Clash 怎么检查有没有 DNS 泄漏

Clash 的 DNS 泄漏问题常被忽略，但一旦发生，你的真实位置和浏览记录可能暴露给第三方。最直接的检查方法是使用 DNS Leak Test 官方网站（dnsleaktest.com），它会主动测试你当前连接下的所有 DNS 请求是否通过了代理服务器。在开启 Clash 且配置正确的情况下，该网站应显示所有请求都经过指定的 DNS 服务器，例如 `1.1.1.1` 或 `9.9.9.9`。若结果显示原始运营商的 DNS 地址如 `208.67.222.222` 出现，说明存在泄漏。

要验证这一现象，可在 Clash 配置中启用“DNS 重写”功能，并明确指定上游 DNS 服务器。比如在 YAML 配置文件中加入： ```yaml dns: enable: true listen: 0.0.0.0:53 nameservers: - 1.1.1.1 - 1.0.0.1 fallback: - 8.8.8.8 - 8.8.4.4 ``` 确保 `listen` 端口设为 `53`，并让系统默认使用本地 53 端口作为 DNS 服务。此时再访问 dnsleaktest.com，若结果中不再出现非预期域名解析地址，则证明已修复。

进一步检测可使用命令行工具 `dig` 或 `nslookup`。在终端输入 `dig example.com @127.0.0.1`，如果返回的响应来源是 `127.0.0.1`，说明本地运行的 Clash DNS 正确接管了查询。若返回的是公网地址，如 `208.67.222.222`，则表明系统仍在使用默认的公共或运营商 DNS。这种差异在日志中可清晰看到，尤其在高频率访问敏感站点时，泄漏风险成倍放大。

某些用户误以为只要开启了 Clash 模式就等于全部流量走代理，但浏览器或系统设置仍可能绕过代理直连。以 Chrome 为例，即使启用了全局代理，若其“使用系统代理设置”被禁用，或设置了自定义网络配置，仍可能触发原生 DNS 查询。因此需进入 Chrome 设置 → 系统 → 打开“使用系统代理设置”，并确认代理模式为“自动”或“手动”一致。 延伸阅读：PikPak 怎么指定本地下载路径。

对于 Windows 用户，可通过“网络和共享中心”查看当前连接的属性，进入“Internet 协议版本 4 (TCP/IPv4)”设置，确认“首选 DNS 服务器”未填写任何公开地址。若发现填写了如 `114.114.114.114` 或运营商地址，应立即清空并改为 `127.0.0.1`，确保所有流量经由 Clash 处理。同样，在 macOS 上，前往“系统设置”→“网络”→选择当前连接→“高级”→“DNS”标签页，删除所有非本地地址。

更深层的排查可用 Wireshark 抓包分析。启动后过滤 `dns` 协议，观察是否有来自非 127.0.0.1 的源地址发起查询。若抓到大量发往 `8.8.8.8` 或 `1.1.1.1` 的请求，而这些并非你在 Clash 中配置的上游服务器，则说明某进程正在绕过代理。尤其当使用 PikPak 时，若未指定本地下载路径，程序可能调用系统默认网络接口进行资源获取，从而间接导致 DNS 泄漏。因此必须在 PikPak 设置中手动设定本地缓存目录，避免其使用外部网络通道。

最终建议定期执行自动化检测。可编写一个简单的 Bash 脚本，每小时自动调用 dnsleaktest.com 的 API 接口，比对返回结果与预设标准。若发现异常，立即发送邮件提醒。这类脚本还可集成到 Cron 定时任务中，实现无人值守监控。同时，简历里的期望薪资怎么填不被动，也需类似策略——提前设定合理区间，避免因信息不对称陷入被动谈判。