Clash Verge如何配置DNS来防止DNS泄露？

为什么你的代理路由可能正在泄露DNS？

当你使用 Clash Verge 进行网络代理时，核心隐私目标之一就是让所有 DNS 查询和后续数据传输都经过代理隧道。但如果 DNS 配置不当，系统或浏览器的 DNS 请求可能绕过代理，直接发往你的 ISP 或公共 DNS 服务器——这就是典型的 DNS 泄露。它不仅暴露了你访问的域名，还可能让真实的出口 IP 被追踪。本文将深入解析 Clash Verge 的 DNS 配置原理，并从具体操作出发，提供完整可落地的防泄露方案。

在深入配置之前，我们需要理解 Clash 核心的 DNS 模块工作方式：它既可以接管系统 DNS 请求，也可以作为透明代理处理所有 DNS 流量。正确配置后，所有 DNS 查询都应经过代理节点，而不是本地递归解析。这能从根本上阻断泄露路径。

功能定位与配置前提

Clash Verge 作为 Clash 内核的图形界面客户端，其 DNS 配置位于 config.yaml 文件中的 dns 段落。早期的 Clash 版本（如 1.x 系列）主要通过 DNS 转发（redir-host）方式工作，而后续版本引入了更安全的 Fake-IP 模式。截至当前的最新版本，两者仍然并存，但推荐使用 Fake-IP 模式以最大限度减少泄露风险。示例：在多数现代 Clash 内核中，Fake-IP 已被标记为首选模式，因为它能让客户端永远不接触真实 IP。

功能定位：DNS 模块的目标是接管所有域名解析请求，将其代理到指定的可信 DNS 服务器（如 8.8.8.8、1.1.1.1 等），同时确保不对私有地址（如内网 IP）进行代理。这解决了“使用代理时依然只能访问国内服务”的问题——因为代理后的 DNS 能解析境外域名；但若配置不当，也会导致内网服务不可达或性能下降。因此，透彻理解每个参数至关重要。

需要的前提条件

• Clash Verge 客户端已正确安装并可正常启动（版本以官方渠道为准）。
• 你拥有编辑 config.yaml 的权限（桌面端可通过设置界面修改，移动端需手动编辑文件）。
• 代理节点本身支持 UDP 转发（大部分机场节点都支持）。若不支持，DNS 查询将退化为 TCP，可能影响解析速度，但仍能工作。
• 基础代理规则（如：直连国内、代理境外）已经配置完毕。

核心配置项详解

理解每个配置项的用途，是避免 DNS 泄露的关键。以下逐一说明，同时结合实际场景分析注意事项。

1. enable 与 listen

enable: true 开启内置 DNS 服务器。listen: 0.0.0.0:53 监听所有接口的 53 端口（需要管理员权限）。如果你已经在使用其他 DNS 服务（如 AdGuard Home），建议将端口修改为 :5353 避免冲突。示例：在 Windows 上，如果 53 端口被 systemd-resolved 占用，改为 5353 即可正常启动。

2. enhanced-mode：Fake-IP vs Redir-Host

这是防止泄露的核心开关。推荐设置为 fake-ip：Clash 会为每个域名返回一个虚拟 IP（如 198.18.0.x），实际请求被拦截后通过代理节点完成真正的 DNS 解析。如此一来，客户端永远不会直接发起真实 DNS 查询，泄露风险大幅降低。而 redir-host 模式会将 DNS 请求转发给配置的 nameserver，但某些场景下——例如客户端使用了非代理的 DNS（如系统内置的 DoH）——仍可能绕过转发，导致泄露。

3. nameserver 与 fallback

nameserver 指定主 DNS 服务器列表，用于解析被代理的域名。建议使用支持 DoH/DoT 的公共 DNS 如 https://dns.alidns.com/dns-query 或 tls://dns.google，避免查询过程被明文窃听。fallback 则是备用服务器，当主服务器无响应时使用。经验性观察：将 fallback 设为 tls://1.1.1.1 和 https://doh.dns.apple/dns-query 可以提高解析速度，同时增强冗余。

