节点明明连上了，Google、YouTube 都能打开，但您心里总有点打鼓：我访问了哪些网站，本地运营商是不是还看得到？这其实就是常说的“DNS 泄漏”。先说结论：只开系统代理不一定能防住 DNS 泄漏；开启 TUN 模式、让 Clash 接管 DNS，再用检测站复查，是最稳妥的做法。下面小编按官方文档和公开指南，给您讲清楚。
说明：本文基于 mihomo 官方 DNS 文档（页面标注 2026 年 7 月 18 日）、SamNet 与 IPFYI 两份泄漏测试指南整理，查询日期 2026 年 11 月 7 日。文中不含任何实测数据，具体效果以您自己的网络环境为准。
一、DNS 泄漏到底是什么
简单讲，打开网站前，设备要先问 DNS 服务器“这个域名对应哪个 IP”。如果这个“问路”的请求没走代理，而是直接发给了运营商的 DNS，那么即使网页内容走了代理，您访问了哪些域名也会被看到。IPFYI 的指南把它定义为：DNS 查询没有经过隧道，而是发给了 ISP 或其他第三方 DNS 服务器。
常见原因有这几类（来自上述指南）：
- 系统自身的 DNS 设置覆盖了代理软件的设置；
- Windows 的 Smart Multi-Homed Name Resolution 会把查询同时发往所有网卡；
- 浏览器自带的 DNS over HTTPS（DoH）绕开了代理；
- 代理客户端没有正确接管 DNS。
二、三种“泄漏”别搞混
| 类型 | 说白了是什么 | 典型表现 |
|---|---|---|
| DNS 泄漏 | 域名查询没走代理 | 检测站显示的是本地运营商 DNS |
| WebRTC 泄漏 | 浏览器的实时通信功能通过 STUN 暴露真实 IP | WebRTC 检测里 srflx 地址是真实公网 IP |
| IPv6 泄漏 | 代理只处理 IPv4，IPv6 直连 | 检测站显示您的 IPv6 地址不是节点的 |
这三种要分开查，因为修法不一样：DNS 靠客户端设置，WebRTC 靠浏览器设置，IPv6 靠关闭或让代理一并处理。
三、怎么检测
- 先连上节点，确认代理已生效。
- 打开任意 DNS 泄漏检测网站，看显示的 DNS 服务器归属。IPFYI 的判断标准是：结果应属于代理/VPN 一侧，如果出现本地运营商的 DNS，就说明有泄漏。
- 再用 WebRTC 检测页，重点看 srflx（STUN 服务器看到的公网 IP）是不是节点出口，而不是您家宽带的 IP。
- 最后看检测站是否显示了您的 IPv6 地址，如果显示且不是节点的，就是 IPv6 泄漏。
- 可选：命令行执行
nslookup example.com，看当前使用的 DNS 服务器是谁（IPFYI 给出的方法）。
提醒一下：不同检测站结果可能不一致，建议多查一两个再下判断。国内部分检测站本身也可能被限制访问，打不开属正常情况。
四、Clash 用户怎么堵 DNS 泄漏
1. 优先开 TUN 模式
系统代理只对“听话”的程序生效，不走系统代理设置的程序，它的 DNS 查询可能直接出去。TUN 模式是在网卡层面接管流量，覆盖面更广。两者的区别我们在《Clash TUN 模式和系统代理区别》里讲过，不清楚的可以先看那篇。
2. 确认 Clash 的 DNS 已启用
mihomo 官方文档写明：enable 为 false 时，使用系统 DNS 解析，也就是 Clash 不接管 DNS。所以第一步是确认 DNS 功能是开着的。Clash Verge Rev 的图形界面里一般在设置页的 DNS 相关选项中，不同版本界面可能不同，可参考《Windows 怎么用机场：Clash Verge Rev 导入订阅教程》或《Mac 怎么用机场：Clash Verge Rev 导入订阅教程》找到设置入口。
3. 看懂几个关键 DNS 选项
下面是 mihomo 官方文档里和泄漏最相关的几项，小编只写文档确实有的内容：
| 选项 | 官方文档的说明 |
