DNS 污染与 DNS 泄露排查：网站打不开、AI 地区异常的隐形原因

DNS 是访问任何网站的第一步：把 claude.ai 这样的域名翻译成 IP 地址。这一步出问题，后面的代理配置再正确也没用。

两个概念：污染与泄露

	DNS 污染	DNS 泄露
发生了什么	国内 DNS 返回错误或无效地址	海外域名的解析请求经过了国内 DNS
表现	网站打不开、连接重置	网站能打开，但地区判断可能异常
影响	可用性	隐私与一致性
解决	让解析经过代理或加密	让客户端接管所有 DNS

如何检测 DNS 泄露

1. 开启代理，选中常用节点；
2. 访问 DNS 泄露测试网站，运行“扩展测试”；
3. 查看结果中的 DNS 服务器所在国家和运营商：
   • 只有海外服务器 → 没有泄露；
   • 出现中国的电信、联通、移动等 → 存在泄露。

Clash 的 DNS 模式

fake-ip（推荐）

客户端收到解析请求后，立即返回一个虚拟地址（如 198.18.x.x），真正的解析交给代理服务器完成。

• 优点：速度快，海外域名不会经过本地 DNS，几乎不泄露；
• 缺点：极少数应用需要真实 IP，需要加入过滤列表。

redir-host

客户端先在本地解析出真实 IP，再决定走代理还是直连。

• 优点：兼容性好；
• 缺点：配置不当时容易泄露。

大多数机场订阅默认已使用 fake-ip。可以在 Clash Verge Rev 的“设置 → Clash 设置”或配置文件的 dns.enhanced-mode 中查看。

推荐配置要点

以 mihomo 配置为例（多数情况下订阅已包含，无需手动修改）：

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  fake-ip-filter:
    - "*.lan"
    - "localhost.ptlogin2.qq.com"
  nameserver:
    - https://doh.pub/dns-query
    - https://dns.alidns.com/dns-query

以上为结构示例，DNS 服务器的选择请参考你的机场或客户端推荐。

必须开启 TUN 吗

只开系统代理时，浏览器的请求会交给代理，但其他程序（以及部分浏览器功能）可能直接向系统 DNS 发起解析，造成泄露。开启 TUN 模式后，客户端会接管系统的 DNS 请求，泄露问题基本消失。

浏览器“安全 DNS”的冲突

Chrome、Edge 的“使用安全 DNS”会让浏览器自己通过 DoH 解析。在 TUN + fake-ip 环境下，它可能绕过客户端的 DNS 处理，导致：

• 某些网站走了错误的分流规则；
• 泄露测试出现异常结果。

出现这些情况时，可以在浏览器设置中关闭“使用安全 DNS”，让客户端统一处理。

排查流程

1. 测试 DNS 泄露；
2. 确认客户端 DNS 模式为 fake-ip；
3. 开启 TUN 模式；
4. 检查浏览器安全 DNS 设置；
5. 再次测试，结果中不应出现国内运营商 DNS。

完成后，可以按 AI 节点 IP 质量检测 的流程把节点完整测一遍。