Clash Verge Rev DNS污染与泄漏修复：配置、TUN与验证步骤

更新于 2026-11-09 · oumei.store

简答：如果 Clash Verge Rev 已开代理但仍提示 DNS 泄漏，先关闭浏览器 Secure DNS，再确认当前配置中的 DNS 覆写、TUN 的 dns-mode 和系统代理是否真正生效。然后只改一项配置，用 nslookup、客户端日志和多次页面测试复核；不要直接改订阅原 YAML，否则更新后可能被覆盖。本文适用于 Clash Verge Rev v2.5.10，其他版本的菜单名称以当前界面为准。

定义：DNS污染通常指域名解析结果被错误替换或无法得到预期地址，DNS泄漏则指查询请求仍经由系统、运营商或其他未预期的解析路径发出，两者不是同一个问题。

先做四步速查：不要一上来重写整份配置

适用范围：Clash Verge Rev v2.5.10，Windows、macOS、Linux 桌面端；其他版本的按钮和字段可能不同，请以当前界面和实际生效配置为准。官方发布页在 2026 年 11 月 3 日列出 v2.5.10，并注明该版本修复了订阅 DNS 变化后“DNS 覆写”状态显示不一致的问题，版本信息可在项目发布页复核。

最快的第一步是：暂时关闭浏览器的“安全 DNS”或“使用安全 DNS”功能，再完全退出并重新打开浏览器测试。如果问题消失，优先处理浏览器独立解析；如果仍然存在，再进入 Clash Verge Rev 的 DNS 设置排查。

本站是第三方使用指南站，不是 Clash Verge Rev 的官网。本文只讲 DNS 污染、DNS 泄漏及相关连接排查，不提供节点、订阅地址、价格或实时测速结论。

先区分四种现象：DNS污染不等于DNS泄漏

DNS污染或解析异常：输入域名时返回错误地址、解析超时、不同 DNS 返回结果明显不一致，或者域名访问失败而直接访问已知 IP 暂时正常。此时要同时排查上游 DNS、规则分流、缓存和节点可达性，不能仅凭一个检测页面下结论。

DNS泄漏：代理或 TUN 已经开启，但 DNS 查询仍由系统网卡、浏览器独立解析器、IPv6 网卡或其他并发解析路径发出。它可能表现为检测结果仍显示本地网络的 DNS，但这并不自动证明所有流量都未经过代理；需要结合配置、日志和复测判断。

规则误分流：域名本身解析正常，但被规则送往 DIRECT 或错误策略组。此时修改 nameserver 可能没有效果，应查看当前模式、规则命中和策略组。

节点或出口故障：DNS 返回正常地址，但连接、TLS 或网页加载失败。可以用同一域名切换不同节点复测，避免把节点问题误判成 DNS 问题。

第一阶段：备份并确认真正生效的配置

1. 先备份。在 Clash Verge Rev 的设置或配置目录中使用现有备份能力，至少保留当前配置、DNS 覆写内容和订阅配置。不要把包含令牌的完整订阅链接粘贴到第三方检测页面。
2. 确认当前配置来源。订阅更新、DNS 覆写和 Merge 可能分别影响最终配置。直接修改订阅下载得到的 YAML，更新订阅后可能被重新生成的内容覆盖；应优先使用客户端提供的 DNS 覆写或 Merge 机制，并在应用后查看“当前配置”或运行日志。
3. 确认内核状态。如果日志出现配置解析失败、DNS 配置错误或内核启动失败，先恢复上一份可用配置，不要继续叠加字段。
4. 确认模式。先用 Rule 模式和系统代理做基线测试，再单独开启 TUN。系统代理主要影响遵循系统代理的应用，TUN 则会改变系统路由与 DNS 处理，二者出现问题时应分开验证。

Clash Verge Rev 的界面源码列出了 DNS 覆写、enhanced-mode、fake-ip-range、respect-rules、proxy-server-nameserver、direct-nameserver 和 nameserver-policy 等字段；但不同版本的界面路径可能变化，建议以当前客户端显示的字段为准，可参考其设置字段定义。

第二阶段：用最小配置判断是上游 DNS 还是分流问题

先不要同时启用大量规则、IPv6、DoH、DoT 和复杂策略。可以在 DNS 覆写或 Merge 中建立一个最小测试配置，再根据日志逐项恢复：

dns:
  enable: true
  ipv6: false
  enhanced-mode: fake-ip
  nameserver:
    - https://1.1.1.1/dns-query
    - https://8.8.8.8/dns-query
  fallback:
    - https://1.1.1.1/dns-query
  proxy-server-nameserver:
    - 1.1.1.1
    - 8.8.8.8

