在使用网络代理服务时，许多用户经常遇到一些非常诡异的现象：

  • 节点延迟测试只有 30ms，但每次在浏览器中输入网址后，底部状态栏会卡在 正在解析域名... (Resolving host...) 长达几秒钟；
  • 打开国内网站（如淘宝、京东、B站）非常卡顿，甚至加载出来的图片全是碎块；
  • 尝试打开某些海外网站，浏览器直接提示 DNS_PROBE_FINISHED_NXDOMAIN 或返回一个莫名的空白广告页面。

这些问题的罪魁祸首，都是由 DNS 污染 (DNS Poisoning) 或 DNS 泄露 (DNS Leak) 引起的。

本指南由「晚风机场服务指南编辑团队」撰写，手把手教你使用命令行诊断 DNS 故障，并通过配置客户端的 Fake-IP / SmartDNS 消除解析瓶颈。

1. 概念剖析：什么是 DNS 污染与 DNS 泄露？

DNS 工作传输模型对比：
正常解析流程: [用户域名请求: google.com] ──► [公网 DNS] ──► [返回正确 IP: 142.250.x.x]
DNS 污染:    [用户域名请求: google.com] ──► [污染拦截] ──► [强行返回假 IP: 127.0.0.1 / 垃圾广告 IP]
DNS 泄露:    [用户访问海外隐私网站] ────► [误向本地运营商 114.114.114.114 请求] ──► 暴露真实 IP
  1. DNS 污染：国内公网运营商在国际出口处对未加密的 UDP 53 端口 DNS 请求进行监视。一旦发现敏感域名，抢先返回一个假的 IP 地址，导致浏览器连接到错误的目标，产生网页无法加载。
  2. DNS 泄露：虽然你的数据流量走了加密代理代理，但域名解析请求却依然从你本地的电信/移动 DNS 发出，导致第三方可以轻易推断出你正在访问什么网站。

2. 诊断命令：使用 nslookup 校验 DNS 污染

打开 Windows CMD / PowerShell 或 Mac 终端 (Terminal)，执行以下测试：

# 测试解析一个海外域名（使用本地默认 DNS）：
nslookup twitter.com

# 正常正确的海外解析结果应当指向海外 IP 段；
# 如果返回的是 127.0.0.1、或某些奇怪的国内 IP 地址，说明本地 DNS 遭遇了严重污染！

3. 终极解决方案：开启客户端 Fake-IP 模式

为了彻底根治 DNS 污染，新一代代理客户端（Clash Verge Rev, Sing-box, OpenClash）引入了 Fake-IP (假 IP) 技术。

Fake-IP 机制原理：

当浏览器发起 DNS 请求时，客户端不向公网发起真实的 DNS 查询，而是直接从保留地址池（如 198.18.0.0/16）中分配一个假 IP 返回给浏览器。真正的域名解析动作被延迟到远程海外节点服务器去执行。

Fake-IP 零污染工作流：
[浏览器: 访问 google.com] ──► [客户端直接返回 Fake IP: 198.18.0.5] ──► [浏览器瞬间建立连接]
                                                                       │
                               [远程节点在海外完成真实 DNS 解析] ◄──────┘

配置步骤：

  1. 打开客户端设置，定位到 DNS 设置 (DNS Settings)。
  2. 将 运行模式 (DNS Mode) 改为 Fake-IP (若兼容性有问题可降级为 Redir-Host)。
  3. 勾选 防止 DNS 泄露 (Prevent DNS Leak)。

4. 完美 DNS 组合配置推荐

在客户端的 DNS 配置文件中，建议设置国内与海外双路隔离 DNS：

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  
  # 国内直连域名解析服务器（使用 HTTPS/TLS 加密）：
  default-nameserver:
    - 223.5.5.5
    - 119.29.29.29
    
  # 海外加密域名解析服务器（防止污染）：
  nameserver:
    - https://dns.cloudflare.com/dns-query
    - tls://8.8.8.8

5. 常见排错 FAQ

Q1: 开启 Fake-IP 后，个别软件（如部分网游或公司内网 VPN）无法正常连通？

答：某些老旧软件或特定游戏安全反作弊组件不支持 198.18.x.x 假 IP 映射。可以在客户端设置的 fake-ip-filter (Fake-IP 过滤名单) 中添加该软件的域名，强制其走传统 Redir-Host 解析。

Q2: 为什么使用 dnsleaktest.com 测试显示有国内 IP？

答：如果你访问的是国内网站（如百度、淘宝），走国内 DNS 解析出现本地运营商 IP 是完全正常且推荐的（这样才能拿到最近的 CDN 节点速度最快）。只要在测试海外域名时不出现本地运营商 DNS，即代表防护有效。