Clash 怎么检查有没有 DNS 泄漏

Clash 本身是一个基于规则的代理工具，其核心功能是将网络流量按策略导向指定的出口节点，但若配置不当，可能导致本应走代理的流量（尤其是 DNS 查询）被直接发送到本地网络运营商的默认 DNS 服务器，形成“DNS 泄漏”——即用户的实际访问行为被暴露在未加密或不受控的网络环境中。这种泄漏不仅可能泄露用户隐私，还可能让某些内容审查机制通过域名解析记录追踪真实访问路径。尤其在使用公共代理或高敏感场景时，哪怕一次泄漏也可能导致身份暴露或服务受限。

要检查 Clash 是否存在 DNS 泄漏，需从两个层面入手：一是确认 Clash 的全局或规则配置中是否正确设置了自定义 DNS；二是通过实际测试验证所有流量（包括系统级和应用级）是否真正经过指定的 DNS 服务器。以下为可操作步骤：

第一步，进入 Clash 客户端的配置界面，查看「DNS」设置项。确保已启用自定义 DNS，并且明确指定了可信的、支持加密的上游服务器，例如 `1.1.1.1`（Cloudflare）、`9.9.9.9`（Quad9）或 `dns.adguard.com` 等。避免使用本地网关地址（如 `192.168.1.1` 或运营商分配的默认地址），这些通常就是泄漏源。如果使用的是自建 DNS 服务，务必确认其地址和端口在当前网络环境下可达。

第二步，打开 Clash 的日志功能（通常在设置 → 日志中开启），观察启动后是否有类似「DNS server: 1.1.1.1」或「Using custom DNS」的提示。若日志中出现默认网关的地址，或提示“fallback to system DNS”，说明配置未生效，存在潜在泄漏风险。

第三步，进行真实环境测试。最有效的方法是使用在线 DNS 检测工具，如 https://dnsleaktest.com，访问该网站并运行“Standard Test”。测试会显示当前设备发出的所有 DNS 请求所指向的服务器列表。若结果中包含非你设定的公网或私有地址（如 `114.114.114.114`、`8.8.8.8` 或你的路由器地址），则表明存在泄漏。注意，部分测试站点仅检测主请求，建议重复测试多次，或使用多个测试平台（如 https://www.dnsleaktest.com/advanced-test.html）以排除误判。

第四步，手动验证。在命令行中执行 `nslookup example.com`（Windows）或 `dig example.com`（macOS/Linux），观察返回的权威服务器信息。若返回的地址与你配置的 DNS 不一致，或显示来自本地网关的响应，则说明系统未强制走代理链路中的 DNS。此外，可在 Windows 上打开“网络适配器设置”→“更改适配器选项”→ 右键当前连接 → 属性 → “Internet 协议版本 4 (TCP/IPv4)” → 高级 → 详细信息，确认是否禁用了“自动获取 DNS 服务器地址”，否则系统可能绕过 Clash 的控制。

第五步，检查应用层行为。某些应用（如浏览器、微信、游戏客户端）可能无视系统代理设置，直接调用本地 DNS。可通过 Clash 内置的「规则模式」对特定应用启用“直连”或“代理”策略，或使用「Bypass LAN」等选项防止局域网请求走代理造成延迟，同时避免因配置冲突引发意外泄漏。

常见判断依据如下：若测试结果显示多个不同运营商的地址、带有“router”或“gateway”字样的地址、或与你所在地区无关的海外地址，基本可判定为泄漏；反之，若所有请求均指向你配置的单一可信服务器，且无异常跳转，则说明配置正常。特别注意，即使你看到“正在使用代理”的状态提示，也不代表没有泄漏——因为视觉反馈无法覆盖底层网络行为。

至于实习经历怎么量化成结果，简历被刷的十个原因，本质上都属于“如何证明价值”这一命题的延伸：前者要求用数据锚定成果，后者则强调避免低级错误与信息错位。在 Clash 的调试过程中同样适用——不能只说“我开了 DNS 代理”，而必须通过可验证的测试结果来证明“确实没泄漏”。任何模糊表述都会让信任失效，就像一份没有具体数字支撑的实习描述，最终只会被系统筛掉。