很多人连上机场节点、看到网页能打开，就以为“全程都走代理了”。其实有一件事经常被忽略：你访问网站前的“查地址”那一步（DNS 查询），可能根本没走代理，而是直接发给了本地运营商。这就叫 DNS 泄漏。
先给结论：DNS 泄漏不一定让你上不了网，但会让运营商看到你查了哪些域名，也可能带来解析结果被污染、访问变慢等问题。解决思路有三条：用 TUN 模式或客户端自带的 DNS 管理接管解析、选对 fake-ip 这类 DNS 工作模式、关掉浏览器里自作主张的“安全 DNS”。下面一步步讲，并教你怎么自己检测。
DNS 泄漏到底是什么
DNS 就是“网址翻译器”，把域名变成 IP 地址（原理可以看 Cloudflare 的 DNS 入门页面）。正常上网的顺序是：浏览器先查缓存，再问系统，最后问运营商或你指定的递归解析器，拿到 IP 才开始真正连接。
用代理时，网页数据会被包进加密隧道发给机场节点，但“先查地址”这个请求如果没跟着走，就会直接飞向本地网络。按 Clash Verge Rev 社区维基的说法，DNS 泄漏指的就是流量经代理转发，DNS 查询仍直接发给本地运营商或公共 DNS；同一页面还强调，只开系统代理并不能完全避免泄漏。
说白了，泄漏的不是网页内容，而是“你想去哪些网站”这份清单。
哪些情况容易出现泄漏
根据 CleanBrowsing 的排查指南，常见原因包括：只在设备上而不是路由器上配置了 DNS、浏览器自带 DoH（加密 DNS）、IPv6 的 DNS 没有配置、VPN 或代理自带另一套 DNS。结合用机场的实际场景，可以归纳成下面几种。
| 场景 | 为什么会泄漏 | 怎么应对 |
|---|---|---|
| 只开“系统代理” | 只有会读取系统代理设置的软件走代理，很多软件的 DNS 查询不经过代理 | 改用 TUN 模式，或开启客户端的 DNS 接管 |
| 浏览器开了“安全 DNS” | Chrome、Edge 可能把查询发给自己选的服务商，绕开系统设置 | 在浏览器隐私设置里改为“使用当前服务提供商” |
| IPv6 没处理好 | 网络有 IPv6 时，部分查询会走另一条路径 | 确认客户端同时处理 IPv6，或按需关闭 |
| 规则分流后的“国内直连” | 直连的域名按设计会用本地 DNS 解析，这是分流的正常结果 | 先弄清哪些域名你希望走代理，再检查规则 |
| 路由器层面的 DNS | 设备走了路由器自己的 DNS，客户端管不到 | 检查路由器 DNS 与客户端设置是否一致 |
注意最后一类：开了“国内直连”规则以后，国内站点本来就是用国内 DNS 解析、直接连接的，这不算问题。真正要担心的，是你本想走代理的域名，却在本地被解析了。
怎么自己检测 DNS 泄漏
最直观的办法是用 DNS 泄漏测试页。以 CleanBrowsing 的 DNS 泄漏测试指南为例，它的做法是向独一无二的子域名发送一批探测请求，再看是哪些解析器收到了这些请求，整个过程大约十几秒。
- 先记一次基线：关闭代理，打开测试页做一次完整测试，记下显示的解析器归属（通常是你的运营商）。
- 再开代理测一次：连上节点，换成你平时的模式（系统代理或 TUN）再测。
- 对比结果：如果出现的仍是你本地运营商的解析器，就说明查询没有被代理接管；如果出现的是节点所在地区或你指定的 DNS 服务商，说明查询走了代理。
有两个提醒：第一，测试页只能反映浏览器里的情况，系统里其他软件的 DNS 行为要另外看；第二，DoT（基于 TLS 的 DNS）没法用浏览器测，需要命令行工具验证。还有，如果测试结果显示“零个解析器”，可能是加密隧道或隐私代理拦下了探测，换个浏览器或设备再测。这些结果都只代表那一刻的情况，改了设置要重新测。
Clash 的 DNS 配置项，一次讲明白
Clash Verge Rev 用的是 mihomo 内核，DNS 行为由配置里的 dns 段决定。下面的解释来自 mihomo 官方文档（DNS 配置页面，我们在 2026 年 11 月 1 日查阅）：
| 配置项 | 含义（白话版） |
|---|---|
| enable | 是否启用内核自己的 DNS。设为 false 时使用系统 DNS。 |
| enhanced-mode | DNS 工作模式，可选 fake-ip 或 redir-host。官方文档写明默认是 redir-host。 |
| nameserver | 默认的解析服务器。 |
| fallback | 备用解析服务器，通常放境外 DNS，启用后配合 fallback-filter 使用，默认以 CN 的地理位置判断。 |
| nameserver-policy | 按域名指定不同的解析服务器，优先级高于 nameserver 和 fallback。 |
| proxy-server-nameserver | 只用来解析代理节点自己的域名。 |
| respect-rules | 让 DNS 请求也遵循分流规则，需要配合 proxy-server-nameserver 使用。 |
