@zhy0216
在 DNS 泄露检测服务中，通过创建专门的测试域名和设置这些测试域名的 NS 记录(指明哪些 DNS 服务器是负责处理特定域名的查询)指向检测服务控制的 DNS 服务器，检测服务可以追踪所有对这个子域名的查询。当设备尝试解析这些测试域名时，所有的 DNS 请求将被发送到有检测服务的服务器，允许服务检测是否有任何非预期的 DNS 服务器在处理这些查询。

补充下，我使用 clash verge rev ，mihomo 内核，windows11 系统，不用系统代理而是开启 tun 模式，哪怕我的 nameserver 和 fallback 都是加密 dns ，不论是使用规则还是全局都会泄露。也就是绕过了 clash ，直接让操作系统里设置的 dns 向测试域名发送解析请求。

我猜测可能是内核 tun 和 windows11 的适配有关，因为在另一台 windows10 电脑上就不会有泄露。

@lxcopenwrt 第一次听说 mosdns ，有空去看看

@jqtmviyu ipcidr 和 fake-ip-filter 还可以继续完善补充，但这样的设置对普通人上网来说已经可以了。

@xwhxbg #33 遵循系统代理的软件把 dns 请求发到了 clash 上，这个过程确实没有“代理”dns

@icy37785 如果不忍心看着我们被带偏，那就好心给我们科普一下，为什么应对 dns 泄漏没有任何意义。怎么界定互联网民科，为什么互联网民科不是做无用功就是反方向做功？你有什么好的上网隐私保护建议？

@xwhxbg 据我所知，clash 内置的 dns 模块本身就会劫持和处理 dns 请求，然后再决定是否本机发出解析请求还是让远程代理服务器解析。
和 clash 是否使用的是 http 还是 socks5 代理没有关系，这应该是两个不同的部分。

@Blankspacee 并不认识

@xwhxbg 我这里说的就是系统代理，没有涉及 tun 模式

@vx007 #16 确实是这样，但是对于绝大部分的普通人来说，他们的需求只是尽量降低隐私泄露，用最小代价实现最大的隐私保护，本质上是效能问题。

@M5tuA 已经加过了，但是 tg 群组（包括所有社交软件的群组）其实都不太适合严肃讨论，倒是可以在 github 上问一下

dns 设置推荐：

default-nameserver 国内明文 dns
nameserver 国内加密 dns
fallback 国外加密 dns

@RageBubble #12 所以还是有必要设置 fallback-filter 中的 geosite 和 geoip ，这样即使遇到了这种情况，也只会向 fallback 中设置的国外加密 dns 发送请求，而不会向 nameserver 中的国内加密 dns 发送请求。

虽然这依赖于 geosite 的数据库，可能还是会有漏网之鱼，但对于普通上网的人来说足够了。

@RageBubble #12 当然这里的暴露是说向 isp 暴露，nameserver 使用国内加密 dns ，内容也会向加密的国内 dns 厂商暴露。

@Puteulanus #8 确实，如果自己的配置中恰好 a.net 非法国外域名没有优先匹配到域名规则，而是先碰到了 IP 规则（没有 no-resolve ），nameserver 又是国内明文 dns 的话，就会暴露。

@Puteulanus 如果提供一个自己实际地理位置的虚假 ip ，还是有可能泄漏位置信息吧

我理解的是 fakeip-Direct 是指那些位于 fakeip-filter 中的域名和网址，也就是那些不使用 fake-ip 的网络连接。但是当我连接 fakeip-filter 中的域名时，查看 wireshark ，clash 还是向 nameserver/fallback 查询了该域名。

fakeip 未命中也不太理解，如果是“当一个应用程序或设备第一次请求一个域名时，如果这个域名还没有在 Clash 的内部 FakeIP 映射表中，那么它就会是一个“未命中”的情况。”，那么是否意味着所有的第一次发起的域名解析都属于 fakeip 未命中，然后使用代理解析域名？但我在 wireshark 中测试，clash 同样还是向 nameserver 查询了该域名。

1 万小时这个概念不准确，最准确的是判断你有没有长时间的刻意练习。

@ThorTso rss 阅读器，信息内容要自己去添加。如果想看文章新闻，端传媒也不错，同样也要付费