节点连上了，网页也能打开，但总有人心里犯嘀咕：我访问的网站，本地运营商是不是还能看到？这个担心，说的就是“DNS 泄露”。
先说结论：机场节点能加密您和节点之间的流量，但“查域名”这一步，如果 DNS 设置不对，仍可能走本地网络。好消息是，Clash（mihomo 内核）自带的 DNS 功能就能处理，关键是把几个字段配对。小编对照 MetaCubeX 官方文档（wiki.metacubex.one，页面标注日期 2026 年 7 月）整理了这篇，讲清原理、给出可抄的思路，并附上自查办法。
一、什么是 DNS 泄露？一句大白话
您输入一个网址，设备要先问“DNS 服务器”：这个域名对应哪个 IP？这一问，就叫 DNS 查询。
正常情况下，使用代理时，这个查询应该也交给节点那一端去办。如果查询还是发给了本地运营商（或路由器默认 DNS），对方就能看到您在查哪些域名，这就是 DNS 泄露。
泄露带来的麻烦主要有三类：
- 隐私：本地网络能看到您解析过的域名列表，即使内容本身是加密的；
- 污染：本地 DNS 返回错误或被篡改的结果，导致网站打不开，或者连到错误地址；
- 分流错乱：国内网站被解析到境外 IP，访问变慢；境外网站被解析到国内 IP，直接连不上。
需要说明的是，DNS 泄露不等于“节点被看穿”。它只是暴露了“查询了哪些域名”这一层信息。想了解机场和普通 VPN 的整体差别，可以先看站内这篇：机场和VPN有什么区别？国内用户怎么选（2026）。
二、为什么用了机场还会泄露？4 个常见原因
| 原因 | 怎么回事 | 典型表现 |
|---|---|---|
| DNS 没走代理 | 只代理了浏览器等应用的流量，系统 DNS 仍然直发给运营商 | 系统代理模式下最常见 |
| 规则外的域名走了直连 DNS | 规则模式下，没命中代理规则的域名由本地解析 | 某些境外站偶尔打不开 |
| 浏览器自带 DNS | 浏览器开启了“安全 DNS”（DoH），绕过了 Clash 的设置 | 改了 Clash 配置，检测结果没变 |
| IPv6 查询漏网 | IPv4 走了代理，IPv6 解析却走了别处 | 检测页出现不属于节点的 DNS 地址 |
顺带一提，不同工作模式对 DNS 的处理也不一样。规则、全局、直连三种模式的区别，站内已有讲解：Clash 规则、全局、直连模式有啥区别？怎么选不卡（2026）。
三、先学会自查：3 步看有没有泄露
- 开着代理，用搜索引擎搜“DNS leak test”，打开任意一个 DNS 泄露检测页面（Cloudflare、ControlD、Surfshark、NordVPN 等厂商都提供免费检测页）。选择标准检测，等结果出来；
- 看结果里列出的 DNS 服务器归属。如果出现了您本地运营商（例如您家宽带所属的公司），说明发生了泄露；如果显示的是节点所在地区的公共 DNS 或服务商，通常说明查询已经走了代理；
- 关掉代理再测一次，对比两次结果。两次一样，基本就是 DNS 没跟着代理走。
小提醒：不同检测站的方法和判断标准不完全一致，小编建议至少用两个站交叉看。检测页面本身也是第三方网站，不要在上面输入任何账号或订阅信息。
四、Clash（mihomo）DNS 关键字段怎么理解
下面的说明依据官方文档。咱们只讲和防泄露最相关的几个，不求面面俱到。
| 字段 | 作用（大白话） | 官方说明要点 |
|---|---|---|
| enhanced-mode | DNS 处理模式，可选 fake-ip 或 redir-host | 文档标注默认值为 redir-host，建议自己显式写明 |
| fake-ip-range | fake-ip 用的“假地址”段 | 示例为 198.18.0.1/16 |
| fake-ip-filter | 不用假地址的域名名单 | 支持通配符；局域网域名常放这里 |
| nameserver | 默认的域名解析服务器 | 可写 DoH、DoT 等加密 DNS |
| default-nameserver | 用来解析“其他 DNS 服务器自己的域名” | 文档要求必须是 IP |
| proxy-server-nameserver | 专门解析代理节点的域名 | 避免“先要连节点才能解析节点域名”的死循环 |
| nameserver-policy | 按域名指定不同的解析器 | 优先于 nameserver 和 fallback，可用 geosite |
| direct-nameserver | 直连流量的域名解析 | 留空则依次沿用 nameserver-policy、nameserver、fallback |
| ipv6 | 是否解析 IPv6 | 文档说明为 false 时，AAAA 查询返回空结果 |
1. fake-ip 和 redir-host 有什么不同
简单讲：redir-host 会先真实解析出 IP，再按 IP 去走规则；fake-ip 则是先给应用一个“假 IP”，真正要连的时候，再由 Clash 按域名去处理。
fake-ip 的好处是，应用拿到的是假地址，不会在本地先发一次真实查询，所以更不容易泄露，也少了一次等待。代价是个别软件（比如局域网设备发现、某些游戏）可能不认假地址，这时就要靠 fake-ip-filter 把它们排除出去。
2. 为什么要单独设 proxy-server-nameserver
很多机场的节点地址是域名。要连上节点，得先解析这个域名；但解析又不能依赖尚未连上的节点，这就是官方所说的“先有鸡还是先有蛋”问题。给它配一个独立的解析器，就能绕开这个死循环。如果您遇到订阅更新失败、节点全部超时，也建议顺便看看这里，排查思路可参考：Clash 订阅更新失败怎么办？7 步排查（2026）。
3. nameserver-policy：让国内外域名各走各的
