Clash DNS 泄漏检测方法与 fake-ip 防泄漏配置实操
介绍如何判断 DNS 请求是否绕过了代理，并对照 fake-ip、nameserver-policy 与 TUN 劫持三种手段，给出可直接套用的 dns 配置段。
配置工作台
Clash 规则、订阅与网络设置
客户端负责操作界面，内核负责解析配置与转发流量。先弄清每个开关影响哪一层，再修改参数；一次只动一项，出错时更容易定位。
规则分流：从上到下匹配
规则模式会按顺序检查域名、地址或规则集，命中后交给对应策略处理。与全局模式相比，它能让需要代理的连接与适合直连的连接各走各的路径。先确认策略组名称存在，再把具体规则放在前面，兜底规则放到最后。修改后到连接列表查看实际命中项，别只凭网页是否打开判断。下面片段仅展示规则结构，PROXY 必须对应已有策略组，不能单独作为完整配置导入。
mode: rule
rules:
- DOMAIN-SUFFIX,example.com,PROXY
- IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
- MATCH,PROXYTUN 模式：扩大流量接管范围
部分应用不会读取系统代理设置，这时可以通过 TUN 虚拟网络接口接管流量。它与系统代理不是同一个开关，也不等于所有连接都会走代理，最终仍由规则决定。桌面端通常需要服务模式或提升权限；手机端则由系统授予 VPN 连接权限。首次配置先保持系统代理可用，再单独测试 TUN，避免同时运行多个接管工具。下面是 mihomo 配置片段，网络栈与路由选项应结合系统支持情况调整。
tun:
enable: true
stack: mixed
auto-route: true
auto-detect-interface: true订阅管理：导入后还要启用
订阅链接可能返回完整配置，也可能只是节点列表。先确认提供方给出的格式，再使用客户端的配置导入入口，下载完成后选择并启用这份配置。自动更新只负责重新获取内容，不代表当前选中的策略一定可用。与手工逐条录入相比，订阅更适合维护节点变化，但远程更新也可能覆盖本地修改。需要自定义规则时，优先使用客户端的覆写或合并功能，并妥善保存原始配置，订阅地址不要公开分享。
# 本地设置与远程配置分开记录
mode: rule
log-level: info
mixed-port: 7890
allow-lan: falseDNS 设置：先确认请求去向
域名解析发生在建立连接之前。节点可连接却打不开域名时，应先检查解析链路，而不是反复换节点。fake-ip 通过返回保留地址帮助内核关联域名与连接，但仍需要 DNS 请求真正进入内核。与直接更换系统 DNS 相比，它更依赖客户端接管、TUN 劫持及规则配置的配合。下面只展示启用项和地址范围，并非完整防泄漏方案；修改前备份配置，修改后分别测试解析结果与实际连接出口。
dns:
enable: true
enhanced-mode: fake-ip
fake-ip-range: 198.18.0.1/16多端同步配置：同步规则，不照搬环境
同一份订阅可以用于多个兼容客户端，但端口、服务权限、网络接口和文件路径通常属于设备本地设置。更稳妥的方式是复用节点与规则，再分别设置每台设备的接管方式。与完整复制配置目录相比，这样更容易避免跨系统路径错误和端口冲突。客户端对覆写、规则集及内核字段的支持也可能不同；迁移前查看导入提示，保留目标设备的可用备份。同步配置不代表自动同步连接状态，也不保证所有功能入口完全一致。
# 适合逐台确认的本地参数
mixed-port: 7890
allow-lan: false
external-controller: 127.0.0.1:9090系统代理、规则模式、TUN 分别控制什么？
系统代理决定遵循系统设置的应用从哪里进入客户端；规则模式决定进入内核的连接按什么策略分配；TUN 则提供另一种流量接管入口。这三个概念不在同一层。打开规则模式，不会自动让所有应用进入代理；开启 TUN，也不会取消配置中的直连规则。遇到问题时按“有没有接管、命中哪条规则、策略指向哪里”的顺序检查，比同时拨动多个开关更有效。
首页窗口只是设置项示意，并不代表设备已经连接。实际界面名称可能因客户端不同而变化，混合端口也应以当前启用配置为准。需要完整安装步骤时查看使用指南；涉及服务权限、路由冲突或系统网络恢复时，转到完整文档按平台查阅。
平台入口
按系统选择 Clash 客户端
先确认操作系统与处理器架构，再选客户端。下载页按平台列出安装入口、适用条件和维护状态；这里只负责把设备带到对应位置。
Windows：先检查服务权限
可先从 Clash Plus 开始，也可对照 Clash Verge Rev、FlClash 等客户端的使用习惯。普通浏览器连接通常先测试系统代理，需要 TUN 时再检查服务安装与权限。安装后若端口被占用，先退出旧客户端，不要同时让两个程序修改系统代理。已停止维护的客户端只适合作为迁移参考，长期使用优先考虑仍在维护的项目。
macOS：区分芯片架构
Apple Silicon 与 Intel 设备应选择匹配的安装包。首次启动遇到系统安全提示，先确认来源，再按系统设置中的允许操作处理，不建议为运行某个应用整体关闭安全保护。启用代理后可到网络设置查看实际代理地址；如果更换了客户端，退出前先关闭旧程序的接管功能，避免残留设置干扰判断。