上面只是排查示例，不代表这些解析服务在所有网络环境下都可达，也不代表它们一定适合长期使用。若启用 DoH 后反而无法解析，先改用当前网络能够访问的纯 IP DNS 或订阅原有 DNS，再检查 DoH 地址的连通性。

mihomo 文档说明，nameserver 是默认域名解析服务器，fallback 是备用解析服务器，proxy-server-nameserver 专门用于解析代理节点域名；如果启用 respect-rules，DNS 连接会遵循路由规则，同时需要考虑代理节点域名的解析，否则可能出现“DNS 要走代理，但代理节点本身还没解析出来”的循环依赖。具体字段含义以mihomo DNS 配置文档为准。

判断方法是一次只改一个字段：先只改 nameserver；仍异常时再加入 fallback；最后才考虑 respect-rules、nameserver-policy 或通过代理查询。每次修改后都重新加载配置，并记录“修改前—修改后”的解析结果。

第三阶段：理解 fake-ip、redir-host 与 TUN 的关系

fake-ip 和 redir-host 是 DNS 增强模式，不是“防泄漏开关”。fake-ip 会为域名返回一个虚拟地址，再由内核根据映射处理连接；因此在命令行中看到类似 198.18.x.x 的结果，不应直接当作污染。redir-host 则返回真实地址，兼容性和排查表现不同。

如果局域网设备、打印机、NAS、公司内网域名或游戏连接异常，先检查 fake-ip-filter、内网域名和本地解析需求，不要直接把所有域名加入过滤列表。过滤范围过大可能使部分请求绕过预期的 fake-ip 处理；过滤范围过小又可能影响局域网应用。

TUN 的作用是接管更广范围的系统流量，但是否能处理 DNS，还取决于 dns-mode、dns-hijack、strict-route 和系统平台。mihomo 官方文档说明，native 会把 TUN 地址设为系统 DNS，hijack 还会拦截其他网卡发往 53 端口的流量；Windows 使用 hijack 时通常需要配合 strict-route，Linux 则涉及 auto-redirect，macOS 的默认行为又不同。可按平台查看TUN 配置文档。

第四阶段：Windows、macOS、Linux分别怎么验收

Windows

1. 关闭浏览器 Secure DNS，确认系统代理或 TUN 只启用一种主要模式。
2. 打开命令提示符，执行 nslookup example.com，记录服务器地址和返回结果；不要只看一次结果。
3. 如果使用 TUN，检查是否启用 strict-route，Windows 防火墙是否允许 Clash Verge Rev 内核通过。
4. 切换一次 TUN 开关后重新查询，并查看日志中是否出现 DNS 启动、请求或配置错误。

macOS

1. 先关闭浏览器独立 DNS，再分别测试系统代理和 TUN，不要同时改变两种模式。
2. 在终端执行 scutil --dns 查看系统解析器，再执行 nslookup example.com 对比。
3. 如果 TUN 开启后断网，先关闭 TUN恢复连接，再检查 DNS 覆写、网络扩展权限和当前出口接口。

Linux

1. 确认系统使用的解析服务，例如 systemd-resolved、NetworkManager 或发行版自带网络管理器。
2. 检查 TUN 的 auto-route、auto-redirect 与防火墙规则是否互相冲突。
3. 使用 resolvectl status 或当前发行版对应命令确认 DNS 来源，再对比 Clash Verge Rev 日志。

这些命令用于观察系统状态，不会自动修复配置。若系统仍保留多个网卡、IPv6 或浏览器独立解析路径，应先禁用一个变量再复测。mihomo 文档特别提示，多出口网卡设备可手动指定出口接口；Windows 的 strict-route 还可能影响部分虚拟化软件，因此修复后要测试办公内网和本地设备。

订阅更新后又泄漏：检查覆写是否被关闭或覆盖

如果手动配置刚生效，订阅更新后问题再次出现，优先检查三点：第一，DNS 覆写是否按配置文件分别保存；第二，订阅是否自带 DNS 并触发了客户端保护提示；第三，Merge 文件是否实际加载，而不是只保存到了磁盘。

v2.5.10 的官方发布说明提到，订阅 DNS 发生变化后，DNS 覆写开关显示与实际状态不一致的问题已经修复。即使使用该版本，也应在更新订阅后重新打开当前配置，确认 dns.enable、enhanced-mode 和 nameserver 等字段确实存在，再看日志是否重新加载成功。

安全处理上，订阅地址可能包含获取配置的权限。备份时只保留脱敏后的地址或本地配置副本，不要把完整令牌、账号或私钥提交给第三方。若需要向他人求助，只提供错误信息、系统版本、脱敏后的字段和可复现步骤。

