DNS 泄漏会暴露你真实的浏览记录，即使你开着代理也不安全。本文详解 macOS 下 DNS 泄漏的原因、检测方法，以及在各代理客户端中的彻底修复方案。

在使用 macOS 访问国际互联网时，很多用户即便配置了代理客户端，依然会面临隐私暴露的风险。这种风险往往来源于一个隐蔽的角落：DNS 泄漏。

一旦发生 DNS 泄漏，即便你的访问流量通过加密通道传输，你所访问的域名请求依然会发送给当地 ISP（互联网服务提供商）或其他不受信任的 DNS 服务器。这意味着，你看了什么网站、用了什么服务，对于运营商来说依然是透明的。

我是阿明，今天这篇文章将带你深度剖析 macOS 下 DNS 泄漏的底层逻辑，并提供针对 ClashX、Clash Verge Rev 和 Surge 等主流工具的终极修复方案。

什么是 DNS 泄漏，为什么它很危险？

DNS（域名系统）是互联网的电话簿。当你输入 google.com 时，电脑需要先查询该域名对应的 IP 地址。

DNS 泄漏的定义

在正常使用代理的情况下，所有的流量（包括 DNS 请求）都应该进入代理客户端设置的虚拟网关，并由远端服务器或代理客户端指定的加密 DNS 服务器处理。

DNS 泄漏是指：你的系统绕过了代理客户端预设的 DNS 解析逻辑，直接向本地 ISP 默认的 DNS 服务器发送了明文查询请求。

为什么危险？

隐私暴露：ISP 会记录你所有的 DNS 查询历史。即便他们不知道你传输的具体内容，但通过域名记录，可以轻易画像出你的上网习惯、政治偏好或社交圈。
DNS 劫持与投毒：本地 DNS 服务器可能会返回错误的 IP 地址（投毒），导致你无法访问目标网站，或者被引导至钓鱼网站。
地理位置泄露：即便你开启了代理，如果 DNS 请求是从本地发出的，某些流媒体网站（如 Netflix、Disney+）会通过 DNS 查询的来源判断你的真实位置，从而导致解锁失败。

macOS DNS 请求的工作原理

在 macOS 中，DNS 解析并不是一个单一的过程，它涉及多个层级：

应用层：浏览器或 App 发起域名查询。
系统解析层：macOS 的 discoveryd 或 mDNSResponder 进程处理请求。
网络层：根据系统设置（System Preferences > Network）中的 DNS 地址发出 UDP/TCP 53 端口请求。

当你开启代理客户端（如 ClashX）时，客户端通常会创建一个虚拟的网卡（TUN）或劫持系统代理设置（HTTP/SOCKS5）。

系统代理模式：仅劫持支持代理协议的应用流量，很多底层 UDP 请求（包括 DNS）可能直接走本地网关，极易导致泄漏。
TUN/增强模式：接管系统所有流量，理论上防泄漏效果更好。

macOS 上 DNS 泄漏的常见原因

为什么明明开了代理，DNS 还是会漏？

1. 系统代理不影响原生 DNS 查询

macOS 的 HTTP/HTTPS 代理设置主要针对 Web 流量。许多应用程序在发起连接前，会先调用系统的 getaddrinfo 等底层接口进行 DNS 查询。如果代理客户端没有开启“增强模式”或接管 53 端口，这些查询就会直接发给路由器或运营商的 DNS。

2. 浏览器行为

Chrome 和 Firefox 默认可能会开启“安全 DNS”（DNS over HTTPS）。如果设置不当，浏览器会绕过系统的代理逻辑，直接去连接 Google 或 Cloudflare 的 DoH 服务器，虽然加密了，但如果这些服务器被干扰，或者解析出的 IP 不是代理服务器优化后的结果，依然会产生问题。

3. 配置了代理但没有配置 DNS 段

在 Clash 等工具中，如果你的配置文件里 dns: 部分是禁用的，或者 nameserver 只填了本地 DNS，那么它在解析域名时依然会产生本地查询记录。

如何检测是否存在 DNS 泄漏

在开始修复前，我们必须学会客观地检测。

工具一：dnsleaktest.com（推荐）

这是最权威的检测站。

开启你的代理客户端。
访问 dnsleaktest.com。
点击 “Standard Test” 或 “Extended Test”。
结果判断：如果你在中国境内，但测试结果里出现了中国电信、中国联通或移动的 DNS 服务器，那么你存在 100% 的 DNS 泄漏。理想状态下，这里应该只显示你代理服务器所在的国家（如美国、新加坡）的 DNS 节点。

工具二：ipleak.net

除了 DNS 泄漏，它还能检测 WebRTC 泄漏和 IPv6 泄漏。

观察 DNS Address 部分，如果显示的 IP 是你真实的 ISP 地址，说明泄漏。

在各客户端中修复 DNS 泄漏

针对不同的 macOS 客户端，修复方案各有侧重。

1. ClashX / ClashX Pro 配置详解

ClashX 用户最常遇到的问题是配置文件过于简单。为了彻底防泄漏，建议手动编辑配置文件中的 dns 模块。

推荐配置逻辑：

使用 fake-ip 模式，让系统直接返回一个虚拟 IP，将解析过程完全交给远端。
配置加密 DNS（DoH/DoT）。

你可以参考 clashx.tech 上的进阶指南。以下是一个标准的、经过优化的 DNS 配置片段：

dns:
  enable: true
  ipv6: false
  listen: 0.0.0.0:53
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  nameserver:
    - https://doh.pub/dns-query
    - https://dns.alidns.com/dns-query
  fallback:
    - https://dns.google/dns-query
    - https://1.1.1.1/dns-query
    - tls://8.8.4.4:853
  fallback-filter:
    geoip: true
    geoip-code: CN
    ipcidr:
      - 240.0.0.0/4

