DNS 泄漏防护与 Fake-IP 模式解析：保护网络隐私与杜绝 DNS 污染

资料核对日期：2026-09
技术说明：本文介绍客户端 DNS 解析模式原理与安全防泄漏配置参考。

在出海网络与连接隐私领域，DNS 泄漏 是新手最常忽视的安全隐患之一。 如果您的本地 DNS 请求未经加密直接发送到宽带运营商的默认 DNS 服务器，您尝试访问的海外域名清单可能会被明文解析记录，甚至遭到 DNS 劫持与污染。

一、 Fake-IP 模式的工作机制

针对传统代理模式下系统先在本地发起 DNS 查询的弊端，现代化客户端（如 Clash Verge Rev、sing-box）普遍支持 Fake-IP (虚拟 IP 池) 模式：

1. 本地返回虚构 IP：当应用请求解析 example.com 时，客户端直接在本地为其分配一个虚构的保留私网 IP（例如 198.18.0.x）。
2. 建立流量映射：客户端记录下该虚拟 IP 与真实域名的映射关系。
3. 远端安全解析：当真实 TCP/UDP 连接到达代理节点后，由节点服务器在远端完成真正的安全 DNS 查询并转发数据。
4. 彻底杜绝本地污染：由于请求根本不需要经过本地运营商的明文 DNS 服务器，从根源上消除了 DNS 污染与查询泄露风险。

二、 官方 DNS 配置参考

在基于 Mihomo 内核的客户端中，您可以在配置文件的 dns 模块细化 enhanced-mode: fake-ip、fake-ip-range、nameserver 与加密 DoH (DNS over HTTPS) 服务器列表。

具体的字段定义、证书验证及回退机制，请查阅 Mihomo 官方 DNS 配置参考文档。