如何验收：至少完成三层复测

1. 命令行层：使用 nslookup 或系统对应工具，对同一域名连续查询两到三次，记录 DNS 服务器、返回地址和是否超时。
2. 客户端层：查看 Clash Verge Rev 日志，确认内核已启动、DNS 配置通过，且请求没有持续报错。若日志只显示节点连接失败，应转到节点或规则排查。
3. 应用层：用浏览器、命令行工具和一个实际办公应用分别测试。浏览器能打开不代表所有应用都经过同一 DNS 路径。

如果检测页面仍显示多个 DNS 服务，不要立刻认定为泄漏。先关闭浏览器 Secure DNS，暂时关闭 IPv6，确保 TUN 的 DNS 处理方式已生效，再重复测试。若关闭某一项后结果改变，说明该项是重要变量；恢复时一次只打开一个功能。

回滚方法：关闭 DNS 覆写，恢复备份配置，关闭 TUN，重新启动客户端和浏览器，再确认系统网络恢复。回滚成功后，可按“系统代理—DNS 覆写—fake-ip—TUN—IPv6”的顺序逐项开启，找到真正引发问题的设置。

常见问题 FAQ

1. 开启 fake-ip 后看到 198.18.x.x，是不是 DNS 污染？

不一定。fake-ip 模式本来就可能返回虚拟地址，关键是确认当前增强模式、日志和实际连接是否一致。若只有 fake-ip 地址本身异常，但网页和应用正常，不能单凭这个地址判定污染。

2. DNS 覆写要不要一直开启？

不一定。若订阅已经提供可用 DNS，强行覆写可能替换原配置，导致节点或部分网站无法连接。先查看当前配置和客户端提示；只在确认需要统一排查或修复时启用，并保留回滚副本。

3. 为什么 TUN 开启后反而无法上网？

常见原因包括 DNS 劫持方式与平台不匹配、strict-route 或防火墙阻止内核、自动选择了错误网卡，以及 fake-ip 过滤范围不适合当前局域网。先关闭 TUN恢复网络，再只调整一个字段并查看日志。

4. nameserver、fallback 和 proxy-server-nameserver有什么区别？

nameserver用于常规域名解析，fallback是备用解析来源，proxy-server-nameserver主要解决代理节点域名本身的解析。它们不是三个可以随意互换的 DNS 列表，配置前应先判断请求属于普通网站、直连域名还是节点域名。

5. 浏览器检测仍显示本地 DNS，但 Clash 日志正常，怎么办？

先关闭浏览器 Secure DNS，检查 IPv6 和系统多网卡 DNS，再用命令行与另一个应用复测。如果只有一个浏览器显示异常，优先处理浏览器设置；如果所有应用都异常，再回到 TUN、dns-hijack 和 strict-route。

6. 订阅更新后 DNS 配置消失，怎么恢复？

不要继续修改订阅原文件。检查 DNS 覆写是否仍开启、Merge 是否加载、当前生效配置是否包含目标字段；恢复备份后重新应用，并在下一次订阅更新后再次核对。

常见问题

Clash Verge Rev 开启 fake-ip 后返回 198.18.x.x，是 DNS 污染吗？

不一定。fake-ip 模式可能返回虚拟地址，应结合增强模式、日志和实际连接判断，不能只凭 198.18.x.x 判定污染。

DNS 覆写和订阅自带 DNS 冲突怎么办？

先查看当前配置和客户端提示，保留备份后只启用一种明确的 DNS 来源；若订阅 DNS 已可用，不要为了排查而强行覆盖。

TUN 开启后无法上网怎么回滚？

先关闭 TUN并恢复网络，再检查 dns-mode、dns-hijack、strict-route、防火墙和出口网卡；一次只改一个设置。

为什么浏览器检测显示 DNS 泄漏，但客户端日志正常？

先关闭浏览器 Secure DNS，检查 IPv6和多网卡，再用 nslookup 与其他应用复测。单个浏览器异常不一定代表全局 DNS 路径异常。

订阅更新后 DNS 配置被覆盖怎么办？

检查 DNS 覆写、Merge 和当前生效配置，不要直接修改订阅原 YAML；恢复备份后重新应用，并在更新后再次核对。

相关阅读

• Clash Verge Rev 节点连不上时的订阅、端口与 TUN 排查
• Clash Verge Rev TUN 模式开启与回滚方法
• Mihomo 配置文件备份、校验与订阅覆写
• 节点延迟、丢包与稳定性复测方法

参考资料

1. Clash Verge Rev 官方 Releases：v2.5.10 发布说明
2. mihomo 官方 DNS 配置文档
3. mihomo 官方 TUN 配置文档
4. Clash Verge Rev 官方源码中的 DNS 与 TUN 设置字段