Clash Fake-IP 模式解析与防 DNS 泄漏实战：网络隐私与解析性能进阶调优

在使用 Clash 客户端时，很多进阶用户在查看配置文件时都会看到 enhanced-mode: fake-ip。究竟什么是 Fake-IP？它与传统的 DNS 解析有什么本质区别？为什么它既能带来极速的建连性能，又可能引发 DNS 泄漏？本文为您深度揭秘。

一、Fake-IP 模式的技术原理

在传统的 DNS 代理（Redir-Host）模式下：

1. 客户端发起 google.com 请求。
2. 本地系统必须先向 DNS 服务器发起查询，等待远端返回真正的海外 IP。
3. Clash 拿到真实 IP 后，再判断这个 IP 是否属于国内网段，然后再决定走代理。

• 弊端：多耗费 1 个往返时间（RTT），如果中间 DNS 请求被运营商污染或监听，就会暴露你的访问记录（即 DNS 泄漏）。

而在 Fake-IP 模式下：

1. 客户端发起 google.com 请求。
2. Clash 内核根本不向公网发起查询，而是立即从保留私有网段（通常是 198.18.0.1/16）分配一个“假 IP”（Fake IP）毫秒级返回给系统。
3. 应用程序立即向这个假 IP 建立 TCP 连接。
4. Clash 截获连接后，从内存映射表中反查出真实的域名 google.com，并将域名直接封装进代理协议中，由海外落地节点在远端服务器执行真实的 DNS 解析！

• 收益：首包建连耗时从 100ms+ 暴降至 1ms 以内，彻底避免本地 DNS 污染！

二、DNS 泄漏检测与排查

前往专业测试站（如 dnsleaktest.com 或 ipleak.net）发起测试：

• 健康表现：测试结果中显示的 DNS 服务器只有海外落地机房（如 Cloudflare、Google DNS），没有任何中国电信、中国联通、中国移动的本地 DNS。
• 泄漏表现：测试列表中出现了你所在城市的本地运营商 DNS，说明部分海外请求的域名解析已被本地直连泄露。

三、彻底防止 DNS 泄漏的高级配置

在 Clash 配置文件的 dns 区块中，采用加密 DNS（DoH / DoT）与严格分流：

dns:
  enable: true
  listen: 0.0.0.0:1053
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  # 国内直连查询使用国内快速 DNS
  default-nameserver:
    - 223.5.5.5
    - 119.29.29.29
  # 代理流量通过 DoH 远端加密解析
  nameserver:
    - https://dns.alidns.com/dns-query
    - https://doh.pub/dns-query
  # 假 IP 过滤名单，内网域名强制直连真实解析
  fake-ip-filter:
    - "*.lan"
    - "*.local"
    - "localhost.ptlogin2.qq.com"

遵循上述配置后，整机 DNS 解析不仅具备毫秒级响应，而且能完全杜绝运营商的 DNS 劫持与日志记录。