DNS 污染、DNS 泄漏和 DNS 解析失败有什么区别

一句话区分：污染是解析结果被伪造成错误 IP，泄漏是查询绕过了代理隧道，解析失败则是拿不到任何可用结果。三者成因不同，处理方法也各不相同。

故障表现：三种问题各自长什么样

DNS 污染：域名被解析到错误的 IP。典型表现是某些境外网站直连时跳出错误页面或连接被重置；在代理下若客户端采用本地解析，也会出现部分网站时好时坏。用不同工具查询同一域名，得到的 IP 与官方地址对不上。

DNS 泄漏：一切看起来正常——网页能开、速度不慢，问题出在看不见的地方：域名查询没有走代理隧道，而是发给了运营商的 DNS 服务器。后果主要有两个：访问了哪些网站的记录留在了本地网络一侧；依赖解析位置做调度的服务（例如流媒体 CDN、地区判定）可能给出与节点不一致的结果。

DNS 解析失败：域名压根查不到结果。浏览器报「找不到服务器 IP 地址」或 DNS_PROBE_FINISHED 一类错误，代理客户端日志里能看到查询超时或 SERVFAIL。如果连上代理后所有网站都打不开，问题更可能在连接层，建议先按连接超时的排查步骤处理。

最常见原因

污染与劫持：一个在链路上，一个在服务器上

污染发生在查询的传输路径上：明文 UDP 53 查询经过某些网络边界时，可能被抢先注入伪造应答，假结果比真结果先到，客户端就采信了。它不挑解析服务器——即便你手动改用了公共 DNS，只要查询以明文出境，同样可能收到假应答。

劫持则发生在解析服务器一侧：运营商 DNS 主动改写结果，常见形态是把不存在的域名指向导航页、给部分域名插入跳转。换一台干净的解析服务器通常能避开劫持，却避不开污染，这是两者的关键区别。

泄漏：查询走在隧道之外

代理客户端接管的是流量转发，DNS 查询是否进隧道取决于配置。常见泄漏路径：系统代理模式下应用先用系统解析器查询、TUN/VPN 模式未接管 53 端口、浏览器自带的「安全 DNS」直连了第三方服务。详细的检测与修复见 DNS 泄漏自查与修复。

解析失败：配置错误或上游不可用

多数出在客户端 DNS 配置：填写的上游服务器无法直连、DoH 地址本身需要代理才能访问却被用来引导代理（俗称套娃）、分流规则把 DNS 流量指到了失效节点等。

为什么开了代理还会被污染影响

关键在客户端如何拿到域名对应的 IP。redir-host 模式下，客户端会先在本地解析域名，再依据结果分流和连接——若上游 DNS 返回的已是被污染的地址，后续动作全部建立在错误 IP 上。fake-ip 模式一句话概括：客户端先把一个保留网段的假 IP 立刻返回给应用，真实解析推迟到代理服务器远端完成，本地污染因此影响不到走代理的境外域名。

另外，分流本身对 DNS 有要求：规则要按域名匹配才准确；国内域名应交给国内 DNS 解析，才能命中就近的 CDN 节点；境外域名则应尽量避免在本地做明文解析。

快速判断方法

1. 按症状归类：解析到错误 IP，指向污染或劫持；能上网但担心暴露，做泄漏检测；查不到任何结果，属解析失败。
2. 换解析服务器对比：同一域名分别用运营商 DNS 与公共 DNS 查询（如 nslookup 域名 服务器IP）。两边结果都异常，偏向污染；仅运营商一侧异常，偏向劫持。
3. 做一次泄漏检测：开着代理访问泄漏检测类网站，看列出的解析服务器归属地。常用检测入口在工具页有整理。
4. 查客户端日志：Clash 系客户端的日志能看到每条查询用了哪个上游、是否超时，是最直接的证据。

按客户端处理

Windows（Clash Verge）

在设置中启用内置 DNS，增强模式选 fake-ip，并开启 TUN 模式统一接管系统的解析请求；国内域名交给国内加密 DNS，境外域名交由远端解析。各选项的入口位置见 Clash Verge 使用教程。

Android（ClashMeta）

以 VPN 模式运行并开启 DNS 接管；同时把系统设置里的「私人 DNS」关闭或改为自动，避免查询绕过客户端直连第三方。配置方法参考 ClashMeta 安卓教程。

iPhone（Shadowrocket）

Shadowrocket 以 VPN 方式接管流量，走代理的请求默认把域名交给服务器远端解析；直连流量使用的上游可在 DNS 设置中改为加密 DNS。细节见 Shadowrocket 配置教程。

如何判断是不是机场线路的问题

DNS 类故障多数源于本地配置，但也有例外：节点服务器的远端解析异常，或订阅下发的配置里 DNS 字段不合理。判断办法是交叉对比——换两三个不同地区的节点、用同一订阅在另一台设备复现、把客户端 DNS 改成自定义上游后再观察。如果多节点多设备表现一致、自定义上游也无效，问题大概率在本地网络或配置；若只集中在个别节点，把日志和复现步骤反馈给服务商。长期不稳定的服务，可对照稳定性优先的机场建议重新评估。

FAQ

换了公共 DNS 为什么还是打不开某些网站？

明文查询在链路上就可能被注入伪造应答，与选哪家解析服务器关系不大。要避开污染，需要让查询加密（DoH/DoT）或交给代理远端解析。

fake-ip 模式有什么副作用？

个别依赖真实 IP 的程序（部分游戏、局域网发现服务等）可能工作异常。客户端通常提供 fake-ip 过滤名单，把这类域名排除出去即可兼顾。

DNS 泄漏会让网速变慢吗？

一般不会直接影响速度，它主要是隐私与 CDN 调度层面的问题。速度问题另有排查路径，见速度与丢包栏目。

解析失败和网站被封锁是一回事吗？

不是。解析失败是拿不到 IP；目标被封锁时往往能解析出 IP 但连接不通。前者调整 DNS 配置就有机会解决，后者需要依靠代理线路。