| fake-ip-filter | 列在里面的域名不返回 fake-ip，而是返回真实地址。 |
上面的内容以官方文档为准，不同内核版本的细节可能有变化，改配置前最好对着你当前版本的文档核对。
fake-ip 和 redir-host 怎么选
Clash Verge Rev 社区维基的对比页面是这样描述的：fake-ip 先给应用返回一个虚拟 IP，再由内核按规则去建立真实连接；redir-host 则直接返回真实 IP。它认为 fake-ip 的泄漏风险更低，但局域网设备需要额外规则；redir-host 与系统兼容性更好，局域网访问也更自然。给出的建议是普通用户用 fake-ip，家里有 NAS、打印机等局域网设备时可以考虑 redir-host，或者给局域网域名加进 fake-ip-filter。
需要提醒的是，这个第三方维基称 fake-ip 是“默认推荐”，而官方文档写的默认值是 redir-host，两者说法不一致，我们以官方文档为准。你不用纠结“默认”二字，按自己的使用场景选就行。
在 Clash Verge Rev 里怎么设置
按照社区维基的 DNS 防泄漏设置页面（页面标注的编辑时间为 2026 年 6 月），推荐的做法是：
- 在设置里开启 TUN 模式，让整台电脑的流量包括 DNS 请求都被接管；
- 启用 DNS 管理，也就是界面里的 “Enable DNS”；
- 再按前面的方法跑一次测试页，对比开启前后的结果。
那一页没有给出具体的配置片段，所以我们不在这里替你编一套“万能配置”。不同机场的订阅自带的 DNS 配置各不相同，改动前建议先备份一份当前配置。如果你还没装好客户端，可以先看我们写过的 Mac 上 Clash Verge Rev 导入订阅教程和 Windows 上 Clash Verge Rev 使用教程。
iPhone 上的小火箭等客户端怎么办
iPhone 上的代理客户端是通过系统的 VPN 配置接管流量的（原因可以看我们这篇 iPhone 添加 VPN 配置是什么意思），所以它天然有机会同时接管 DNS 请求。但客户端各自的 DNS 选项名称和默认行为不同，我们没有逐个版本核对，下面只给出通用的检查思路：
- 在客户端的设置里找“DNS”相关选项，确认不是完全留空使用系统默认值；
- 用手机浏览器打开 DNS 泄漏测试页，分别在“代理关”和“代理开”的状态下各测一次；
- 如果走了规则分流，参考我们之前的 小火箭规则设置教程，确认你希望走代理的域名没有被写成直连；
- 手机浏览器里的“安全 DNS”同样要检查，必要时改成使用系统设置。
别把“换公共 DNS”和“防泄漏”混为一谈
有人以为把电脑 DNS 改成 8.8.8.8 或 1.1.1.1 就解决了泄漏，其实不是。换公共 DNS 只是换了一个“被问的人”，如果这些 DNS 查询仍然在本地网络上明文传输，运营商依然看得到你在问什么，只是看不到答案内容的来源变了。真正要做的，是让 DNS 查询走代理，或者至少走加密通道。
如果只是想了解 Windows 11 怎么手动改 DNS、怎么开启加密 DNS，我们另外整理过一篇 Windows 11 修改 DNS 的 4 种方法，可以搭配着用。
常见问题（FAQ）
测试页显示的是我本地运营商，就一定是泄漏吗？
不一定。如果你访问的是按规则设置为“直连”的网站，用本地 DNS 是设计使然。要判断是否异常，得看你想走代理的那些域名是不是也被本地解析了。
开了 TUN 模式就一定不会泄漏吗？
不能这么说。TUN 模式能接管更多流量，但浏览器自带的安全 DNS、客户端配置里没处理好的 IPv6 等，都可能让结果和预期不同。每次改完设置，用测试页复查一遍最稳妥。
DNS 泄漏会让我的账号被盗吗？
DNS 泄漏暴露的是你查过哪些域名，而不是账号密码，网页内容本身仍受 HTTPS 保护。它主要是隐私问题，另外可能伴随解析不准、访问变慢。
机场服务商能看到我的 DNS 查询吗？
当 DNS 查询走进代理隧道时，在节点一侧完成解析，服务商在技术上有机会看到这些请求，这取决于它的实现和日志政策。所以选机场时应看它是否公开隐私政策，这一点我们在 买机场前要看的 8 件事里也提过。
我不想折腾配置，有最简单的做法吗？
电脑上开 TUN 模式并启用客户端的 DNS 管理，浏览器里把“安全 DNS”设为使用当前服务提供商，然后用测试页对比一次，就足够应付大多数日常场景。
小结
用了代理不等于 DNS 一定安全。记住三步：先用测试页做基线，再开 TUN 并启用客户端 DNS 管理，最后复测并检查浏览器的安全 DNS 设置。提醒一下，服务商可能随时变动甚至跑路，建议按月购买，并保管好订阅链接，不要随意分享。使用代理工具请遵守所在地的法律法规，本文只做技术说明，不构成法律意见。
主要参考：mihomo 官方文档 DNS 配置、Clash Verge Rev 社区维基：DNS 防泄漏、CleanBrowsing DNS 泄漏测试指南、Cloudflare：什么是 DNS。信息查询日期：2026 年 11 月 1 日。