在使用 Clash、Clash Party 等科学上网客户端时，许多用户会遇到类似尴尬的情况：明明节点连接正常、显示绿色的延迟数据，但在浏览器打开 Google、GitHub 或 Twitter 时却依然提示“无法连接”或“DNS 解析失败”。这往往就是典型的 DNS 污染（DNS Poisoning） 或 DNS 泄漏（DNS Leak） 所致。
一、什么是 DNS 污染与 DNS 泄漏？
域名系统（DNS）如同互联网的电话簿，负责把人类可读的域名转换为计算机通信需要的 IP 地址。在翻墙出海过程中，这两大安全风险的表现如下：
- DNS 污染：防火长城（GFW）在公网出口监控未加密的 DNS 查询请求，一旦发现访问敏感域名，便会伪造虚假的错误 IP 返回给用户，导致浏览器无法载入。
- DNS 泄漏：虽然配置了代理节点，但客户端依然把 DNS 解析请求发送给了国内运营商的 DNS 服务器（例如 114.114.114.114），这不仅导致解析失败，更暴露了用户的访问隐秘。
二、Clash 配置中的 DNS 防护机制
现代 Clash 核心内置了强大的分流与 DoH（DNS over HTTPS）解析引擎。为了做到彻底的 DNS泄漏防护，配置文件中通常包含以下核心属性设置：
1. 开启 fake-ip 模式或 redir-host 模式
在 Clash 配置文件中，建议使用 fake-ip 模式。客户端会为目标域名返回一个虚拟 IP（如 198.18.0.1），只有在建立实际 TCP 握手时，才由远端全中转节点进行真实 DNS 解析，从而彻底避开本地污染。
2. 设置加密 DoH / DoT 上游服务器
在配置文件 dns 节点下，区分国内直连 DNS 与海外加密 DNS：
- nameserver (国内直连解析)：
https://doh.pub/dns-query(腾讯 DoH),https://dns.alidns.com/dns-query(阿里 DoH) - fallback (海外代理解析)：
https://1.1.1.1/dns-query(Cloudflare DoH),https://8.8.8.8/dns-query(Google DoH)
三、DNS 排查四步清单
- 清空本地 DNS 缓存：在 Windows CMD 中运行
ipconfig /flushdns，消除过期污染记录。 - 检查客户端 TUN 模式：在 Clash Party 或 Clash Verge 中开启
TUN Mode或System Proxy，确保全局流量被正确拦截。 - 进行 DNS 泄漏测试：访问测试网站（如
browserleaks.com/dns），检查是否有本地运营商 IP 泄漏。 - 使用全中转安全节点：选择搭载 TLS加密 与 DNS 保护的一分机场节点，享受端到端纯净体验。