DNS 污染、DNS 泄漏原理与 Fake-IP / DoH 终极防泄漏实战
为什么节点延迟只有 25ms，但打开新网页依然要转圈卡顿 1~2 秒？
90% 的情况罪魁祸首都在 DNS（域名系统）！如果客户端 DNS 配置不当，不仅每次打开境外网站都要额外经历一次跨国 DNS 查询或遭到本地 DNS 抢答污染，还会导致你的真实宽带运营商暴露给海外网站（即 DNS 泄漏），引发 ChatGPT 风控封号 与 Netflix 锁区。
1. 核心概念区分：什么是 DNS 污染 vs DNS 泄漏？
- DNS 缓存投毒与抢答污染 (DNS Poisoning)：传统 DNS 使用明文 UDP 53 端口。当你向海外 DNS（如
8.8.8.8）查询被封锁域名（如google.com或x.com）时，部署在省际/国际关口局的旁路审查设备会检测到明文域名，并利用物理距离近的优势，在 5~15ms 内抢先伪造一个错误的 IP 地址（如 Facebook 或随机黑洞 IP）返回给你的电脑，导致连接直接失败。 - DNS 泄漏 (DNS Leak)：即便你开启了代理软件，如果某些域名规则要求先在本地解析 IP（如 `GEOIP,CN` 规则触发时），系统向你家里光猫默认的本地运营商 DNS（如电信
114.114.114.114）发送了海外域名解析请求，这就造成了两大恶果：一是本地运营商完全知道你在哪个时间点访问了哪个境外域名；二是海外网站通过 EDNS Client Subnet 发现你的访问 IP 在新加坡，但 DNS 服务器却在中国大陆，瞬间判定你在使用代理工具！
2. Fake-IP 模式 vs Redir-Host 模式：现代内核的 0ms 解析革命
在 Clash Verge Rev (Mihomo)、Shadowrocket 与 Sing-box 中，处理 DNS 有两种核心工作模式：
| 技术维度 | 传统 Redir-Host (真实 IP 映射) | 现代 Fake-IP 模式 (198.18.0.0/16 虚拟映射) |
|---|---|---|
| 工作流程 | 拦截 DNS → 向真实上游发起网络请求 → 等待返回真实 IP → 匹配分流规则 | 拦截 DNS → 本地内存瞬间分配 198.18.x.x 假 IP → 打包真实域名发往海外节点解析 |
| 本地 DNS 耗时 | 50ms ~ 300ms (网页首屏有明显顿挫感) | 0.1ms (纯内存映射，网页实现真正秒开) |
| DNS 污染与泄漏风险 | 若上游配置不当极易产生国内 DNS 泄漏 | 海外域名 100% 由远端落地服务器解析，零污染零泄漏 |
| 唯一注意事项 | 本地 ping 域名显示真实 IP | 本地 ping 海外域名会显示 198.18.0.x（属于正常现象，可通过 fake-ip-filter 放行内网域名） |
3. Clash Meta (Mihomo) 零泄漏 DNS 黄金配置模板
目前 速界机场、可信云、神行加速 等头部专线机场下发的订阅配置均已默认优化了 Fake-IP。如果你需要自定义覆写（Merge）防泄漏 DNS，可直接复制以下配置片段：
🛡️ Mihomo (Clash Meta) 防 DNS 泄漏覆写配置模板
dns:
enable: true
ipv6: false
enhanced-mode: fake-ip
fake-ip-range: 198.18.0.1/16
fake-ip-filter:
- "*.lan"
- "*.local"
- "+.msftconnecttest.com"
- "+.ntp.org"
default-nameserver:
- 223.5.5.5
- 119.29.29.29
nameserver:
- https://dns.alidns.com/dns-query
- https://doh.pub/dns-query
proxy-server-nameserver:
- https://dns.alidns.com/dns-query4. 三大权威在线 DNS 泄漏自检工具（附外链直达）
开启客户端并连接节点后，你可以点击以下国际权威隐私检测站点，验证你的 DNS 是否存在大陆运营商 IP 泄漏：
- IPLeak.net 在线检测 ↗：重点查看页面下方的
DNS Address detection模块。如果列表里只显示海外 DNS（如 Cloudflare、Google 或你所选节点的国家国旗），没有出现任何中国大陆国旗（CN），即代表 100% 防泄漏通过！ - BrowserLeaks DNS Leak Test ↗：检测上游解析器所属的 ASN 自治系统与地理位置。
- Cloudflare 1.1.1.1 加密状态诊断 ↗：检查当前浏览器的 DoH (DNS over HTTPS) / DoT 是否已正常生效。