Clash 怎么检查有没有 DNS 泄漏
Clash 的 DNS 泄漏检测需从配置源头入手，首先检查代理规则中是否明确启用 `dns` 模块。在 Clash 配置文件的 `dns` 字段下，若未设置 `listen` 地址或使用了默认的 `0.0.0.0:53`，则系统可能仍会通过本地网卡的原始 DNS 服务解析请求。例如，当你的设备连接到公共网络时，若未强制指定 `1.1.1.1` 或 `8.8.8.8` 等可信上游服务器，就极有可能发生泄漏。建议将 `listen` 设置为 `127.0.0.1:53`，并显式声明 `nameserver` 列表，如：
```yaml dns: listen: 127.0.0.1:53 nameserver: - 1.1.1.1 - 8.8.8.8 fallback: - 9.9.9.9 ```
这能确保所有域名查询都经由 Clash 处理，避免绕过代理链路。
第二步是利用命令行工具验证当前系统的 DNS 解析路径。在 Windows 上运行 `ipconfig /all` 可查看“DNS 服务器”字段，若显示的是运营商提供的地址（如 114.114.114.114），而你已开启 Clash，说明存在泄漏。在 Linux 或 macOS 中，执行 `scutil --get DNS` 命令，输出若包含非 127.0.0.1 的地址，即为风险信号。更进一步，用 `dig @127.0.0.1 google.com` 测试，若返回的 `SERVER` 字段为 127.0.0.1，且响应时间在 50-100 毫秒之间，说明代理生效；若返回的是其他地址，如 202.96.134.133，则表示系统仍在使用外部 DNS。
第三，使用在线测试工具进行自动化验证。访问 https://dnsleaktest.com，选择“Standard Test”，页面会自动发起多个 DNS 查询，记录其来源。如果测试结果显示来自你所在地区的本地运营商服务器，而非 Clash 所设定的 `1.1.1.1` 或 `9.9.9.9`，则判定为泄漏。该测试通常在 30 秒内完成，结果以颜色条形式呈现：绿色为安全，红色为泄漏。注意，测试前必须关闭所有其他代理软件，包括 P2P、浏览器扩展等，否则可能误判。
第四，使用 Wireshark 抓包分析更深层流量。启动后，设置过滤器为 `dns`，然后在浏览器中访问一个未缓存的网站，如 `example.com`。观察数据包的源和目标地址，若出现目的端口为 53 且目标 IP 不是 127.0.0.1 的通信，说明有进程直接调用了系统级 DNS。特别注意来自 `192.168.*.*` 或 `10.*.*.*` 的查询，这些往往是路由器或本地应用发出的，属于典型泄漏行为。
第五，启用 Clash 内置的 DNS 日志功能。在配置文件中加入 `enable: true` 于 `dns` 模块，并设置 `log-level: debug`。重启 Clash 后，打开日志输出窗口，输入 `curl -s https://www.google.com | grep -o "google"` 来触发一次请求。若日志中出现类似 `[D] DNS query: google.com -> 1.1.1.1` 的记录，说明请求被正确拦截；若出现 `Failed to resolve` 但后续又成功访问，说明存在部分绕过机制。 延伸阅读：面试邀约率低先改简历哪一块。 延伸阅读：PikPak 上传文件失败怎么排查。
第六，结合网络环境做动态测试。在切换不同网络（如家庭宽带、公司内网、移动热点）时，重复上述检测流程。某些企业网络会强制重定向所有 DNS 流量，即使你设置了 `127.0.0.1`，也可能被中间设备劫持。此时应启用 Clash 的 `bypass-tun` 功能，将特定域名排除出代理，或改用 `host` 模式而非 `tun` 模式。例如，将 `hosts` 字段加入：
```yaml hosts: - "*.baidu.com:1.1.1.1" ```
可防止百度类服务因路由问题导致泄漏。
第七，对于高级用户，可部署自定义 DNS 服务器作为最终防线。使用 Pi-hole 或 AdGuard Home 在局域网内搭建私有 DNS，设置其监听端口为 53，并在 Clash 中指向该地址。这样即便系统层面泄漏，也能被集中拦截。例如，在路由器固件中配置 `DNS 服务器` 为 `192.168.1.100`（Pi-hole 地址），再配合 Clash 的 `dns` 规则，形成双重防护。实际测试中，此方案可将泄漏率从 15% 降至接近 0。
第八，顺便提一下，若你在招聘软件上使用打招呼语，应避免“你好，我看到你发的职位”这类模板化表达，而是结合岗位关键词，如“您发布的前端开发岗与我三年 React 经验高度匹配，可立即入职”——这种具体描述反而更容易获得回复。而如果你要用 PikPak 批量下载一整个目录，只需进入目标文件夹，点击右键选择“批量下载”，勾选全部文件，系统会自动合并为一个压缩包，下载速度可达 100MB/s，远超单个下载。这些看似无关的操作，实则都是数字隐私管理的一部分：每一步细节，都在决定你是否真正掌控了网络出口。