DNS 污染与泄露排查：为什么连接了机场节点依然无法打开网站？

在排查网络连接故障时，很多新手经常遇到一种诡异的情况：“Clash 节点列表显示延迟只有 30ms，YouTube 视频能够秒开，但访问某个特定的学术论坛或海外小众网站时，浏览器却始终提示无法解析域名或直接超时。”这种现象十有八九是由 DNS 污染或配置冲突 造成的。

目录

1. DNS 域名解析与网络污染的基本原理
2. 如何快速检测自己是否存在 DNS 泄露
3. 在 Clash 与 Shadowrocket 中配置安全 DNS
4. 浏览器层面的 WebRTC 泄露防范

1. DNS 域名解析与网络污染的基本原理

当你在浏览器输入 google.com 时，电脑首先需要向 DNS 服务器询问对应的 IP 地址。

• DNS 污染 (DNS Poisoning)：未加密的普通 DNS 查询（UDP 53 端口）在经过公网网关时，网关防火墙会在真实正确的海外服务器回复前，抢先伪造并返回一个错误的虚假 IP 地址，导致浏览器尝试连接错误的虚构服务器而超时。
• DNS 泄露 (DNS Leak)：虽然你通过代理访问受限网页，但电脑查询域名的请求却依然偷偷由本地运营商（电信/联通/移动）的本地 DNS 处理，不仅暴露了你的浏览隐私，还会直接触发解析阻断。

2. 如何快速检测自己是否存在 DNS 泄露

打开专业隐私安全检测站点（如 https://browserleaks.com/ip 或 https://dnsleaktest.com）：

1. 在代理连接状态下点击 “Standard Test”；
2. 查看返回的 DNS 服务器列表：如果列表中赫然显示为你所在省份的中国电信或中国联通服务器，说明你的客户端发生了严重的 DNS 泄露；
3. 理想且安全的状态是：DNS 服务器归属地应与当前所选的代理节点地区（如香港、日本、美国）完全一致。

3. 在 Clash 与 Shadowrocket 中配置安全 DNS

Clash Verge Rev 配置安全 DNS

1. 打开 Clash Verge，点击左侧 “设置” -> 进入 “DNS 设置”；
2. 确保勾选 “开启 DNS”；
3. 将 “默认名称服务器” (Default Nameserver) 设为安全国内公共 DNS（如 223.5.5.5）；
4. 将 “名称服务器” (Nameserver) 与 “后备服务器” (Fallback) 配置为加密的 DoH 协议：
   • https://1.1.1.1/dns-query (Cloudflare)
   • https://8.8.8.8/dns-query (Google)
5. 开启 “Fake-IP 模式”，由客户端直接本地拦截并接管域名分配。

4. 浏览器层面的 WebRTC 泄露防范

WebRTC 是一项用于浏览器网页端音视频实时通信的技术，但它有一个著名的安全缺陷——能绕过常规 HTTP 代理直接探测并暴露用户的真实公网 IPv4/IPv6 地址：

• Chrome / Edge 用户：可在应用商店安装开源扩展 WebRTC Control，一键将其设为禁用；
• Firefox 火狐浏览器用户：在地址栏输入 about:config，搜索 media.peerconnection.enabled，将其双击修改为 false 即可彻底根除泄露。