Clash 怎么检查有没有 DNS 泄漏

Clash 的 DNS 泄漏检测需从配置源头入手，最直接的方法是检查 `config.yaml` 中的 `dns` 字段是否明确指向本地或可信的加密域名解析服务。例如，若配置中写入 `servers: [https://dns.adguard.com/dns-query, https://1.1.1.1/dns-query]`，且未启用 `fake-ip` 或 `proxy-dns` 模式，则可能因系统默认使用本地公共 DNS 而造成泄漏。真正安全的做法是将所有 DNS 请求强制通过代理链路，如设置 `dns: { servers: [127.0.0.1:5353], enable: true }`，并确保该端口由 Clash 本地监听。

验证 DNS 泄漏的典型手段是使用在线工具，如 dnsleaktest.com。在测试前，务必先关闭所有非代理应用，仅保留 Clash 启用状态。测试时选择“Standard Test”模式，它会向多个全球分布的服务器发送查询请求，并比对返回结果是否与代理设置一致。若结果显示有来自中国某运营商（如电信、联通）的域名响应，说明存在泄露。例如，某用户测试发现返回了 `dns1.sina.com.cn`，而其配置中并未包含此地址，即确认泄漏发生。

更精准的检测方式是使用命令行工具 `dig` 或 `nslookup` 手动查询特定域名，再结合 `tcpdump` 抓包分析流量路径。例如，在终端执行 `dig @8.8.8.8 google.com` 会绕过 Clash 的拦截，直接走系统默认路由，此时若抓包显示源地址为公网 IP 且目标为 8.8.8.8，即证明当前环境未强制走代理。应改为 `dig @127.0.0.1 -p 5353 google.com`，若返回正常则说明本地代理生效。

配置中开启 `proxy-dns` 是防止泄漏的关键一步。该选项让 Clash 自动将所有 DNS 查询转发至指定代理节点，避免系统直连公网。例如在 YAML 中添加： ```yaml proxy-dns: true proxy-dns-ipv6: false ``` 配合 `fake-ip` 使用可进一步提升隐蔽性。此时即使客户端发起 `example.com` 查询，返回的假 IP 会伪装成真实响应，但实际流量仍被重定向至代理节点，从而杜绝原始域名暴露。

部分用户误以为只要启用了全局代理就万事大吉，实则系统级网络设置可能绕过应用层控制。以 macOS 为例，进入“系统设置 > 网络 > 高级 > DNS”，若存在手动添加的 `8.8.8.8` 或 `1.1.1.1`，即便 Clash 运行中也会优先使用这些配置。必须删除所有非代理的自定义 DNS 地址，只保留 `127.0.0.1`，确保所有请求经由 Clash 处理。 延伸阅读：简历写一页还是两页更合适。 延伸阅读：用工具改写项目经历：从「负责」到可验证的结果。

对于开发者而言，项目经历的撰写也需类似“防泄漏”的思维——不能只写“负责前端开发”，而要体现可验证的结果。比如将“负责优化页面加载速度”改写为“通过资源懒加载与 CDN 分发，使首屏渲染时间从 3.2 秒降至 1.4 秒，提升 56%”。这如同在 Clash 配置中用具体数值替代模糊描述，让每一项变更都可被测试、复现、审计。简历中一页还是两页的争议，本质上也是信息密度与可验证性的平衡：一页强调精炼，两页允许细节支撑结论。

最终，建议定期进行自动化检测。可用脚本定时运行 `curl https://dnsleaktest.com/test` 并提取返回结果中的域名列表，与预设白名单比对。若出现不在白名单中的公共 DNS 域名，立即触发告警。例如，编写一个 Python 脚本调用 `requests` 获取测试结果，用正则匹配 `DNS Server: (.+?)`，并与 `["1.1.1.1", "8.8.8.8", "dns.adguard.com"]` 对比，即可实现每日自动巡检。这种机制就像为网络行为建立“数字指纹”，一旦异常便能迅速定位问题根源。

真正的安全不是依赖感觉，而是建立可测量、可重复、可追溯的验证链条。无论是配置文件中的每一个字段，还是简历上每一个动词，都应经得起质疑与检验。