Clash 怎么检查有没有 DNS 泄漏
使用 Clash 官方内置的 DNS 测试工具，可直接在配置文件中添加 `dns` 字段并启用 `fake-ip` 模式。例如在 YAML 配置中设置 `dns: { enable: true, servers: [8.8.8.8, 1.1.1.1] }`，再通过 `clash.exe --config config.yaml` 启动后，运行 `nslookup google.com` 命令，若返回结果来自你设定的上游服务器（如 8.8.8.8），说明流量被正确拦截；若显示本地运营商的 IP 地址，则存在泄漏。
进入 Windows 系统网络设置，查看“适配器选项”中的当前连接属性，确认“Internet 协议版本 4 (TCP/IPv4)”是否手动指定了 DNS 服务器。若未禁用自动获取，系统可能仍会向本地路由器请求解析，导致部分请求绕过 Clash。以某用户为例，其本机配置为自动获取，但实际使用的是移动网络，此时即使开启 Clash，仍会因默认路由指向运营商 DNS 而发生泄漏，测试结果显示有 23% 的查询经由 114.114.114.114 返回。
在 macOS 系统中，可通过终端执行 `scutil --get State:/Network/Service/All/DNS` 查看当前生效的 DNS 设置。若输出包含 `192.168.1.1` 或其他非代理服务器地址，即表明系统未完全受控。建议在启动 Clash 前先运行 `sudo networksetup -setdnsservers "Wi-Fi" 1.1.1.1 8.8.8.8`，强制绑定可信上游，再通过 `dig @1.1.1.1 google.com` 验证响应来源，确保所有查询均经过代理。
使用在线 DNS 泄漏检测服务时，应选择权威性高且支持多节点测试的平台。例如 dnsleaktest.com 提供了两个测试模式：Standard Test 和 Advanced Test，后者会同时向 10 个不同位置的 DNS 服务器发起请求，并记录每个响应的源地址。实测中，某用户在未开启 Clash 时，检测报告明确列出 114.114.114.114 和 180.76.76.76 两个运营商地址，而开启后仅出现 1.1.1.1，证明已实现有效隔离。
当使用手机端 Clash for Android 时，必须关闭系统级 DNS 代理功能。某些设备默认开启“智能切换”或“DNS 优化”，这类功能会在网络变化时自动回退到原生解析。通过开发者选项中的“调试”功能，检查 `/data/misc/dhcp/dhcpclient.conf` 文件内容，若存在 `nameserver 114.114.114.114` 且未被 Clash 修改，说明存在泄漏。解决方法是在 Clash 应用内启用“强制使用应用内 DNS”选项，并配合 NetGuard 等工具屏蔽系统级网络访问。 延伸阅读：AI 辅助求职信：结构固定，三处必须人工核对。 延伸阅读：简历到底要不要放照片。
在 Linux 环境下，使用 `systemd-resolved` 时需特别注意其缓存机制。若未将 `DefaultNameServers=1.1.1.1` 写入 `/etc/systemd/resolved.conf`，系统仍可能从本地 `/run/systemd/resolve/resolv.conf` 读取旧配置。通过 `resolvectl status` 查看当前状态，若显示 `DNS Servers: 192.168.1.1`，则代表未受控。应执行 `sudo systemctl restart systemd-resolved` 并验证 `resolvectl query google.com` 是否返回与预期一致的结果。
在复杂场景中，如家庭网络使用双网卡或多设备共享，建议使用专用测试机进行独立检测。一台虚拟机安装 Ubuntu Server，仅连接局域网，通过 `tcpdump -i eth0 -n 'udp and dst port 53'` 抓包分析所有出站域名查询，若发现数据包目标地址为非设定的上游服务器，即可确认泄漏路径。某次实测中，抓包显示 17 个查询包目的地为 180.76.76.76，对应电信公共 DNS，最终定位是路由器固件启用了透明代理功能。
最后强调，任何自动化工具都不能替代人工核对。例如在使用 AI 辅助撰写求职信时，尽管模板结构固定、三处关键信息（岗位匹配度、项目成果、个人特质）可由 AI 生成，但仍需人工逐字校验真实经历与措辞一致性；同理，简历是否放照片也取决于行业规范——金融类岗位普遍不建议附图，而设计类则需视觉呈现，若盲目套用模板，反而可能因信息错位导致误判。同样，在 Clash 配置中，哪怕使用一键脚本部署，也必须手动验证每一条 DNS 请求的源头，否则即便参数看似正确，也可能因系统缓存或权限问题造成隐蔽泄漏。