JichangPlus 机场加
DNS 防泄漏与防污染实战：DoH / DoT 与 Fake-IP 的正确配置
导读：隐蔽而致命的网络阿喀琉斯之踵
在网络通信中，域名系统（DNS）扮演着将人类可读的网址（如 `example.com`）翻译为机器物理 IP 地址的“电话簿”角色。然而，在日常网络工具的使用中，绝大多数疑难杂症——如网页偶发性打不开、海外服务频繁提示证书错误、甚至访问记录被第三方肆意监听——其元凶往往并不在代理节点本身，而是出在极易被忽视的 DNS 解析链路 上。
如果你的 DNS 配置不当，哪怕购买了最昂贵的内网专线，你的真实访问意图依然会通过明文 DNS 查询暴露无遗，甚至直接吃进被恶意篡改的污染 IP。本文将为你深度拆解 DNS 污染与泄漏的根源，并给出工业级的防污染配置实战指南。
传统 DNS 的两大致命缺陷：污染与泄漏
1. 传统明文 DNS 污染（DNS Cache Poisoning）
传统的 DNS 查询默认使用 UDP 53 端口以明文广播形式发出。当这一请求跨越运营商骨干网时，旁路审查设备可以在真实的合法服务器应答之前，抢先伪造一个错误的 IP（如 `127.0.0.1` 或虚假不可达地址）塞给你的电脑，导致连接直接失败。
2. DNS 隐私泄漏（DNS Leak）
当你在客户端中配置了海外代理，但 DNS 解析依然被引导至本地运营商（如本地电信/联通 DNS）。这不仅导致本地 ISP 能够一清二楚地记录下你查询的所有海外域名清单，还会因为本地 DNS 无法正确解析海外 CDN 分布，导致海外服务被分配到极其缓慢劣质的冷门服务器上。
终极武器：DoH / DoT 与 Fake-IP 协同作战
现代成熟代理客户端（如 Clash、sing-box、Stash）通过以下两项核心技术彻底解决了上述问题：
技术一：加密 DNS 传输（DoH / DoT）
- DoH（DNS over HTTPS）：将 DNS 查询隐蔽地包装在标准 HTTPS 443 端口数据流中，与正常网页浏览流量完全一致，中间人根本无法区分更无法篡改；
- DoT（DNS over TLS）：通过专属 853 端口建立强加密 TLS 隧道传输解析请求。
技术二：Fake-IP 虚拟伪装解析体系
Fake-IP 模式彻底颠覆了传统的解析逻辑：
- 应用程序向 Clash 询问 `google.com` 的 IP 是什么；
- Clash 根本不去公网发起真正的 DNS 查询，而是直接从保留地址池（如 `198.18.0.1/16`）中抓取一个假 IP（Fake IP）立即秒回给应用程序；
- 应用程序立刻拿着这个假 IP 建立连接并发起数据包；
- Clash 在本地网卡拦截到目标为该假 IP 的数据包，将其复原为原始域名 `google.com`，连同请求直接加密扔给远端专线代理节点；
- 真正的域名解析是在远端海外落地服务器上完成的！
核心价值：本地完全消除了 DNS 解析等待时间（实现 0ms 闪电握手），且从物理上彻底免疫了国内骨干网的任何 DNS 污染！
工业级标准 DNS 分流配置模板
在 Clash 配置文件中，一套兼顾速度与安全的标准 DNS 结构应当严格区分国内外分流：
```yaml
dns:
enable: true
listen: 0.0.0.0:1053
enhanced-mode: fake-ip
fake-ip-range: 198.18.0.1/16
nameserver:
- https://doh.pub/dns-query # 国内腾讯加密 DoH
- https://dns.alidns.com/dns-query # 国内阿里加密 DoH
fallback:
- https://1.1.1.1/dns-query # 海外 Cloudflare 安全 DoH
- https://8.8.8.8/dns-query # 海外 Google 安全 DoH
fallback-filter:
geoip: true
geoip-code: CN
ipcidr:
- 240.0.0.0/4
```
常见问题解答 (FAQ)
为什么在 Fake-IP 模式下，本地 Ping 任何海外网站都是 198.18.x.x？
这完全是正常现象！这表明 Fake-IP 机制正在完美生效。这个 198.18 网段的 IP 是 Clash 在本地内存分配给该域名的虚拟映射令牌，所有的真实数据传输都会在内核内部映射并送往代理通道。
如何验证自己的网络是否存在 DNS 泄漏？
在开启代理的状态下，使用浏览器访问知名的权威检测平台（如 `browserleaks.com/dns`）。观察页面探测出的 DNS 服务器列表：如果显示的全部是海外服务器（如 Cloudflare、Google），说明防泄漏完美；若列表中赫然出现了本地省份运营商（如 China Telecom / China Unicom）的名称，则表明存在 DNS 泄漏，需检查客户端是否启用了纯加密 DNS 分流。