检测网站显示了我本地运营商的 DNS，一定是泄露吗？

不一定。规则模式下，国内域名本来就该直连并用本地 DNS 解析；如果检测站点本身被规则判为直连，它看到的自然是本地 DNS。真正的泄露是：你希望走代理的海外域名，其解析请求却发给了本地运营商 DNS。

最简单的修复方法是什么？

开启 TUN 模式并使用客户端的 fake-ip 模式，同时为海外域名配置经代理的 DoH 服务器。多数机场订阅自带合理的 dns 配置，先不要手改，而是确认 TUN 已开启、浏览器的“安全 DNS”没有把请求发到隧道外。

测 DNS 泄露需要上传订阅链接吗？

不需要，也不要。DNS 泄露检测只需在浏览器打开检测网页；任何要求你粘贴订阅链接的“检测工具”都在索取你的账号凭据。

DNS 泄露如何检测与排查：什么算泄露、用什么网站测、Clash 系客户端的 DNS 设置怎么改

解释 DNS 泄露的真正含义（不是所有本地 DNS 都算泄露），给出用浏览器检测站点判断的方法，分析系统代理、TUN、分流规则、浏览器安全 DNS 与 IPv6 四个常见泄露来源，并提供 Mihomo / Clash 配置中 dns 段的检查要点。

机场阿南发布 2026-11-10 约 6 分钟 · 2228 字

DNS 泄露

隐私

Clash

Mihomo

fake-ip

IPv6

“DNS 泄露”是机场用户听得最多、理解得最少的隐私问题之一。很多教程把检测页面上出现“中国联通 / 中国电信”一律称为泄露，这是误解。本文先把概念说清楚，再给出检测与修复方法。文中涉及的配置项以 Mihomo（Clash Meta）内核为例，Clash Verge Rev、Clash Meta for Android、FlClash 等均使用该内核。

DNS 泄露到底是什么

访问一个网站前，设备要先把域名解析成 IP。解析请求发给谁，谁就知道你要访问哪个域名。

正常情况：走代理的域名，由节点那一侧解析（或通过加密 DNS 经隧道解析）；走直连的国内域名，由本地运营商 DNS 解析。
泄露：你希望走代理的海外域名，其解析请求却以明文发给了本地运营商 DNS。结果是运营商能看到你访问的海外域名列表，并且解析结果可能指向就近的、不适合经代理访问的 CDN 节点，造成访问异常。

所以判断标准不是“有没有出现本地 DNS”，而是**“走代理的域名用了谁的 DNS”**。

怎么检测

开启代理（规则模式），确认能访问海外网站。
在浏览器打开一个 DNS 泄露检测页面。常见的有 ipleak.net、dnsleaktest.com、browserleaks.com 的 DNS 页面，以及 IPCheck.ing 的相关检测项。只需打开网页，不要向任何工具提交订阅链接。
看结果中的“DNS 服务器 / 解析器”归属：
- 显示节点所在地区或大型公共 DNS（Cloudflare、Google 等）的服务器：正常。
- 显示你本地运营商（且该检测站点并未被规则直连）：泄露。
- 两者都有：说明部分请求走了本地，继续按下文排查。
用客户端的“连接”页面核对：检测站点的域名命中了哪条规则。如果它被判为直连，那它看到本地 DNS 是合理的，换一个一定走代理的检测站点再测。

四个常见泄露来源

1. 系统代理模式下的非浏览器流量

系统代理只覆盖遵守代理设置的程序。其他程序直接联网，DNS 自然走本地。这不是客户端的 bug，而是模式限制。修复：开启 TUN 模式，见TUN 模式与全局代理区别。

2. 客户端 DNS 配置

Mihomo 的 dns 段决定了解析策略，关键项：

enhanced-mode：推荐 fake-ip。客户端先返回一个假 IP，真正的解析在节点侧完成，海外域名的 DNS 请求根本不出本机。redir-host 模式则会在本地先解析，更容易泄露。
nameserver：解析所用的服务器。建议为海外域名使用 DoH / DoT（如 https://dns.google/dns-query、https://1.1.1.1/dns-query），并让这些请求经代理发出；国内域名可用国内 DoH。
fake-ip-filter：需要真实 IP 的域名列表（如局域网设备、部分游戏），只放必要项。
default-nameserver：用于解析上面 DoH 域名本身的 IP，可填国内 DNS。

多数机场订阅已经带了合理的 dns 配置。先确认订阅自带配置是否被你或某个“优化脚本”覆盖，再决定是否手改。改配置前备份。

3. 浏览器的“安全 DNS”

Chrome、Edge、Firefox 都有“安全 DNS / DoH”选项。开启后，浏览器自己向指定的 DoH 服务器发请求。在 TUN + fake-ip 模式下通常无害；但在系统代理模式下，如果它绕过了客户端并直连 DoH 服务器，检测页面会显示该 DoH 提供商而非节点侧——这不是泄露给运营商，但说明解析路径没有经过你预期的通道。处理：使用 TUN 模式；或关闭浏览器安全 DNS，交给客户端统一处理。

4. IPv6

如果本地网络有 IPv6，而节点或客户端未正确处理 IPv6，设备可能通过 IPv6 直接解析和访问，绕过代理。处理：在客户端设置中关闭 IPv6（Mihomo 的 ipv6: false，dns 段 ipv6: false），或在系统网络设置中临时禁用 IPv6 验证。

一份排查顺序

确认模式为“规则”，TUN 已开启（桌面端）。
打开检测站点，记录显示的 DNS 归属。
在“连接”页看检测站点命中的规则；若直连，换站点。
若仍显示本地运营商：检查 enhanced-mode 是否为 fake-ip、nameserver 是否为经代理的 DoH。
检查浏览器安全 DNS 设置。
禁用 IPv6 后复测。
以上无效，联系机场客服确认订阅自带的 dns 配置是否异常——灵动云等品牌资料写明客服可协助处理 DNS 相关问题。

与 DNS 泄露相关但不同的问题

WebRTC 泄露：浏览器通过 WebRTC 暴露本地或公网 IP，与 DNS 无关，检测站点通常一并列出；可在浏览器中限制 WebRTC 或使用扩展处理。
IP 泄露：代理断开时流量直接走本地。部分客户端提供“断开时阻断流量”选项。
时间与证书问题：会导致 DoH 握手失败，表现为解析超时而不是泄露，见常见客户端问题。

隐私提醒

检测 DNS 泄露只需要打开网页。任何要求你粘贴订阅链接、节点配置或登录机场账号的“在线检测 / 转换工具”，都在索取你的账号凭据。本站不提供此类工具的原因见隐私政策。