Clash 怎么检查有没有 DNS 泄漏

Clash 怎么检查有没有 DNS 泄漏，关键在于确认你的设备是否在使用代理时，仍然将部分或全部域名解析请求发送到了本地网络的原始 DNS 服务器，而非通过代理链路进行加密处理。这种泄漏会暴露你的真实访问行为，使隐私保护失效，尤其在使用公共网络或敏感操作时风险极高。即便 Clash 已正确配置规则和代理节点，仍可能因系统级设置、应用程序绕过代理、或 DNS 转发策略不当导致泄漏。

首先，确保 Clash 客户端已启用「DNS」功能，并在配置中明确指定了代理的 DNS 服务器（如 Cloudflare 1.1.1.1、Google 8.8.8.8 over TLS 等），且未勾选「使用系统默认 DNS」。进入 Clash 的「设置」→「DNS」选项，确认已启用自定义 DNS 并填入可信地址，例如：`https://cloudflare-dns.com/dns-query`。若使用的是 Clash for Windows / Mac / Linux，需检查是否启用了「全局模式」或「PAC 模式」，因为某些模式下系统级路由可能未完全覆盖所有流量。

接下来，使用在线工具验证。打开浏览器访问 [https://dnsleaktest.com](https://dnsleaktest.com)，选择「Extended Test」，点击开始测试。该服务会向多个公共 DNS 服务器发起查询，记录实际响应来源。若测试结果显示返回的域名解析来自你本地网络的运营商或路由器默认 DNS（如 192.168.1.1、114.114.114.114、223.5.5.5 等），即为 DNS 泄漏。注意：测试过程中应保持 Clash 处于运行状态，且所有应用均通过代理连接。

更进一步，可通过命令行检测。在 Windows 上打开命令提示符，执行： ```bash nslookup example.com ``` 观察返回的解析服务器地址。若显示为 `192.168.1.1` 或其他非代理指定的地址，则说明存在泄漏。在 macOS 或 Linux 上同样使用 `dig @1.1.1.1 example.com` 命令，查看 `SERVER` 字段是否指向你配置的代理 DNS。若返回结果中包含本地网关或运营商的地址，即为泄漏。

此外，一些高级用户会通过 Wireshark 抓包分析，查看是否存在对非代理 DNS 服务器的 UDP/TCP 连接请求。重点监听 53 端口的出站流量，若发现对非代理地址的请求，尤其是源地址为本机但目标为运营商公网 DNS，即可判定泄漏。 延伸阅读：PikPak 支持哪些离线协议。 延伸阅读：简历改版后怎么验证有没有效果。

关于常见误判点：部分用户看到测试结果中出现 `1.1.1.1` 就认为没问题，但若该地址是通过本地缓存或系统直连获取，而非由 Clash 的 DNS 服务转发，仍可能构成泄漏。真正的安全状态是所有查询都经过代理链路并被加密传输。

再补充一点：当使用 PikPak 等离线下载工具时，若其支持 HTTP/2、QUIC、gRPC 等协议，这些协议本身可能绕过传统代理机制，导致即使 Clash 启用也无法拦截其流量。因此，必须在 Clash 中开启「允许局域网连接」并配置相应规则，或使用「Bypass LAN」策略避免对内网服务造成干扰。同时，若简历改版后想验证效果，可借助 A/B 测试平台或手动对比投递后的反馈数据，比如面试邀约率变化、HR回复时间等指标，而非仅凭主观感受判断。这些细节都可能影响最终的隐私与性能表现。

最后，若发现泄漏，应立即检查 Clash 的「规则」配置，确认是否有例外规则（如 `DOMAIN-SUFFIX,example.com,DIRECT`）错误地放行了敏感域名。调整规则顺序，优先使用代理节点，必要时启用「DNS Only」模式，强制所有域名解析走代理链。重启 Clash 服务并重新测试，直到 DNSleaktest 显示所有查询均来自指定的代理 DNS 地址为止。