Clash 怎么检查有没有 DNS 泄漏

使用 Clash 时，判断是否存在 DNS 泄漏最直接的方法是通过在线检测工具，例如 dnsleaktest.com。访问该网站后，点击“Standard Test”按钮，系统会自动向多个全球分布的 DNS 服务器发送查询请求，并记录返回结果。若检测结果显示你的真实公网 IP 所在的本地运营商 DNS 信息（如电信、联通的 114.114.114.114）出现在结果中，说明存在泄漏。尤其当你的 Clash 配置为使用自定义 DNS（如 Cloudflare 1.1.1.1），但测试仍显示本地运营商域名解析路径，则证明配置未生效或规则有误。

检查 DNS 泄漏前，务必确认 Clash 的全局模式已启用且规则正确加载。进入 Clash 客户端设置，确保“Proxy”模式为“Global”，而非“Rule”或“Manual”。如果使用的是 Rule 模式，部分国内域名可能绕过代理直连解析，导致本地 DNS 被调用。以访问百度为例，若规则未明确指定其走代理，系统将默认使用系统原生 DNS，此时即便你设置了 DNS 为 1.1.1.1，实际仍可能被泄露。建议在规则中添加 `DOMAIN-SUFFIX,baidu.com,Proxy` 条目，强制所有百度相关请求经由代理链路。

进一步验证可手动执行命令行测试。在 Windows 上打开命令提示符，输入 `nslookup baidu.com`，观察返回的服务器地址是否为所设定的自定义 DNS。若输出显示 `Server: 114.114.114.114`，而你本应使用 1.1.1.1，则说明系统未遵循 Clash 的配置。在 macOS 或 Linux 中同样可用 `dig @1.1.1.1 baidu.com` 命令，若返回的 nameserver 仍为本地网关或运营商地址，即表明存在泄漏。此方法能精确识别问题出在系统级还是客户端配置层。

若发现泄漏，应检查 Clash 的配置文件是否正确引用了 DNS 项。在 YAML 文件中，需确保 `dns:` 部分包含如下结构： ```yaml dns: enable: true listen: 0.0.0.0:53 default-nameservers: - 1.1.1.1 - 1.0.0.1 enhanced-mode: fake-ip ``` 其中 `default-nameservers` 必须显式列出你希望使用的服务器，且不能遗漏。若仅写 `nameservers: [1.1.1.1]` 但未开启 `enable: true`，则不会生效。此外，`enhanced-mode: fake-ip` 可有效隐藏真实查询路径，减少泄漏风险，但需配合支持该模式的客户端版本。 延伸阅读：PikPak 怎么提高大文件转存成功率。 延伸阅读：招聘系统解析简历时会踩哪些坑。

当遇到 PikPak 分享链接打不开的情况，可能是因网络环境触发了节点限流或域名被封锁。此时应检查 Clash 是否开启了「Bypass China」或类似规则，导致 PikPak 域名未走代理。可在规则中添加 `DOMAIN-SUFFIX,pikpak.com,Proxy`，并重启客户端。若仍无法访问，尝试切换至更稳定的节点（如日本或新加坡），或更换为 TCP 代理协议，避免 UDP 被干扰。同时注意，部分分享链接需登录账户才能访问，若未登录，即使网络正常也无法打开。

关于简历投递格式，若使用 Word 格式，需特别注意兼容性问题。某些 HR 系统对 .docx 文件解析异常，可能导致表格错位或字体丢失。相比之下，导出为 PDF 后内容固定，格式稳定，尤其适合含图表、多栏布局的简历。但若企业明确要求提交 Word 版，应保留原始 .docx 并用“另存为”功能去除元数据。例如，使用 Microsoft Word 的“文件 → 另存为 → 选择保存类型为 .docx”并勾选“不保留文档样式”选项，可避免嵌入敏感信息泄露，也解决简历该用 PDF 还是 Word 投递的争议。

最后，定期进行自动化检测可预防泄漏。可通过编写一个简单的 Bash 脚本定时运行 `nslookup google.com` 并记录输出，再与预期值比对。若发现非预期的 DNS 服务器出现，立即报警或重启 Clash。结合日志分析，还能定位是某特定应用（如浏览器、微信）绕过了代理，进而针对性地在防火墙中限制其联网权限。持续监控让安全边界不再依赖人工记忆，而是建立在可量化的数据反馈之上。