Clash 怎么检查有没有 DNS 泄漏

使用 Clash 时，判断是否存在 DNS 泄漏最直接的方法是通过在线检测工具，例如 dnsleaktest.com。访问该网站并选择“Standard Test”模式，系统会自动向多个公共 DNS 服务器（如 OpenDNS、Google DNS）发起查询请求。若结果显示你的真实网络环境中的本地 DNS 地址（如 192.168.1.1 或运营商默认的 114.114.114.114）被泄露，则说明存在漏洞。测试结果通常以颜色条形式显示：绿色代表安全，红色或黄色则提示泄漏。建议每次配置新代理规则后都进行一次测试，确保设置生效。

检查 DNS 泄漏前，应确认 Clash 的配置文件中已正确启用 DNS 功能。在 YAML 配置文件中，`dns:` 字段必须包含 `enable: true`，且 `hosts:` 和 `rules:` 字段需合理定义。例如，可添加如下规则： ```yaml dns: enable: true ipv6: false listen: 0.0.0.0:53 default-nameserver: - 1.1.1.1 - 1.0.0.1 enhanced-mode: redir-host ``` 其中 `1.1.1.1` 和 `1.0.0.1` 是 Cloudflare 公共 DNS，能有效避免本地解析污染。若未设置 `listen` 端口，系统可能仍使用系统默认的本地 DNS，导致泄漏。

在 Windows 系统中，可通过命令行工具 `netsh int ip show config` 查看当前系统的 DNS 设置。如果输出中出现非代理指定的地址，比如 `114.114.114.114`，而你本应使用 Clash 指定的 `1.1.1.1`，则说明系统未完全接管流量。此时应检查 Clash 是否以管理员权限运行，以及是否启用了“全局规则”而非仅“直连规则”。此外，关闭系统自带的“快速切换网络”功能可减少意外路由变更。

对于 macOS 用户，使用 `scutil --dns` 命令可查看当前活动的 DNS 配置。若返回结果中包含 `nameserver[0] = 114.114.114.114`，而你的 Clash 配置应为 `1.1.1.1`，说明系统仍未受控。解决方法是进入“系统设置 > 网络”，手动将所有接口的 DNS 改为 `127.0.0.1`，并确保 Clash 的监听端口为 `53`。部分用户因忽略“IPv6”选项导致问题，建议在 Clash 中显式禁用 `ipv6: false`。 延伸阅读：PikPak 上传文件失败怎么排查。

Linux 用户可通过 `resolvectl status` 命令查看 systemd-resolved 的配置状态。若输出中列出的 nameserver 与 Clash 设置不符，说明系统服务未被拦截。此时需检查 `/etc/resolv.conf` 是否指向 `127.0.0.1`，若仍为外部地址，应修改为软链接：`sudo ln -sf /run/systemd/resolve/resolv.conf /etc/resolv.conf`。同时确保 Clash 以 root 权限启动，否则无法修改系统级网络设置。

若你在使用 PikPak 上传文件失败，且怀疑是网络层面的问题，可先在 Clash 中临时切换至“直连”模式，观察上传是否成功。若成功，则说明代理策略导致了连接超时或重试失败。常见原因是某些 CDN 节点对加密流量敏感，触发风控。此时应检查 Clash 的 `rule` 列表中是否有针对 `pikpak.com` 的误判规则，例如错误地将其归类为“GFWList”或“DIRECT”。修正规则后重新测试，可提升成功率。中文简历和英文简历的排版差异也常被忽视——中文简历常用竖排、项目符号密集，而英文简历强调留白与时间线清晰，这提醒我们：不同平台对格式要求不同，需根据实际场景调整配置细节。

最终，建议定期执行自动化检测。可编写一个简单的 Bash 脚本，调用 `curl` 请求 dnsleaktest.com 并解析返回的 JSON，记录泄漏情况。例如： ```bash curl -s https://www.dnsleaktest.com/api/v1/test/start | jq '.id' | xargs -I {} curl -s "https://www.dnsleaktest.com/api/v1/test/{}" | jq '.results[] | .result' ``` 脚本可集成到定时任务中，实现每日自动检测。一旦发现泄漏，立即通知用户并提供修复建议。这种持续监控机制，远比一次性测试更可靠。