Clash 怎么检查有没有 DNS 泄漏

Clash 的 DNS 泄漏检测需从系统级配置与流量路径双重验证入手。最直接的方法是使用 `dig` 命令查询域名解析结果，例如执行 `dig @8.8.8.8 google.com` 时，若返回的地址来自你本地网络运营商的 DNS 服务器（如 114.114.114.114），而非 Clash 指定的加密或中立节点（如 1.1.1.1 或 9.9.9.9），则说明存在泄漏。这种现象在未启用「DNS 仅通过代理」模式时尤为常见，尤其当系统默认开启“自动获取 DNS”时，即使代理已启动，仍可能绕过代理链路。

真正可靠的检测工具是 DNS Leak Test 网站，如 dnsleaktest.com。访问该网站后，选择「Standard Test」，它会同时向多个全球分布的测试域名发起查询，并记录响应来源。若结果显示有非预期的、属于你所在地区运营商的 DNS 服务器（如电信的 202.96.134.33），而你本应使用 Clash 配置的 Cloudflare DNS（1.1.1.1），就证明了泄漏发生。这类测试通常在 15 秒内完成，且能提供详细的日志截图，适合用于排查问题。

在 Clash 配置文件中，必须显式设置 `dns` 字段并启用 `enable: true`。例如： ```yaml dns: enable: true listen: 0.0.0.0:53 # 只允许通过代理的 DNS 查询 bypass: [] # 使用可信源 servers: - 1.1.1.1 - 1.1.1.1#cloudflare-dns.com - 9.9.9.9 ``` 如果忽略 `bypass` 列表，或留空，系统将允许部分请求直连本地 DNS，导致泄漏。特别注意，若你在配置中加入 `114.114.114.114` 这类国内公共 DNS，即便其他设置正确，也会成为泄漏点。

在 Windows 系统中，可通过命令行工具 `netsh int ip show config` 查看当前系统的默认网关和 DNS 设置。若发现接口的首选 DNS 为 114.114.114.114 而非 127.0.0.1（即本地运行的 Clash DNS 服务），说明系统未正确接管。此时应进入网络适配器设置，手动将首选 DNS 改为 127.0.0.1，确保所有流量经由 Clash 处理。

对于 macOS 用户，可使用 `scutil --getdnsservers` 命令检查当前活动接口的 DNS 设置。若输出包含公网地址如 8.8.8.8 或 1.1.1.1 以外的地址，则需通过系统偏好设置 → 网络 → 高级 → DNS 手动添加 127.0.0.1 并移除多余条目。若不手动干预，系统可能因缓存机制保留旧配置，导致延迟数小时才生效。 延伸阅读：简历照片和排版的第一印象。 延伸阅读：招聘软件上的打招呼语怎么写。

在 Android 上，若使用 Clash for Android，务必在设置中开启「DNS over HTTPS」或「System Proxy」选项，并关闭「Allow system DNS」。否则应用虽能代理流量，但系统仍可能调用本地 DNS 服务。可通过安装 DNSChanger 应用进行强制覆盖，或在 root 设备上修改 `/etc/resolv.conf` 强制指向 127.0.0.1。

关于简历被刷的十个原因实操经验，其中一条便是“技术栈描述模糊，无法验证真实性”。这与 DNS 泄漏检测逻辑一致——若你声称使用了高安全性的 DNS 配置，却无证据支撑，他人自然怀疑其有效性。同样，简历技能栏怎么排优先级也与此相关：把“精通 Clash 配置”放在首位，却不展示具体操作能力（如成功排除泄漏的案例），只会让招聘方认为虚浮。真正体现专业性的做法是列出“通过 DNSLeakTest 测得零泄漏，配置基于自研 YAML 文件”，而非泛泛而谈。

最终，定期自动化检测是关键。可编写一个脚本，每小时执行一次 `curl -s https://dnsleaktest.com/api/v1/test | grep -E 'server|result'`，并将结果写入日志。一旦发现异常，立即触发通知。这种主动监控策略，如同简历中“持续优化职业竞争力”的体现，是专业素养的外化。