Clash DNS 配置详解：fake-ip 与 redir-host、DNS 泄漏与推荐配置

Clash / Mihomo 的 dns 配置决定了域名如何被解析，直接影响分流是否准确、是否被 DNS 污染、是否存在 DNS 泄漏。 对大多数人来说，推荐使用 fake-ip 模式，nameserver 填国内可靠的 DoH 服务器，default-nameserver 填 IP 形式的公共 DNS。下面从原理讲起。

DNS 在 Clash 中的作用

访问 www.google.com 时，程序要先通过 DNS 把域名解析成 IP，再连接这个 IP。在使用代理时，DNS 会影响三件事：

1. 分流是否准确

规则中有 GEOIP,CN,DIRECT 这样的 IP 类规则。对于一个域名请求，内核需要知道它解析出的 IP，才能判断是否属于中国。如果解析结果错误，分流就会出错。

2. DNS 污染

国内网络中，对部分境外域名的 DNS 查询会返回错误的 IP（DNS 污染），导致即使走了代理也连不上正确的服务器。

3. DNS 泄漏

如果你访问境外网站时流量走了代理，但 DNS 查询却直接发给了本地运营商，运营商就能看到你访问了哪些域名——这就是 DNS 泄漏。

fake-ip 与 redir-host

enhanced-mode 决定 Clash 处理 DNS 的方式，这是最重要的一个选项。

fake-ip（推荐）

程序：google.com 的 IP 是？
Clash：198.18.0.5（假 IP，立即返回）
程序：连接 198.18.0.5
Clash：（查表知道 198.18.0.5 = google.com）按规则匹配 google.com → 走代理 → 由代理服务器去解析真实 IP

• 优点：响应极快；走代理的域名在远端解析，天然避免污染和泄漏；
• 缺点：程序拿到的是假 IP，少数依赖真实 IP 的应用异常，需加入 fake-ip-filter。

redir-host

程序：google.com 的 IP 是？
Clash：（在本地查询 nameserver）142.250.x.x（真实 IP）
程序：连接 142.250.x.x
Clash：按规则匹配 → 走代理

• 优点：程序拿到真实 IP，兼容性好；
• 缺点：每次都要等待解析；本地解析可能被污染、存在泄漏风险。

	fake-ip	redir-host
速度	快	较慢
防污染	好	依赖 DNS 服务器
防泄漏	好	需额外配置
兼容性	少数应用需过滤	好
推荐	✓	特殊需求时

字段详解

dns:
  enable: true
  listen: 0.0.0.0:1053
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  fake-ip-filter-mode: blacklist
  fake-ip-filter:
    - "+.lan"
    - "+.local"
    - "time.*.com"
    - "ntp.*.com"
  default-nameserver:
    - 223.5.5.5
    - 119.29.29.29
  nameserver:
    - https://dns.alidns.com/dns-query
    - https://doh.pub/dns-query
  proxy-server-nameserver:
    - https://dns.alidns.com/dns-query
  direct-nameserver:
    - https://dns.alidns.com/dns-query
  nameserver-policy:
    "geosite:cn": https://doh.pub/dns-query
    "+.corp.example.com": 10.0.0.53
  respect-rules: false

字段	作用
enable	启用内核 DNS 模块，TUN 模式下必须开启
listen	内核 DNS 服务监听地址，供局域网设备把 DNS 指向它（可选）
ipv6	是否返回 IPv6 结果
enhanced-mode	fake-ip 或 redir-host
fake-ip-range	假 IP 地址池，默认 198.18.0.1/16
fake-ip-filter	不使用假 IP 的域名
fake-ip-filter-mode	blacklist：列表中的不用假 IP；whitelist：只有列表中的用假 IP；rule：按规则
default-nameserver	只用于解析下面 DoH/DoT 服务器的域名，必须填 IP
nameserver	默认使用的 DNS 服务器
proxy-server-nameserver	专门解析代理节点的域名
direct-nameserver	直连流量使用的 DNS
nameserver-policy	指定域名使用指定 DNS，支持 geosite: 分类
fallback / fallback-filter	回退 DNS 及触发条件（旧方案）
respect-rules	DNS 查询本身也按规则分流，需配合 proxy-server-nameserver

DNS 服务器地址写法

写法	协议	说明
223.5.5.5	UDP	传统 DNS，明文
tcp://223.5.5.5	TCP
tls://dns.alidns.com	DoT	加密
https://dns.alidns.com/dns-query	DoH	加密，推荐
quic://dns.adguard.com	DoQ	加密
system	系统 DNS
dhcp://en0	网卡 DHCP 下发的 DNS

常用公共 DNS

服务商	DoH 地址	IP
阿里	https://dns.alidns.com/dns-query	223.5.5.5
腾讯 DNSPod	https://doh.pub/dns-query	119.29.29.29
Google	https://dns.google/dns-query	8.8.8.8
Cloudflare	https://cloudflare-dns.com/dns-query	1.1.1.1

fake-ip-filter 应该加什么

类型	示例
局域网	+.lan、+.local、+.home.arpa
时间同步	time.*.com、ntp.*.com、+.pool.ntp.org
网络连通性检测	+.msftconnecttest.com、+.msftncsi.com
游戏平台	部分主机、游戏的联机域名
其他依赖真实 IP 的服务	按需添加

三套推荐配置

方案一：简单可用（大多数人）

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  default-nameserver: [223.5.5.5, 119.29.29.29]
  nameserver:
    - https://dns.alidns.com/dns-query
    - https://doh.pub/dns-query

方案二：防泄漏（注重隐私）

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  respect-rules: true
  default-nameserver: [223.5.5.5]
  proxy-server-nameserver:
    - https://dns.alidns.com/dns-query
  nameserver:
    - https://dns.google/dns-query
    - https://cloudflare-dns.com/dns-query
  nameserver-policy:
    "geosite:cn,private":
      - https://dns.alidns.com/dns-query
      - https://doh.pub/dns-query

原理：开启 respect-rules 后，发往 Google / Cloudflare DNS 的查询会按规则走代理；国内域名通过 nameserver-policy 使用国内 DNS 直连查询，既不泄漏又保证国内解析速度。

方案三：redir-host（兼容优先）

dns:
  enable: true
  enhanced-mode: redir-host
  default-nameserver: [223.5.5.5]
  nameserver:
    - https://dns.alidns.com/dns-query
  nameserver-policy:
    "geosite:geolocation-!cn":
      - https://dns.google/dns-query#节点选择

#节点选择 表示这个 DNS 服务器通过“节点选择”代理组访问。

在客户端中修改 DNS

订阅通常已经带有 DNS 配置，修改前先确认是否必要：

客户端	方法
Clash Verge Rev	DNS 覆写 或 扩展覆写配置
FlClash	进阶配置 → DNS
Clash Meta for Android	覆写 → DNS
Clash Party	DNS 覆写卡片

常见问题排查

现象	原因与解决
开启 DNS 覆写后全部断网	覆盖了订阅中节点依赖的设置，关闭覆写或补充 proxy-server-nameserver
节点全部超时	节点域名被污染，设置可靠的 proxy-server-nameserver
局域网设备 / NAS 访问不了	把局域网域名加入 fake-ip-filter
国内网站走了代理	检查 GEOSITE,cn 规则与 GeoData 是否更新
部分游戏无法联机	把游戏域名加入 fake-ip-filter，或切换 redir-host
关闭代理后某些网站打不开	系统 DNS 缓存了假 IP，执行 ipconfig /flushdns（Windows）清除缓存

相关教程

• Clash 配置文件详解
• Clash 规则详解
• GeoIP 与 GeoSite 是什么