配置要点说明：

nameserver：用于解析国内域名，速度快。
fallback：用于解析国外域名，使用加密协议（DoH/DoT）防止被拦截。
fake-ip：这是 macOS 防泄漏的杀手锏。应用发起请求时，Clash 立即返回一个 198.18.x.x 的内网 IP，应用会乖乖带着这个 IP 把流量发给 Clash，Clash 再去远端解析真实的 IP。

2. Clash Verge Rev：图形化 DNS 配置

如果你使用的是 Clash Verge Rev，可以在“配置”界面中更直观地设置。

进入 Settings。
找到 DNS Settings。
将 Enhanced Mode 设置为 fake-ip。
在 Nameservers 列表里，删除所有系统默认 DNS，只保留可靠的 DoH 服务器。
开启 System DNS Override（如果可用）。

3. Surge：DNS over HTTPS 配置

Surge 是 macOS 上最强大的网络调试工具，它对 DNS 的处理非常优雅。

在 Surge 的 [General] 和 [DNS] 模块中：

[General]
dns-server = 223.5.5.5, 119.29.29.29
doh-server = https://dns.pub/dns-query, https://dns.alidns.com/dns-query

[Host]
# 强制某些域名走本地解析或特定 DoH

Surge 默认会接管所有系统的 DNS 查询。只要你配置了 doh-server，Surge 会根据策略自动选择最优的解析路径。

Fake-IP 模式 vs 真实 IP 模式的 DNS 防泄漏效果对比

这是很多新手纠结的地方。

特性	Fake-IP 模式	真实 IP (Redir-Host) 模式
工作原理	立即返回虚拟 IP，在代理端进行远程解析	先解析出真实 IP，再决定是否走代理
防泄漏效果	极佳。本地几乎不产生真实的 DNS 查询流量	一般。本地必须先查到 IP，容易漏给 ISP
响应速度	极快（应用层感知不到延迟）	稍慢（需要等待 DNS 返回）
兼容性	某些极少数老旧 App 可能报错	兼容性最好

结论：在 macOS 上，为了绝对的安全和隐私，强烈建议使用 Fake-IP 模式。

DoH（DNS over HTTPS）配置方法

为了防止 DNS 请求在传输过程中被窃听或篡改，使用 DoH 是目前的主流方案。

在 macOS 系统层面，你可以在 系统设置 > 网络 > 详细信息 > DNS 中添加支持加密 DNS 的服务器。但在使用 Clash/Surge 时，最好在客户端内部配置 DoH。

常用 DoH 地址：

阿里 DNS：https://dns.alidns.com/dns-query
腾讯 DNS：https://doh.pub/dns-query
Google DNS：https://dns.google/dns-query
Cloudflare DNS：https://1.1.1.1/dns-query

TUN 模式对 DNS 泄漏的影响

ClashX Pro 的“增强模式”和 Clash Verge 的“TUN 模式”是通过创建一个虚拟网卡来实现的。

为什么要开 TUN 模式？ 默认的“系统代理”只能影响设置了代理的应用（如浏览器）。而终端命令（curl, git）、某些游戏、系统更新等，往往不遵循系统代理设置。

开启 TUN 模式后，系统所有流量都会经过这个虚拟网卡。配合 fake-ip，它可以实现全系统层面的 DNS 劫持和保护，是防止 DNS 泄漏的最有力防线。

验证修复效果的方法

当你修改完配置后，按照以下步骤进行最后确认：

清除系统 DNS 缓存：打开终端（Terminal），输入： sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
重启代理客户端。
再次访问 dnsleaktest.com。
进行 Extended Test：
- 如果列表里 没有任何一个中国服务器，恭喜你，DNS 泄漏已彻底修复。
- 如果你发现测试结果里显示的 IP 都是来自 Google、Cloudflare 或者你代理服务器的提供商，那么你的隐私得到了完美保护。

总结

DNS 泄漏是很多 macOS 用户在配置网络环境时最容易忽视的问题。通过简单的“系统代理”往往无法实现真正的隐匿。

阿明的建议：

优先选择支持 TUN 模式 和 Fake-IP 的客户端。
务必在配置文件中显式启用 dns 模块，并配置国内外分流的 nameserver 与 fallback。
尽量使用 DoH/DoT 加密协议。

想要了解更多关于 ClashX 的安装与进阶配置，欢迎访问 clashx.tech 获取最新工具和教程。

保护隐私没有终点，希望这篇文章能帮你构建一个更安全的 macOS 上网环境。如果你在配置过程中遇到任何问题，欢迎在评论区留言交流！

macOS DNS 泄漏完全防护指南：检测、原因与彻底修复