|---|---|
| enhanced-mode | 可选 fake-ip 或 redir-host，默认 redir-host；官方示例配置用的是 fake-ip |
| fake-ip-filter | 列在里面的域名不返回 fake-ip，支持通配符和域名集合 |
| nameserver | 默认的域名解析服务器 |
| fallback | 后备服务器，一般用境外 DNS；配置后默认启用 fallback-filter，geoip-code 为 CN |
| default-nameserver | 用来解析 DNS 服务器自身的域名，必须是 IP |
| proxy-server-nameserver | 只用于解析代理节点的域名 |
| respect-rules | DNS 连接遵守路由规则，需同时配置 proxy-server-nameserver |
| ipv6 | 为 false 时，AAAA 查询返回空结果 |
要注意：官方文档并没有直接说“哪种模式更防泄漏”，也没有使用“泄漏”这个词。上表的关联是小编按功能做的归纳。另外，文档特别提到 respect-rules 强烈不建议与 prefer-h3 同用，fake-ip-ttl 非必要不要改。
4. 关掉浏览器自带的 DoH
如果浏览器启用了自己的安全 DNS（DoH），它可能绕过客户端的 DNS 设置。指南建议在代理已处理 DNS 的前提下，关闭浏览器内置 DoH，让解析统一由 Clash 接管。
5. 处理 WebRTC 和 IPv6
- WebRTC：Firefox 可在
about:config把media.peerconnection.enabled设为 false，但会彻底禁用 WebRTC，视频会议类网页可能无法使用；Chrome/Edge 可考虑 WebRTC 泄漏防护类扩展（IPFYI 的建议，请自行评估扩展的来源和权限）。 - IPv6：如果代理不处理 IPv6，可在网卡属性里取消勾选 Internet Protocol Version 6（Windows），或在 Clash 的 DNS 里将 ipv6 设为 false。改前请确认不影响自己的网络使用。
五、不要踩的几个坑
- 网上有些教程只给界面截图或口号，没有配置示例和验证方法，这类内容看看就好，最终以官方文档和自己的检测结果为准。我们查看的一份 Clash Verge Rev 防泄漏教程就没有给出验证方法，也没有引用官方文档。
- 别随便复制来路不明的配置文件。配置里可以写规则、DNS 甚至订阅地址，来源不明的配置有风险。订阅链接本身也要保管好，可参考《机场订阅链接泄露了怎么办》。
- “没有泄漏”不等于“绝对匿名”。机场服务商本身能看到您的流量元数据，选购时可看《机场怎么选？第一次买前的 8 项自查清单》。
常见问题（FAQ）
开了系统代理，还会 DNS 泄漏吗？
有可能。系统代理只影响遵守系统设置的程序，建议开启 TUN 并复查检测结果。
检测站显示的是境外 DNS，就一定安全吗？
不能完全这么说。它只说明这次查询没有走本地运营商 DNS，WebRTC 和 IPv6 还需要单独查。
fake-ip 和 redir-host 选哪个？
官方文档默认值是 redir-host，示例配置用 fake-ip，但没有说哪个更适合防泄漏。新手建议先用客户端默认配置，再按检测结果微调。
关掉 IPv6 会有什么副作用？
只支持 IPv6 的少数网络环境可能受影响，改完请重新测试常用网站。
开了 TUN 后断网怎么办？
先关掉 TUN 看能否恢复，再检查有没有其他 DNS 软件冲突，细节见上文提到的 TUN 对比文章。
总结
防 DNS 泄漏的思路很简单：开 TUN、确认 Clash DNS 已启用、再分别检测 DNS、WebRTC 和 IPv6。官方文档只提供选项说明，不保证某一组参数“万无一失”，所以每次改动后都建议自己复查一遍。另外请遵守所在地法律法规，本文不构成法律意见。