4. fallback-filter 的作用

此参数用于控制 fallback 的启用条件。例如 geoip: true 表示当解析结果 IP 为中国（GeoIP 数据库认定）时，不使用 fallback（即直接使用 nameserver 结果），避免国内域名被误解析到境外服务器。而 ipcidr 可以添加内网网段：

fallback-filter:
  geoip: true
  ipcidr:
    - 240.0.0.0/4   # 组播地址
    - 10.0.0.0/8    # 保留内网

这个配置能有效避免内网查询走代理导致的时间消耗，也减少了泄露风险。示例：如果你在内网有 192.168.x.x 的 DNS 记录，务必在 ipcidr 中添加对应网段，否则这些请求会被 fallback 解析到外网，导致服务不可用。

完整配置示例（防止泄露）

dns:
  enable: true
  listen: 0.0.0.0:53
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  use-hosts: true
  nameserver:
    - 'https://dns.alidns.com/dns-query'
    - 'tls://dns.google'
  fallback:
    - 'tls://1.1.1.1'
    - 'https://doh.dns.apple/dns-query'
  fallback-filter:
    geoip: true
    geoip-code: CN
    ipcidr:
      - 240.0.0.0/4
      - 10.0.0.0/8
      - 172.16.0.0/12
      - 192.168.0.0/16
  default-nameserver:
    - 223.5.5.5
    - 119.29.29.29

default-nameserver 用于解析 nameserver 和 fallback 中的域名本身（假如你用 DoH 域名，需要先有一个普通 DNS 解析出它的 IP）。这是许多人忽略的细节，若缺失可能导致 DoH 服务器无法连接，整个 DNS 模块失效。

操作路径：桌面端与移动端

配置完成后，不同平台的操作路径各有侧重，以下分别说明。

桌面端（Windows / macOS / Linux）

以最新版 Clash Verge 为例，打开客户端主界面，点击“设置” -> “Clash 核心设置” -> “DNS 设置”。这里可以直接编辑 dns 段落。如果你更喜欢直接修改配置文件，可以点击“配置” -> “打开配置文件目录”，用文本编辑器打开 config.yaml 进行修改。保存后重启 Clash 核心生效。建议修改前先备份原文件。

移动端（Android）

Android 平台的 Clash Verge（或类似客户端）通常可以直接在应用内编辑配置。路径：打开应用 -> 点击“配置” -> 选择你的配置文件（如 config.yaml） -> 进入文本编辑模式，修改 dns 部分。完成后保存并重启 privacy tool 服务。注意：部分 ROM 可能限制 53 端口监听，建议将 listen 设为 0.0.0.0:5353 或更高端口。

iOS 平台说明

iOS 上由于系统沙箱限制，Clash Verge 无法直接修改系统 DNS，但可以通过配置“代理”->“DNS”来设置。目前主流方案是使用内置的 DNS 模块并通过 Network Extension 实现。操作方法：在配置文件中启用 dns 并设置 enhanced-mode: fake-ip，然后开启“系统 DNS 劫持”选项（如果有）。不同客户端的具体路径可能略有差异，请以实际版本为准。值得注意：iOS 上即使配置正确，部分 App 仍可能使用私有 DNS，需通过流量验证确保无泄露。

验证 DNS 是否泄露

配置完成后，必须实际验证才能确保安全。以下是可复现的验证步骤：

1. 访问 dnsleaktest.com，点击“Standard Test”。
2. 检查页面显示的 DNS 服务器 IP 是否是你的代理出口所在国家的服务器（例如日本节点应显示日本 DNS），而非你的本地 ISP 的 DNS。
3. 同时访问 ipleak.net，在 DNS 泄漏检测部分确认没有出现本地 ISP 的 DNS 条目。
4. 在命令行执行 nslookup google.com，观察查询结果是否为 Fake-IP 范围（198.18.x.x），若显示真实 IP 可能表示未被劫持。

如果检测到泄露，请检查以下常见原因：配置文件中的 dns 未启用；enhanced-mode 为 redir-host 且客户端未正确转发；或者系统存在其他 DNS 服务（如 Windows 上的 AdGuard）抢占端口。此外，浏览器本身若启用“安全 DNS”（如 Chrome 的 DoH），也可能绕过代理，建议在浏览器设置中关闭此类功能。

