76` 或任何归属本地运营商的 IP，即为泄漏确证。此时不要急于改配置，先执行下一步排查：在浏览器地址栏输入 `chrome://flags/#dns-over-https`（Chrome/Edge）或 `about:config` 搜索 `network.trr.mode`（Firefox），确认 DoH 被禁用——浏览器内置 DoH 会绕过系统 DNS 设置，直接向其预设服务器发请求，导致测试结果失真；关闭它，重启浏览器再测。

再验证 Clash 自身日志：在 Dashboard 左侧菜单点「Logs」，将日志级别调至「Debug」，然后在另一窗口刷新 dnsleaktest 页面。滚动日志，查找含 `DNS query` 关键字的行，例如 `DNS query: www.dnsleaktest.com. A from 127.0.0.1:59212`，随后应紧跟着 `upstream: https://1.1.1.1/dns-query` 类似记录。若某次查询后日志显示 `upstream: system` 或 `upstream: 114.114.114.114`，说明该次查询被 fallback-filter 拒绝后退到了系统 DNS，根源常在于 `fallback-filter.geoip: true` 在国内环境对部分境外 CDN 域名判断失效，或 `ipcidr` 规则遗漏了某段私有地址范围。此时需手动补充 `fallback-filter.ipcidr` 条目，例如加入 `- 240.0.0.0/4`（IPv6 兼容预留段）和 `- 100.64.0.0/10`（CGNAT 常见段），并重启 Clash。

项目复盘怎么写进简历；PikPak 下载任务一直显示等待的原因——这两件事与 DNS 泄漏同属「表面静默、底层失联」型故障：前者是经验沉淀的路径断裂，后者是客户端与服务端在 DNS 解析层未对齐导致的握手悬停，它们共享同一诊断逻辑起点：不看界面状态，先查请求发出时的真实出口与响应源。