Clash DNS 設定詳解：解決汙染與洩漏

為什麼 DNS 設定這麼重要

很多人裝好 Clash、匯入訂閱之後就以為萬事大吉了，結果發現某些網站打不開、明明走了代理卻還是被認成國內 IP，或者反過來國內網站被解析到國外去。這些問題十有八九出在 DNS 環節，而不是代理節點本身。

瀏覽器存取一個網址前，首先要把網域解析成 IP 位址，這個過程就是 DNS 查詢。如果這一步被電信業者「動了手腳」，後面代理再怎麼設定都沒用——因為你的裝置一開始就拿到了錯誤的 IP。常見的兩種「動手腳」方式：

• DNS 汙染電信業者或中間設備偽造 DNS 回應，把你導向錯誤的 IP（比如回傳一個無法存取的位址，或跳轉到廣告頁）。
• DNS 洩漏即使流量走了代理，DNS 查詢請求卻仍然直連傳送給本地電信業者，導致你存取了哪些網站被完整記錄，代理形同虛設。

三種 DNS 解析模式對比

Clash 的 DNS 模組支援幾種不同的工作模式，理解它們的區別是設定好 DNS 的關鍵。

最早期的模式。Clash 直接向上游 DNS 伺服器查詢真實 IP，再根據規則決定走代理還是直連。優點是簡單直觀，缺點是網域分流可能失效——因為真實 IP 拿到手後，如果這個 IP 段沒有被規則命中，就可能直連失敗，而且對 IP 段規則（如 GEOIP）的支援不夠精確。

Clash 不直接回傳真實 IP，而是先分配一個虛擬的私有 IP（如 198.18.0.1）給用戶端，等實際發起連線時，Clash 再根據網域做規則匹配，決定走代理還是直連，此時才向真正的上游查詢 IP。這種「先分流、後解析」的方式讓基於網域的規則永遠優先生效，是目前最推薦的模式。

某些應用（比如部分區域網路設備發現、企業內網系統）不能用虛擬 IP，需要拿到真實 IP 才能正常運作。這時可以用 fake-ip-filter 把這些網域排除在虛擬 IP 分配之外，讓它們始終走真實解析。

# DNS 模組核心設定
dns:
  enable: true
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  fake-ip-filter:
    - '*.lan'
    - '*.local'
    - '+.market.xiaomi.com'
  nameserver:
    - 223.5.5.5       # 阿里 DNS，用於國內網域
    - 119.29.29.29    # 騰訊 DNS，同上
  fallback:
    - tls://8.8.4.4:853     # DoT，用於境外網域
    - tls://1.1.1.1:853
  fallback-filter:
    geoip: true
    geoip-code: CN

nameserver 與 fallback 該怎麼選

這是新手最容易踩坑的地方。nameserver 和 fallback 都是「上游 DNS 伺服器列表」，但作用完全不同：

• nameserver：預設優先使用的伺服器，一般填寫國內電信業者能正常存取、速度快的 DNS（阿里 223.5.5.5、騰訊 119.29.29.29、114 DNS 等）。
• fallback：當 fallback-filter 判斷某個查詢結果「不像是國內位址」時，會改用這裡的伺服器重新查詢一次，一般填寫 DoH/DoT 加密 DNS（如 Google、Cloudflare），避免被汙染。

配合 fallback-filter.geoip: true，Clash 會先用 nameserver 查詢，如果解析出的 IP 不在 geoip-code 指定的國家/地區（比如不在 CN），就自動切換到 fallback 重新查詢一次，從而做到「國內網域走國內 DNS，境外網域走加密 DNS」的自動分流，不需要手動維護網域列表。

驗證與常見問題排查

• nslookup / dig 測試在終端機執行 nslookup google.com，如果回傳的是 198.18.x.x 段的位址，說明 fake-ip 生效了（這是正常現象，不是故障）。
• DNS 洩漏測試存取 dnsleaktest.com 做擴充測試，確認顯示的 DNS 伺服器位址與你的代理節點歸屬地一致，而不是本地電信業者。
• 面板日誌在控制面板的「日誌」頁把等級切到 debug，正常存取網站會看到 DNS 查詢與規則匹配的詳細過程，方便定位具體哪一步命中。