1. 隐形幽灵：为什么开了代理依然会被记录上网记录？
很多人以为只要软件显示绿色已连接，自己的上网隐私就 100% 安全了。
### 致命的 DNS 泄漏场景：
1. 你在浏览器输入某敏感新闻网或推特；
2. 操作系统检测到电脑有两张网卡（本地物理以太网卡 + 虚拟网卡）；
3. Windows 的 **Smart Multi-Homed Name Resolution（智能多宿主名称解析）** 特性，为了追求最快响应，**同时向本地电信 DNS 和远程加密 DNS 并发发包**；
4. 本地电信 53 端口响应极快，抢先返回了结果；
5. 结果：虽然随后的网页正文走了解密代理，但本地电信局的服务器日志库里，**已经在毫秒内清清楚楚记录下了你的宽带账号在几点几分查询了该特定域名的明文日志！**
💡 对于重视隐私与合规安全的用户，DNS 泄漏是不可容忍的高危漏洞。
2. 科学检测 DNS 泄漏的在线与离线方法
评估本地环境是否存在泄漏的权威测试：
- 打开权威测试站点：`https://www.dnsleaktest.com`；
- 点击 **「Extended Test（扩展深度测试）」**，等待测试生成 6 轮测试报告；
- **判断依据**：
- **安全状态**：列表中展现的全部是海外机房的 DNS 服务器（如 Google、Cloudflare，显示国家为美国/香港）；
- **泄漏状态**：列表中赫然出现了 `China Telecom`、`China Unicom` 或本地省份城市的名称，证明 100% 发生了严重的 DNS 泄漏！
bash
# Linux 终端使用测试脚本验证 DNS 出口归属地
curl -s https://api.myip.la/cn?json | jq '.'3. 终结泄漏的四道铁闸配置
在 Clash Verge Rev 中配置以下防御组合拳，彻底锁死所有泄漏通道：
```yaml
dns:
enable: true
enhanced-mode: fake-ip
# 1. 杜绝本地 IPv6 DNS 抢答
ipv6: false
# 2. 远端 fallback 强制采用加密 DoH
fallback:
- https://dns.google/dns-query
- https://1.1.1.1/dns-query
tun:
enable: true
# 3. 强制劫持全系统所有 53 端口流量，禁止任何流氓应用绕行
dns-hijack:
- "tcp://any:53"
- "udp://any:53"
# 4. 开启严格路由模式
strict-route: true
```
❓ 常见疑问与排查步骤
关闭 Windows 的多宿主名称解析能防泄漏吗？
能起到辅助作用。在本地组策略（gpedit.msc）中禁用「关闭智能名称解析」，但最彻底的方案依然是依靠客户端开启 TUN 模式下的严格路由（strict-route）。
手机端小火箭也会发生 DNS 泄漏吗？
在开启 Fake-IP 且配置了远程 DNS 节点的情况下，手机端通常不会泄漏；若误选了 Direct DNS 则同样存在泄漏风险。
测试网站显示美国 IP 就绝对安全了吗？
只要显示的 DNS 服务器归属于海外知名云厂商，就代表域名解析全程在境外安全完成，本地运营商无法获取任何域名明文。