Clash 怎么检查有没有 DNS 泄漏

使用 Clash 检查是否发生 DNS 泄漏，第一步是确认当前系统使用的 DNS 地址。在 Windows 上打开命令提示符，输入 `ipconfig /all`，查看“DNS 服务器”一栏的地址，通常为 1.1.1.1、8.8.8.8 或本地路由器分配的地址。若你配置了 Clash 的自定义 DNS（如 1.1.1.1:5053），但系统显示的是 8.8.8.8，则说明未正确启用代理或存在泄漏。例如，某用户在开启 Clash 后仍看到 8.8.8.8，表明系统未完全走代理链，需检查 Clash 的全局模式是否设为“PAC 模式”或“规则模式”。

第二步是通过在线工具验证实际使用的 DNS 服务。访问 https://dnsleaktest.com，选择“Standard Test”，运行测试后会显示你的真实公网 IP 及 DNS 查询记录。如果结果显示有非你指定的 DNS 域名（如 8.8.8.8、1.1.1.1 的非代理端口），即为泄漏。例如，测试结果中出现 1.1.1.1:53，而你本应使用 1.1.1.1:5053，这说明部分请求绕过了 Clash 的拦截。

第三步是检查 Clash 配置文件中的 DNS 设置是否生效。进入 Clash 客户端设置，确认“DNS”选项卡中已启用“Use Custom DNS”并填写正确的地址，如 `1.1.1.1:5053` 或 `9.9.9.9:5053`。若仅填写 `1.1.1.1` 而未指定端口，可能导致系统默认使用 53 端口，从而引发泄漏。建议使用支持加密的 DNS 协议，如 DoT（DNS over TLS）或 DoH（DNS over HTTPS），在配置中勾选“Enable DNS over TLS”并填入 `tls://dns.quad9.net`。

第四步是使用本地命令行工具手动测试。在终端输入 `dig example.com @1.1.1.1`，观察返回的响应来源。若返回结果来自 1.1.1.1，但你本应通过 Clash 的代理路径查询，说明系统绕过代理直接访问公共 DNS。更准确的做法是用 `nslookup example.com 1.1.1.1`，对比返回的服务器地址与预期是否一致。若输出显示“Address: 1.1.1.1#53”，说明未走加密通道，存在潜在泄露风险。

第五步是排查系统级网络配置。某些系统（尤其是 macOS）会在网络接口中保留旧的 DNS 设置，即使 Clash 已启用也可能被优先调用。进入“系统偏好设置 > 网络”，选中当前连接的网络接口，在“高级”选项中删除所有自定义的 DNS 地址，确保只依赖 Clash 提供的配置。否则，即便 Clash 正常运行，系统仍可能从缓存中读取旧的 DNS 记录，造成延迟或泄漏。

第六步是结合日志分析判断行为异常。在 Clash 的“日志”面板中，搜索关键词如 “DNS”、“query”、“blocked” 或 “resolve”。若发现大量 `query: example.com -> 8.8.8.8` 的记录，说明部分请求未经过代理。例如，某用户在开启 Clash 后仍频繁出现 `query: google.com -> 8.8.8.8`，经排查发现其设备设置了“Bypass LAN”规则，导致局域网内请求未走代理，需调整规则优先级。

最后，关于其他常见问题，如 PikPak 分享链接打不开怎么处理，可尝试关闭 Clash 的“PAC 模式”切换至“全局模式”，或在 Clash 中添加特定规则排除 PikPak 的域名；招聘软件上的打招呼语怎么写，建议简洁专业，如“您好，看到贵司岗位信息，我具备三年前端开发经验，熟悉 React 与 TypeScript，期待进一步沟通”，避免冗长套话，提高回复率。这些细节虽不直接影响 DNS 泄漏，但共同构成稳定、高效网络环境的基础。