Clash防DNS泄漏与Fake-IP模式原理

引言：为什么 DNS 是代理系统中最关键却最容易被忽略的环节？

很多用户以为代理软件的工作仅仅是把“网页内容下载下来转发给我们”，但实际上，在任何网络连接建立之前，必须先经过第一道关卡——DNS 域名解析（把 google.com 翻译成真实的 IP 地址）。

如果在这一步发生差错，你的真实上网痕迹就可能被本地运营商窃听（DNS 泄漏），或者被防火墙返回一个虚假的死地址导致网页永远打不开（DNS 污染）。

Clash 凭借强大的内置 DNS 模块，从根本上解决了这一难题。本文将带您深入浅出搞懂 Fake-IP 的黑科技。

一、传统 Redir-Host 模式与 DNS 污染困境

在早期的代理工具中，主要使用传统解析模式：

1. 浏览器向操作系统发起请求：“请问 twitter.com 的 IP 是多少？”
2. 操作系统向本地运营商宽带的 DNS 服务器查询；
3. 本地防火墙检测到敏感域名，在运营商响应之前，强行伪造一个错误 IP（如 127.0.0.1 或海外死循环 IP）返回给电脑；
4. 电脑拿到这个假 IP 后，甚至还没开始走代理，连接就直接死掉了。

即便开启了海外远程 DNS 解析，由于跨国查询往返开销（RTT），每次打开新网页前都要傻等 200ms 以上，体验极度卡顿。

二、黑科技 Fake-IP：秒级响应与零污染的秘密

为了彻底攻克这个痛点，Clash 引入了革命性的 Fake-IP（伪装 IP） 模式：

浏览器请求: twitter.com
       │
       ▼
Clash 内置 DNS 引擎 (截获请求)
       │
       ├─ 在本地内存表中记录映射： 198.18.0.25 <---> twitter.com
       └─ 瞬间(0ms)返回给浏览器： "它的 IP 是 198.18.0.25 !"
       │
       ▼
浏览器立即向 198.18.0.25 发送加密 HTTPS 请求
       │
       ▼
Clash TUN / 代理核心捕获该数据包
       │
       ├─ 查内存表还原：“哦，原来你其实是要去 twitter.com”
       └─ 将域名完整封装进专线隧道，交由境外远端出口服务器解析并连接！

Fake-IP 带来的两大飞跃式提升：

1. 彻底绝缘本地 DNS 污染：本地根本不需要发起任何真实的跨境域名查询，防火墙连你查了什么域名都不知道，污染无从下手；
2. 极速的首字响应速度（TTFB）：本地电脑解析耗时直接缩短至 0 毫秒，网页秒开。

三、如何检测自己的网络是否存在 DNS 泄漏？

如果配置不当（例如启用了纯系统代理且未劫持 DNS），你在访问敏感海外站点时，本地宽带 DNS 可能会默默记录你的访问日志。

泄漏检测步骤：

1. 开启您的 Clash 客户端；
2. 打开海外知名检测站点：https://browserleaks.com/dns 或 https://ipleak.net；
3. 查看检测结果中的 DNS Addresses 列表：
   • 安全状态：只显示海外节点机房（如 Cloudflare、Google DNS 或您节点所在国家），完全没有中国电信/联通/移动的 IP；
   • 泄漏状态：如果列表中赫然出现了本地省份的运营商 DNS，说明 DNS 正在发生泄漏！

四、防泄漏终极配置指南

如果您使用的是 Clash Verge Rev 或 Mihomo Party：

1. 开启 TUN 模式下的 DNS 劫持：
   • 确保勾选了 Auto Set DNS（自动接管系统 DNS）；
2. 配置优质的加密 DoH 服务器：
   • 国内直连 DNS 推荐：https://doh.pub/dns-query (腾讯 DNSPod)、https://dns.alidns.com/dns-query (阿里公共 DNS)；
   • 海外代理 DNS 推荐：https://1.1.1.1/dns-query (Cloudflare)、https://8.8.8.8/dns-query (Google)；
3. 启用 Fallback-Filter：
   • 配合内置规则，自动将 GEOIP 为非大陆的请求强制交由海外加密通道解析。

做好这几项配置后，您的网络连接将同时兼具极致的高速与牢不可破的隐私安全。