Android：授权与后台限制一起看
首次连接需确认系统 VPN 授权，随后检查电池优化和后台运行限制。切到其他应用后连接中断，往往应先排查系统回收，而不是重新导入订阅。分应用代理可以缩小接管范围，但不同客户端的包含、排除逻辑不一定相同，勾选前先看说明。多数情况下，另一款 VPN 应用也会占用同一连接入口。
iOS：从商店入口安装
下载页提供 Clash Plus 的 App Store 入口，并列出官网 clashplus.io 便于核对项目。导入配置后按系统提示添加 VPN 配置，再回到客户端确认当前配置与策略。系统 VPN 标识只能说明隧道处于连接状态，不代表每个域名都走代理；实际去向仍需结合规则与连接信息检查。
Linux：区分桌面客户端与内核
桌面用户通常从 Clash Verge Rev 或 FlClash 入手，再按发行版选择软件包。服务器与路由器用户可以查阅 mihomo 内核入口，但需要自行管理启动参数、配置目录与服务权限。远程设备修改路由前保留管理连接和回退方案；图形界面中的开关，并不会自动转换成服务器上的服务配置。
首次配置
Clash 订阅导入与连接验证
按三个阶段完成首次使用。先建立一条可验证的连接，再考虑自动选择、复杂规则与跨设备配置，避免把安装问题和规则问题混在一起。
-
01 / IMPORT
导入并启用配置
在配置或订阅页面添加链接，等待获取完成，再选择这份配置作为当前配置。先检查有没有节点和策略组，再看导入错误提示。获取失败时区分地址过期、网络访问失败与格式不兼容；反复点击更新通常不能修复配置语法错误。
-
02 / ROUTE
选择策略与接管方式
首次使用先选择规则模式，并在需要代理的策略组里指定可用节点。桌面端先打开系统代理，手机端确认 VPN 授权；只有目标应用不遵循系统代理时，再按教程测试 TUN。保留默认的局域网访问限制，不要为了连接方便随意开放控制接口。
-
03 / VERIFY
验证连接与命中规则
打开需要访问的页面，同时观察连接列表中的域名、规则和策略链。能打开一个页面，不代表所有应用都已接管；节点测试成功，也不代表 DNS 一定正常。随后测试一个应当直连的目标，确认分流符合预期，再逐步开启其他功能。
连接失败时，先保留现场
记录当前客户端、系统平台、接管方式和日志中的首条错误，临时把复杂覆写恢复到可用状态，再逐项排查。若退出客户端后仍无法联网，先检查系统代理是否还指向本地端口；若只有域名访问异常，再查 DNS。更换配置前保留备份，避免把唯一能复现问题的线索覆盖掉。
教程沿着首次连接流程展开，适合照着操作；完整文档按 Windows、macOS、Android、iOS 和 Linux 分章，适合查安装权限、平台限制与配置参数。遇到 fake-ip、策略组或规则集这些术语，可先查术语表，再回到当前步骤继续。
开源与项目关系
Clash 生态与 mihomo 内核
阅读许可、区分项目、再看更新。客户端名称相近，不代表来自同一个维护团队，也不代表使用完全相同的内核与配置功能。
GPL-3.0
mihomo 仓库标注的开源许可。各图形客户端与附带组件的许可，需分别阅读对应项目说明。
项目历史：名称不是维护状态
原版 Clash 为规则代理提供了配置与分流基础，随后生态中出现了不同分支与图形客户端。原项目停止维护之后，旧名称仍可能留在安装包、教程和订阅说明里。选型时不要只看名称是否熟悉，更要确认具体项目的维护状态、系统支持和配置兼容性。旧教程中的某个字段，也不一定适用于当前所用内核。
内核关系：界面与转发分工
mihomo 由 Clash Meta 项目演进而来，主要处理配置解析、协议连接、规则匹配与 DNS 等网络逻辑。图形客户端在它之上提供订阅导入、开关、日志和服务管理。一个客户端更新界面，并不代表内核行为必然改变；反过来，内核增加字段后，也可能需要客户端适配才能方便地使用。
开源生态：从源码确认边界
开源仓库可以用于查看许可证、配置示例和问题讨论，但不是所有问题都属于内核。系统权限、后台限制、界面导入失败，应先在对应层面定位。提交问题前，用精简且脱敏的配置复现，并说明预期行为与实际行为。克隆源码只适合阅读和开发，不等于安装完成，也不提供现成订阅。
更新机制：安装包与订阅分开维护
客户端更新改变程序本身，订阅更新改变远程配置内容，两者不能互相替代。升级前备份本地覆写和当前可用配置，升级后检查接管方式、规则命中与 DNS 行为。本站是下载入口和中文资料的整理站，不代表各上游项目；具体功能与发布内容应结合项目说明判断，下载入口集中在客户端下载页。
阅读 mihomo 源码
需要本机先安装 Git。命令只克隆仓库，不会修改系统代理。
git clone https://github.com/MetaCubeX/mihomo.git配置阅读
Clash 使用与问题排查文章
最新三篇资料分别覆盖 DNS、手机耗电与内核生态。先按现象缩小范围，再调整参数；涉及网络接管的修改，建议逐项测试并保留恢复路径。
手机挂 Clash 耗电快怎么排查：后台保活、DNS 轮询与省电策略
移动端掉电异常往往与频繁唤醒、订阅自动更新、日志级别和 TUN 栈选择有关。本文给出逐项排查顺序和可落地的省电配置。
mihomo 内核与 Clash Verge、FlClash 等图形客户端的关系梳理
从原版 Clash 到 Clash Meta 再到 mihomo，按时间线理清内核与图形前端的分工、许可协议，以及各客户端分别基于哪个内核。