这个字段能按域名指定不同解析器。官方示例里，用 rule-set 或 geosite 把国内域名指向国内 DoH，其余走默认。这样国内站不会被解析到境外 IP，境外站则交给默认的、更干净的解析路径。注意：官方文档提到 fallback-filter 里的 geosite 子项已弃用，应改用 nameserver-policy。
五、一份可参考的配置思路
以下片段的结构取自官方示例，并做了简化。具体的 DoH 地址、规则集名称，请按您订阅配置里已有的来，不要照抄后直接覆盖。
dns:
enable: true
ipv6: false
enhanced-mode: fake-ip
fake-ip-range: 198.18.0.1/16
fake-ip-filter-mode: blacklist
fake-ip-filter:
- '*.lan'
default-nameserver:
- 223.5.5.5
nameserver:
- https://doh.pub/dns-query
- https://dns.alidns.com/dns-query
proxy-server-nameserver:
- https://doh.pub/dns-query这段配置的意思是：开启 DNS，用 fake-ip 模式；局域网域名不用假地址；用 IP 形式的 DNS 去解析加密 DNS 自己的域名；节点域名由单独的解析器负责。
几点注意：
- 这里的 nameserver 用的是国内公共 DoH，本意是让国内域名解析得准。境外域名想走代理解析，需要配合 nameserver-policy 或 fallback，具体取舍看您的订阅配置；
- 官方文档提示：respect-rules 和 prefer-h3 同时使用“强烈不建议”；
- 网上教程对默认值的描述不完全一致（比如 enhanced-mode 默认值），拿不准就显式写出来，别依赖默认；
- 直接改订阅配置的话，订阅更新后可能被覆盖。Clash Verge Rev 等客户端支持“覆写”功能，改在那里更稳妥。
六、不同平台怎么落地
Windows 和 Mac 用户，常见的是 Clash Verge Rev。想让 DNS 真正“全程跟着走”，通常需要打开 TUN 模式，让系统层面的流量都进入 Clash，再在设置里启用 DNS 覆写。安装与订阅导入可参考：Windows 怎么用机场？Clash Verge Rev 安装与导入订阅（2026），以及 Mac 怎么用 Clash Verge Rev？下载、导入订阅、开 TUN 一篇讲清（2026）。
安卓用户常用 FlClash、Clash Meta 等客户端，同样要确认 DNS 选项已启用，并开启对应的 VPN 服务模式。步骤可看：安卓 Clash 怎么用？FlClash 与 Clash Meta 导入订阅教程（2026）。
浏览器方面，Chrome、Edge、Firefox 都有“使用安全 DNS”一类的选项。如果它指向某个固定的 DoH 服务器，浏览器的查询就可能绕开 Clash。想让浏览器完全听 Clash 的，可以把这个选项关闭，或设为“使用系统默认”。
七、配好之后怎么验证
- 保存配置，重启 Clash 内核；
- 清一下系统 DNS 缓存（Windows 可在命令提示符运行 ipconfig /flushdns），并重启浏览器；
- 重新做第三节的泄露检测，对比结果；
- 再打开几个常去的国内网站和境外网站，确认都能正常访问、速度没有明显变差；
- 如果某个软件突然连不上，先怀疑 fake-ip，把它的域名加到 fake-ip-filter 里再试。
八、要提醒您的几件事
- 防泄露只解决“域名查询”这一层，不代表匿名。您登录的账号、使用的服务，本身仍可能被识别；
- 机场服务商可能跑路或停服，建议按月购买，不要一次付太久；
- 订阅链接相当于您的“钥匙”，不要发给别人，也不要在检测页里粘贴。万一泄露，可参考：机场订阅链接泄露了怎么办？Clash、小火箭订阅安全自查（2026）；
- 本文只讲设置原理，不提供任何测速或“解锁成功率”数据，因为这些数据因线路、时间而异，小编没法保证；
- 请遵守您所在地的法律法规。本文不构成法律意见。
常见问题（FAQ）
Q1：DNS 泄露检测显示了我的运营商，一定是泄露吗？
大概率是。但不同检测站的口径不同，建议开关代理各测一次，再换一个站交叉验证，别只看一个结果。
Q2：开了 fake-ip，有些软件打不开了怎么办？
把这些软件用到的域名加进 fake-ip-filter，让它们返回真实 IP 即可。局域网设备、部分联机游戏最常见。
Q3：只开“系统代理”，不开 TUN，会泄露吗？
有可能。系统代理只管支持代理设置的应用，不是所有程序都会按它走，其他程序的 DNS 查询可能直接发给本地。想更彻底，可以开 TUN 模式。
Q4：ipv6 要不要关？
如果您的节点和网络没有可用的 IPv6，关掉能减少漏网的可能。官方文档说明，ipv6 设为 false 时，AAAA 查询会返回空结果。具体要不要关，取决于您的实际网络。
Q5：小火箭、iPhone 上也要这样设置吗？
原理一样，但客户端的设置项不同。iPhone 上 DNS 设置入口在应用自己的配置里，本文的字段是 mihomo（Clash Meta）内核的写法，不能直接照搬。
总结
DNS 泄露不是机场“坏了”，多数是 DNS 没跟着代理走。先用检测页确认，再用 fake-ip、proxy-server-nameserver、nameserver-policy 这几个字段把解析路径理顺，最后重新检测。拿不准的默认值就显式写出来，改动放在“覆写”里，避免订阅更新后丢失。
参考来源：MetaCubeX 官方 mihomo DNS 配置文档（小编查阅于 2026 年 11 月 10 日，页面标注日期 2026 年 7 月 18 日）；第三方教程 Argsment mihomo DNS 页与官方文档在个别默认值上描述不一致，本文以官方为准。