DNS 污染与泄漏是什么？如何配置纯净安全 DNS

为什么说 DNS 是网络访问的“第一张地图”？

你输入 google.com 时，电脑并不知道这个域名在哪，必须向 DNS 服务器询问：“请告诉我 google.com 的真实 IP 地址”。

污染发生的过程：

1. 你的电脑向本地宽带 DNS 发起普通的明文 UDP 查询。
2. 骨干网拦截机制检测到敏感域名，在真实解析结果返回之前，抢先伪造一个错误 IP（如 0.0.0.0 或保留 IP）返回给你的电脑。
3. 你的浏览器试图连接这个假 IP，自然提示“连接失败 / 连接已重置”。

彻底免疫 DNS 污染的三大武器

1. Fake-IP 模式（Clash 标配）

在 Clash Verge Rev 中，默认开启 enhanced-mode: fake-ip。

• 本地不进行任何真实 DNS 查询；
• 收到域名请求时立即分配虚拟内网 IP；
• 真实域名字符串随加密隧道直接送到海外节点由海外递归 DNS 解析，从源头消灭污染。

2. DNS-over-HTTPS (DoH) / DNS-over-TLS (DoT)

使用标准 TLS 加密传输 DNS 查询请求，中间人无法窥探查询内容，也无法篡改返回结果。

• 阿里 DoH 地址：https://dns.alidns.com/dns-query
• 腾讯 DoH 地址：https://doh.pub/dns-query
• Cloudflare DoH 地址：https://cloudflare-dns.com/dns-query