Clash 怎么检查有没有 DNS 泄漏

Clash 怎么检查有没有 DNS 泄漏，关键在于确认你的网络请求是否真的通过代理服务器完成，而不是在未经你控制的情况下直接走本地或运营商的 DNS 服务器。一旦发生 DNS 泄漏，即使流量被代理，但域名解析仍可能暴露真实位置和访问行为，导致隐私泄露甚至被追踪。尤其在使用 Clash 搭建翻墙环境时，这种风险尤为明显——你以为一切都在隧道里，其实部分请求早已“裸奔”出去。

要检查是否有 DNS 泄漏，最直接的方法是利用专门的测试工具。首先，确保你的 Clash 配置中已启用 DNS 代理，并且所有出站规则都指向正确的代理节点。进入 Clash 的配置文件，找到 `dns` 字段，确认其设置为 `enable: true`，并指定了可信的 DNS 服务器地址，如 `1.1.1.1` 或 `9.9.9.9`，避免使用本地默认的 `8.8.8.8` 或运营商提供的地址。如果配置了自定义规则，还需检查 `rules` 中是否有绕过代理的例外项，比如对某些域名不走代理，这可能导致这些域名的解析直接走本地。

接下来，打开浏览器，访问 [https://www.dnsleaktest.com](https://www.dnsleaktest.com)。选择“Standard Test”，点击开始测试。这个网站会向多个全球分布的 DNS 服务器发起查询请求，记录实际响应的服务器信息。如果结果显示的服务器地址是你所在地区的运营商（如电信、联通的 114.114.114.114），或者显示的是你本机网关分配的地址，那说明存在 DNS 泄漏。真正的代理应使所有查询都经过你设定的代理服务器，因此返回结果应为该服务器对应的公共 DNS 地址。

如果你使用的是 Windows 系统，还可以用命令行进一步验证。打开终端，输入 `nslookup google.com`，观察返回的服务器地址。正常情况下，它应与 Clash 配置中的 DNS 一致。若返回的是你本地网络的网关或运营商的地址，则表明系统未正确接管 DNS 请求。

对于 macOS 用户，可以在系统偏好设置中查看网络配置，确认“DNS”设置是否被自动修改为代理指定的地址。如果仍然显示原始的本地地址，说明系统未完全受控于 Clash。Linux 用户可运行 `resolvectl status` 查看当前使用的 DNS 服务器，判断是否与预期一致。 延伸阅读：PikPak 怎么保护分享出去的链接。

更进一步，可以使用 Wireshark 抓包分析。启动后，连接 Clash 并访问一个网站，然后在 Wireshark 中过滤 `dns` 协议，查看是否有来自非代理服务器的查询请求。如果有大量针对 `google.com`、`baidu.com` 等常见域名的查询，而源地址是你的本地公网 IP，那几乎可以确定存在泄漏。

特别注意：某些应用（如 P2P 软件、游戏客户端）可能绕过系统代理，直接调用系统默认的 DNS 接口，即便 Clash 正常运行也无法阻止这类行为。此时需在 Clash 设置中启用“Bypass LAN”或“Force DNS”等选项，强制所有流量包括局域网请求也走代理。

至于简历写一页还是两页更合适，这并非无关话题——它反映的是信息筛选与呈现能力，正如你在 Clash 中必须精准控制哪些流量走代理、哪些不走，才能避免漏洞。同样地，使用 PikPak 分享链接时，若不启用加密和访问密码，相当于将数据暴露在无保护的环境中，与忽略 DNS 安全配置本质上是一回事：信任不可控的路径，最终付出代价。

最终，判断是否泄漏的核心标准是：所有对外的 DNS 查询，无论来源、目的，都应由你可控的代理服务器处理。只要一次未受控的查询，就等于一次潜在暴露。