故障排查指南

现象 1：部分域名无法解析

可能原因：fake-ip-range 与本地网络冲突，或 nameserver 中的 DoH 服务器不可达。验证方法：临时将 enhanced-mode 改为 redir-host 测试是否能正常解析。若可解析，则问题在 Fake-IP 配置上。尝试修改 fake-ip-range 为 198.19.0.1/16 或 10.0.0.0/8 内的一个未占用的子网。另外，检查 Clash 日志中是否有“dns server started”记录，若无则说明配置语法错误或端口冲突。

现象 2：国内网站访问慢

可能原因：fallback-filter 未正确排除国内 IP，导致国内域名试图走境外 DNS。检查 geoip: true 是否已设置，并确认 geoip-code: CN 存在。经验性观察：在有些版本中，fallback-filter 的优先级高于 nameserver，导致国内域名被 fallback 解析，造成延迟。可尝试在 ipcidr 中添加 0.0.0.0/8 等本地网段作为保险。同时确保规则中配置了国内域名直连（如 DOMAIN-SUFFIX,cn, DIRECT）。

现象 3：DNS 检测依然显示本地 ISP

这通常是系统 DNS 未被完全劫持。Windows 上可以检查网络适配器 DNS 是否被改为 127.0.0.1；macOS 上可以查看 /etc/resolv.conf。如果使用的是 Clash Verge 的“TUN 模式”，请确保 TUN 的 DNS 设置与配置一致。部分杀毒软件或防火墙也会劫持 DNS，需关闭后重测。另外，检查是否有其他网络代理软件（如 privacy tool）干扰，建议停用后再测试。

适用与不适用场景

DNS 配置并非一劳永逸，它在不同网络环境下的表现差异很大。以下总结典型场景，帮助你判断当前的方案是否适用。

适合的典型场景

• 需要全局代理且对隐私要求较高的用户。
• 使用机场节点且节点支持 UDP 转发的环境。
• 多平台统一配置（通过订阅链接同步配置）。
• 自建 DNS 服务器需要与代理配合的场景。

在这些场景下，防泄露配置的价值最大，能有效防止 DNS 被 ISP 或第三方监控。

不推荐或需要额外注意的场景

• 国内用户只需要访问国内网站：直接关闭 DNS 模块即可，配置不当反而增加延迟。
• 内网有复杂 DNS 解析需求（如 AD 域、公司内部域名）：需要在 fallback-filter 中显式添加例外网段，否则内网服务可能不可达。
• 设备硬件资源紧张（如 512MB 内存的路由器）：Fake-IP 模式会消耗较多内存，建议使用 redir-host 并精简 nameserver。
• 需要精确控制 DNS 返回结果（如反广告过滤）：可以保留 AdGuard Home 作为上游，但需注意嵌套代理导致循环。

最佳实践清单

以下是一些经过反复验证的最佳实践，可作为配置检查清单。

• 优先使用 Fake-IP 模式：它从根本上杜绝了客户端直接发起 DNS 查询的可能。
• 使用加密 DNS 作为 nameserver：如 DoH/DoT 确保查询链路不被窃听。
• 配置 fallback-filter 排除内网：避免内网查询走代理，同时防止泄露本地网络结构。
• 启用 ipv6: false：若代理不支持 IPv6，可能导致泄露，建议关闭。
• 定期验证：更换节点或更新 Clash 核心后，重新运行泄漏测试。
• 备份配置文件：在修改前备份原始 config.yaml，方便回退。

常见问题（FAQ）

结语与下一步行动

通过本文的指导，你应该能够掌握 Clash Verge 配置 DNS 以防止泄露的核心方法。从理解 enhanced-mode 的差异，到填写 nameserver 和 fallback-filter，再到验证泄漏，每一步都直接关系到你的隐私安全。建议读者按照文章给出的配置示例为基础，根据自己的网络环境（是否有内网域名、是否使用 IPv6 等）进行微调，并定期进行泄漏检测。记住，没有一劳永逸的配置：当更换代理节点或更新 Clash 核心后，最好重新确认 DNS 配置仍然有效。

展望未来趋势，随着 Clash 内核的持续迭代，DNS 模块可能会集成更智能的分流逻辑，例如基于机器学习识别国内域名，进一步降低误判并提升解析速度。用户应关注官方发布说明，及时了解新版本中 DNS 相关的变化。现在，打开你的 Clash Verge，去实践吧。