Clash DNS 怎么设置？Fake-IP 与 Redir-Host、防 DNS 泄露配置详解

很多「Clash 时好时坏」「国内网站变慢」「某个网站死活打不开」的问题，根源都在 DNS。这篇用尽量直白的方式讲清楚 Clash 的 DNS。

一、为什么 DNS 很重要

访问网站的第一步是把域名解析成 IP。这一步如果：

• 被污染：拿到错误的 IP，网站打不开；
• 走错了服务器：国内网站被解析到海外节点附近，速度变慢；
• 以明文发给本地运营商：你访问了哪些网站会被看到，这就是「DNS 泄露」。

Clash 接管 DNS 的目的，就是解决这三个问题。

二、Fake-IP 与 Redir-Host

	Fake-IP	Redir-Host
原理	先返回一个假 IP，真正连接时再按域名处理	先真实解析出 IP，再按规则处理
速度	快，省去等待解析的时间	稍慢
兼容性	少数应用异常	兼容性更好
推荐	大多数人首选	Fake-IP 出问题时再用

Fake-IP 的假 IP 默认在 198.18.0.0/16 段。如果你在命令行里 ping 某个网站看到 198.18.x.x，这是正常现象。

三、推荐的 DNS 配置（Mihomo）

dns:
  enable: true
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  fake-ip-filter:
    - '*.lan'
    - '+.local'
    - 'time.*.com'
  # 用于解析 DNS 服务器自身域名的普通 DNS
  default-nameserver:
    - 223.5.5.5
    - 119.29.29.29
  # 默认使用的加密 DNS（国内）
  nameserver:
    - https://dns.alidns.com/dns-query
    - https://doh.pub/dns-query
  # 解析代理节点域名用的 DNS
  proxy-server-nameserver:
    - https://dns.alidns.com/dns-query
  # 国外网站交给海外 DNS
  nameserver-policy:
    'geosite:geolocation-!cn':
      - https://1.1.1.1/dns-query
      - https://8.8.8.8/dns-query

这段配置的思路：

1. 默认用国内的加密 DNS，国内网站解析又快又准；
2. 国外网站（geolocation-!cn）交给海外 DoH，避免污染；
3. 全部使用 DoH（https://），运营商看不到明文查询。

在 Clash Verge Rev 中，可以通过「扩展覆写配置」写入 dns: 段，订阅更新也不会丢失，方法同 Clash 规则怎么写。

四、fake-ip-filter：解决个别应用异常

如果开启 Fake-IP 后出现：

• 局域网设备（NAS、打印机）访问不了；
• 某些游戏或应用登录失败；
• 系统时间同步失败；

把相关域名加入 fake-ip-filter，它们就会拿到真实 IP。语法：+.example.com 匹配所有子域名，*.example.com 匹配一级子域名。

五、检测 DNS 泄露

1. 开启 Clash（规则模式），打开 browserleaks.com/dns 或 dnsleaktest.com；
2. 运行检测，看列出的 DNS 服务器归属：
   • 只看到海外服务商（如 Cloudflare、Google）或机场节点所在地：没有泄露；
   • 出现你本地运营商（如「China Telecom」）：存在泄露。

出现泄露时，检查：

• 浏览器是否开启了「安全 DNS」并指向国内服务商（可关闭，让 Clash 接管）；
• 是否开启了 TUN 模式并启用了 DNS 劫持（不开 TUN 时，部分应用会绕过 Clash 自己查 DNS）；
• nameserver-policy 是否覆盖到了你访问的网站。

六、常见问题对照

现象	可能原因	处理
国内网站变慢	国内域名用了海外 DNS	确认 nameserver 是国内 DNS
某网站开代理也打不开	DNS 被污染	将该域名加入 nameserver-policy 走海外 DNS
局域网设备访问异常	Fake-IP	加入 fake-ip-filter
检测到 DNS 泄露	浏览器安全 DNS / 未开 TUN	见上一节

更多排查方法见 Clash 常见问题，TUN 的原理见 代理模式详解。