代理开着、节点也亮着绿灯，可您心里还是会犯嘀咕：我访问的网站，会不会还是被本地网络“看见”了？这个担心很常见，说的基本就是 DNS 泄漏。
先给结论：用 DNS 泄漏测试网站看一眼“DNS 服务器归属”，再配合 WebRTC 检测，就能在 10 分钟内判断自己有没有问题。但要注意，Clash 规则模式下，国内域名本来就走本地 DNS，这不算泄漏。小编下面分五步讲，并把能修的地方一并说清楚。信息核对日期：2026 年 11 月 8 日。
DNS 泄漏到底是什么？
简单讲，您打开一个网站之前，设备要先问一句“这个域名对应哪个 IP”，这就是 DNS 查询。正常使用代理时，咱们希望这次查询也跟着流量一起走代理；如果它绕开代理、直接问了本地运营商的 DNS 服务器，那么本地网络就能看到您查了哪些域名，这就叫 DNS 泄漏。
泄漏的危害主要有两点：一是域名记录会暴露在本地 DNS 服务器上；二是国外域名被本地 DNS 解析，可能拿到不准确的结果，导致网站打不开或连到不合适的线路。
先搞清楚：哪些情况不算泄漏
很多人一测就慌，其实要分情况看。Clash 的“规则模式”本来就是国内走直连、国外走代理（可参考小编之前写的 Clash 规则模式和全局模式有什么区别）。国内域名直连时用本地 DNS，是预期行为。
| 场景 | 测试结果里出现本地运营商 DNS | 是否需要处理 |
|---|---|---|
| 规则模式，访问国内网站 | 正常 | 不需要 |
| 规则模式，测试页是国外网站，仍显示本地运营商 DNS | 可能有泄漏 | 需要检查 DNS 设置 |
| 全局模式，显示本地运营商 DNS | 大概率泄漏 | 需要处理 |
第一步：先记下没开代理时的“基线”
关掉代理（或把 Clash 退出），打开 ipleak.net，记下页面显示的 IP 和 DNS 服务器信息。这是您的“真实”网络标记，后面要拿它做对比。这个办法和 PIA 博客介绍的 WebRTC 检测思路一致：先记真实 IP，再开代理对照。
第二步：开代理，换成“全局模式”再测
为了排除规则分流带来的干扰，建议先临时切到全局模式，选一个您平时正常使用的节点。然后重新打开测试页面，看两项内容：
- 显示的 IP 是否变成了节点出口的地区，而不是您的真实 IP；
- DNS 服务器列表里，有没有出现和第一步相同的本地运营商。
如果 IP 变了，DNS 服务器也不再出现本地运营商，那么基本没有 DNS 泄漏。如果 DNS 里仍然有第一步记下的那家运营商，说明 DNS 查询没有跟着代理走。
第三步：回到规则模式，只看国外域名
测完全局，再切回规则模式，重新测一次。这一步只关心“国外测试站点的 DNS”。如果国外站点显示的是本地运营商的 DNS，就要检查配置了。
顺带提醒，TUN 模式与系统代理接管流量的范围不同，会影响一部分应用的 DNS 走向。想弄清两者区别，可以看 Clash TUN 模式怎么开？和系统代理区别。
第四步：检查 WebRTC 有没有泄漏真实 IP
WebRTC 是浏览器自带的实时通信技术，用于视频会议之类的场景。按 PIA 博客的说法，它有个缺陷：即使用了 VPN，网站也可能通过简单脚本拿到您背后的真实 IP。检测方法可以用 BrowserLeaks 的 WebRTC 页面：
- 开代理，打开该页面；
- 看“Public IP”一栏，是否出现了您真实的公网 IP；
- 如果出现，说明 WebRTC 泄漏了真实地址。
处理上，PIA 文章给出的建议是：Firefox 可以在设置里禁用 WebRTC，Chrome 做不到完全禁用，只能靠扩展，而且 PIA 提醒扩展装得多会增加浏览器指纹识别的风险，所以不要乱装。同时，即便禁用了，效果也未必 100%。小编没有实测过各浏览器的具体效果，所以这里不下结论，您自己用上面的页面复测一遍最可靠。
第五步：发现泄漏后，Clash 的 DNS 该怎么改
小编核对了 mihomo（Clash Meta 内核）官方文档的 DNS 配置页（页面标注日期 2026 年 7 月 18 日）。页面里没有专门写“泄漏”这个词，但列出了几个直接影响 DNS 走向的配置项：
| 配置项 | 文档写到的作用 |
|---|---|
| nameserver | 默认的域名解析服务器 |
| fallback | 后备解析服务器，一般用境外 DNS；配置后默认启用 fallback-filter |
| default-nameserver | 用来解析 DNS 服务器自身的域名，必须填 IP |
| nameserver-policy | 给指定域名指定解析服务器，优先级高于 nameserver 和 fallback |
| respect-rules | 让 DNS 连接遵守路由规则，需要同时配置 proxy-server-nameserver |
| proxy-server-nameserver | 只用来解析代理节点的域名 |
用大白话说：如果您发现国外域名的 DNS 请求走了本地运营商，一个思路是让 DNS 连接“遵守路由规则”，也就是 respect-rules，这样国外域名的 DNS 查询会跟着规则走代理。官方文档特别说明，开启它必须配合 proxy-server-nameserver，用来避免“先要解析节点域名、才能走代理”的循环依赖；文档还强烈不建议它与 prefer-h3 同时使用。
需要提醒：不同客户端（Clash Verge Rev、ClashX Meta、FlClash 等）的配置入口不一样，有些会用“覆写”或“增强模式”界面接管 DNS 设置。改之前请先备份原配置，改完回到第二步、第三步复测。具体字段请以您所用内核版本的官方文档为准，小编这里不贴整段配置，避免误导。
如果修改后订阅或节点出现异常，可以参考 Clash 订阅导入失败怎么办？7 步排查 逐项排除。
一份自查清单
- 关代理时记录真实 IP 与 DNS；
- 全局模式下复测，IP 与 DNS 都应变成节点一侧；
- 规则模式下只关注国外域名的 DNS；
- 用 WebRTC 页面检查真实 IP 是否露出；
- 改配置前备份，改完复测。
常见问题（FAQ）
测出本地运营商的 DNS，一定是泄漏吗？
不一定。规则模式下国内域名直连，用本地 DNS 属于正常。只有访问国外站点时仍出现本地 DNS，才需要处理。
只看 IP 变了就能说明安全吗？
不能。IP 变化只说明流量出口变了，DNS 查询和 WebRTC 是另外两条路径，要分别检查。
免费节点会不会更容易有隐私问题？
风险确实更多，因为您无法确认节点运营方如何处理流量。详细的风险点，请看 免费节点订阅安全吗？Clash 免费节点的 6 个风险。
机场和 VPN 在泄漏问题上有区别吗？
泄漏取决于客户端配置和系统行为，不取决于名字叫机场还是 VPN。两者的基本区别可看 机场和VPN有什么区别。
测试网站本身可信吗？
测试站点也会记录您的 IP。小编建议只用知名站点，不要在测试页输入任何账号信息。
总结
自查 DNS 泄漏的关键，是先分清“正常的国内直连”和“国外域名走了本地 DNS”。按基线、全局、规则、WebRTC、改配置五步走一遍，基本就能心里有数。另外提醒：服务商可能随时跑路，建议按月购买，并保护好订阅链接；也请遵守所在地法律法规，本文只是技术说明，不构成法律意见。
参考来源（查询日期 2026-11-08）：mihomo 文档：DNS 配置；PIA：How to Test for and Prevent a WebRTC Leak。