03 DNS 与防泄漏进阶必读阅读约约 5 分钟更新于 2026-11-11 · 对齐 10 家实测

机场 DNS 设置详解：DoH 加密、Fake-IP 分流与防污染指南

如果说专线是高速路，DNS 就是路口指路牌。指路牌错了（被污染），车再快也开进死胡同。弄清「国内走国内、海外走境外 Fake-IP」一条核心准则就够用一辈子。

核心结论速览（TL;DR）

核心原则：国内域名由国内 DoH 解析保证秒开国内 CDN，海外域名交由远程代理服务器解析彻底防污染。
Fake-IP 首选：Clash Verge / Shadowrocket 优先保持 Fake-IP + 规则分流，网页打开最快、最防 DNS 泄漏。
不要乱改网卡：电脑本地系统网卡保留默认自动 DNS，避免和浏览器安全 DNS / 客户端形成死循环冲突。

Fake-IP主流防污染引擎本地零真实海外解析、响应最快

DoH加密 DNS 协议防止运营商明文劫持与窥探

禁用浏览器 DoH排障最常见杀手避免 Chrome 安全 DNS 绕过客户端

系统保持自动网卡 DNS 设置铁律统一交给客户端全权分流接管

本篇目录：DNS 污染与内外分流链路 Fake-IP vs Redir-Host 对比一键复制 DoH 与配置片段五大异常速查排障常见问题

为什么 DNS 一配错，「节点延迟 30ms」照样打不开国外网站？

访问一个网址永远分两步：① DNS 查询（问清楚域名背后的目标 IP）→ ② 建立连接。如果第一步就在国内本地宽带遭到了「DNS 污染」（返回了虚假海外 IP 或无法联通的内网 IP），后续哪怕专线通道通天也无济于事；反过来若把国内域名（淘宝/支付宝）塞给境外远端 DNS 解析，则会把国内网站路由解析去海外 CDN，导致看国内网页反而卡半天。

错误配法（易污染/慢）本地直接直连查询海外域名→返回被污染错误 IP / 泄露访问记录

正确内外分流 / Fake-IP国内域名 → 本地阿里/腾讯 DNS 快速直连→海外域名 → Fake-IP 假 IP 交由境外节点远程真实解析!

Clash 系最核心两种模式：Fake-IP vs Redir-Host 怎么选

对比特性	Fake-IP 模式（现代主流默认）	Redir-Host 模式（传统直连解析）
工作机制	客户端瞬间下发 `198.18.x.x` 假内网 IP 骗过浏览器，把真实域名打包给远程服务端解析	本地通过并发 DoH DNS 请求拿到真 IP 再匹配路由分流
防 DNS 污染 / 泄漏表现	几乎 100% 物理根治污染与泄漏	依赖 DoH 配置与分流规则严密性，易踩坑
网页首屏响应耗时	极快（省去了本地跨网等待 DNS 往返）	需多等 1 个 DNS 解析往返耗时
适用冲突与取舍	极少数需要真实局域网回环的 BT/PT 下载软件或内网开发需排除域名	适合必须本地精准拿真 IP 做调试的软路由或特殊 NAS 场景

一键复制：安全加密 DNS 地址与 Mihomo 分流精简示范

绝大多数机场订阅已随配好规范 DNS；若你在自建配置或排障中需要手动填入可靠的防劫持加密 DNS，可直接使用以下标准参数：

Clash / Mihomo 经典内外分流 DNS 参考配置片段 (YAML)

dns:
  enable: true
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  fake-ip-filter:
    - "*.lan"
    - "*.local"
    - "localhost.ptlogin2.qq.com"
  default-nameserver:
    - 223.5.5.5
    - 119.29.29.29
  nameserver:
    - https://dns.alidns.com/dns-query
    - https://doh.pub/dns-query
  proxy-server-nameserver:
    - https://dns.alidns.com/dns-query

适用归属	服务名称	一键复制常用地址（DoH / IP）
国内直连 / Bootstrap	阿里公共 DNS	`https://dns.alidns.com/dns-query` (或 `223.5.5.5`)
国内直连备选	腾讯 DNSPod	`https://doh.pub/dns-query` (或 `119.29.29.29`)
境外代理解析（配合 fallback）	Cloudflare DNS	`https://cloudflare-dns.com/dns-query`
境外代理解析备选	Google DNS	`https://dns.google/dns-query`

五大常见 DNS 异常快速排障对照表

遇到的问题现象	高概率背后元凶	一句话极速解决
连接后能打开国内站，海外全部超时打不开	浏览器开着「安全 DNS (DoH)」绕过了客户端，或本地 DNS 污染	关闭浏览器内单独开启的第三方安全 DNS，开启客户端 Fake-IP / TUN
连上代理后国内淘宝、微信图片加载巨慢	国内站域名错误走去国外节点 DNS 解析，被派到了境外 CDN	切回 `Rule 规则模式` 并确认 `nameserver` 用国内 DoH
打开微信内置浏览器或某些桌面软件不翻墙	系统代理未被这些老应用尊重	直接在客户端开启 TUN 虚拟网卡模式强接管系统全部 DNS 53 端口
在线检测页报告「DNS 泄漏为本地电信/移动 IP」	系统开启了独立 IPv6 DNS 裸漏或浏览器 QUIC HTTP/3 直连抢跑	在客户端关闭 IPv6 或配置里设 `ipv6: false`，再用站内检测核实

高频疑问解答（FAQ）

用机场自带现成一键订阅时，需要我自己照着上面的 YAML 去改 DNS 吗？

完全不需要！只要机场官方订阅本身正常、开启着客户端规则模式，请优先保持官方默认（95% 正规专线机场已在下发订阅端内置好了完善防泄漏 DNS 分流），自己盲目叠加双层分流反而易产生端口冲突。

电脑 Windows / Mac 的系统「网络设置」里需要把首选 DNS 手动改成 8.8.8.8 吗？

千万不要！电脑系统网卡上的 DNS 请保持「自动获取 (DHCP)」或常规本地快速 DNS（如 223.5.5.5）；手动在网卡里写死 8.8.8.8 会导致不开梯子时完全断网，甚至开着梯子时因为部分内网直连走不通 8.8.8.8 引发全局转圈卡顿。