Clash Verge Rev DNS 泄漏怎么检查？从检测结果定位原因
简答：先在同一节点下运行 DNS 检测，再核对 Clash Verge Rev 的连接记录、运行配置和日志。若检测到运营商 DNS、IPv6 直连或 WebRTC 地址，按对应分支排查；复测后结果应与当前代理出口和预期解析路径一致。
定义：DNS 泄漏是指域名解析请求没有按预期经过 Clash Verge Rev 或代理链路，而是被系统、浏览器、路由器或其他应用交给了意外的 DNS 解析服务器。
先做这张检查清单：不要只看网页上的一个结果
本文是第三方使用指南，不是 Clash Verge Rev 官方页面。DNS 泄漏检查的目标不是看到某个公共 DNS 名称就下结论，而是确认当前浏览器、当前节点、当前代理模式下，域名解析请求实际由谁处理。
| 检查项 | 怎么做 | 看到什么才算有意义 |
|---|---|---|
| 当前环境 | 记录节点、代理模式、是否开启 TUN、浏览器名称 | 前后复测条件一致 |
| DNS 检测 | 运行 DNS Leak Test 的 Extended test，或打开 BrowserLeaks DNS Leak Test | 记录解析服务器名称、所属网络和数量 |
| IPv4 与 IPv6 | 在 ipleak.net 查看地址与 DNS 检测结果 | 确认是否出现预期之外的 IPv6 地址或解析器 |
| 客户端交叉验证 | 打开 Clash Verge Rev 的 Connections、运行配置和日志入口 | 确认测试域名是否进入核心、匹配了什么规则 |
最快的做法是：先连接节点，关闭其他代理软件和浏览器扩展，打开一个新的浏览器窗口运行 Extended test；随后不要更换节点，直接查看 Clash Verge Rev 的连接记录。这样才能把检测站显示的结果和客户端实际处理路径放在一起判断。
第一步：按统一条件运行 DNS 泄漏检测
- 记录当前状态。记下当前节点、Rule 或 Global 模式、System Proxy 是否开启、TUN Mode 是否开启，以及浏览器是否启用了 Secure DNS。不要在检测过程中切换节点。
- 先测 DNS。打开 DNS Leak Test，优先选择 Extended test；也可以使用 BrowserLeaks DNS Leak Test。BrowserLeaks 说明其 DNS 测试会解析随机生成的 IPv4-only 与 IPv6-only 域名，因此结果应同时观察 IPv4 和 IPv6 相关记录。
- 记录而不是只看颜色。保存检测到的 DNS 服务器名称、网络归属、国家或地区、数量和测试时间。公共 DNS、节点侧 DNS 与运营商 DNS 不能仅凭名称判断，必须结合你的连接路径和配置。
- 补测 IP、IPv6 和 WebRTC。打开 ipleak.net，再查看 BrowserLeaks WebRTC Leak Test。DNS、出口 IP、IPv6 和 WebRTC 是不同问题，某一项正常不代表其他项目也正常。
如果 DNS 检测出现运营商名称或本地网络提供的解析器，先把它记为“疑似未按预期走代理”，不要直接把所有公共 DNS 都判定为泄漏。ipleak.net 也将 DNS 泄漏定义为名称解析离开预期隧道，并提示浏览器 DoH、应用独立 DNS、系统解析器和 IPv6 都可能形成不同路径。
第二步：在 Clash Verge Rev 里核对连接、运行配置和日志
- 看 Connections。在 Clash Verge Rev 主界面打开 Connections，重新访问一个全新的检测页面或刷新检测域名，观察相关域名是否出现在连接列表中。若完全没有记录，可能是浏览器 Secure DNS、浏览器扩展或其他应用直接处理了解析请求。
- 看当前运行配置。进入配置或 DNS 设置，核对
dns.enable、enhanced-mode、nameserver、fallback、respect-rules与proxy-server-nameserver。mihomo 文档说明，dns.enable为 false 时会使用系统 DNS；enhanced-mode可选fake-ip或redir-host，默认是redir-host。 - 看 TUN 设置。确认 TUN Mode 是否开启，并核对 DNS Hijack、Strict Route、Auto Route 和 DNS Mode。Clash Verge Rev 的设置文本显示，TUN 模式用于捕获系统流量；DNS Hijack、Strict Route 等选项会影响 DNS 请求是否进入核心处理。
- 看日志。进入 Settings → Verge Advanced Setting → Open Logs Dir，或使用界面中的日志入口查看内核日志。官方项目的隐私说明指出，
logs/与service-logs/可能包含请求域名、IP 地址和连接元数据；分享日志前应删除订阅地址、令牌和个人网络信息。
日志中重点搜索测试域名、DNS、resolve、hijack、timeout、fallback 等关键词。若检测站有结果，但 Connections 和核心日志都没有对应请求，优先检查浏览器 Secure DNS、浏览器扩展和应用自身的 DNS 设置，而不是先改 YAML。
第三步：按检测结果反查原因
| 检测现象 | 优先怀疑 | 下一步 |
|---|---|---|
| 出现运营商或路由器 DNS | 系统 DNS、TUN 未接管 DNS，或浏览器绕过系统解析 | 检查 TUN、DNS Hijack、DNS Mode，并暂时关闭浏览器 Secure DNS 后复测 |
| 只显示公共 DNS，无法确认是否经过节点 | 检测站只显示解析器身份，未说明完整路径 | 结合节点出口、Connections、运行配置和日志判断，不以 DNS 名称单独定性 |
| DNS 结果为空或数量异常少 | 浏览器缓存、检测脚本未完成、IPv6 被关闭或当前页面未产生足够请求 | 开新窗口清除页面状态，重新运行 Extended test，并分别观察 IPv4 与 IPv6 |
| IPv4 经过预期出口，但出现本地 IPv6 | IPv6 未被 TUN 或代理路径覆盖 | 检查 Clash Verge Rev 的 IPv6 开关、TUN 路由和系统 IPv6，再单独复测 |
| WebRTC 显示真实公网地址 | 浏览器 WebRTC 暴露地址，和 DNS 泄漏不是同一问题 | 在新标签页复测，并按浏览器设置限制 WebRTC；不要用 DNS 配置代替 WebRTC 排查 |
| 检测站显示变化，但核心日志没有变化 | 浏览器 Secure DNS、扩展或应用独立解析 | 暂时关闭相关功能后复测，确认是否恢复到核心可见的解析路径 |
如果使用了 GEOSITE、GEOIP 或 IP-CIDR 规则，还要留意规则触发的额外解析。mihomo 文档说明，respect-rules 会让 DNS 连接遵守路由规则，并要求配置 proxy-server-nameserver；nameserver-policy 则可按域名指定解析服务器。规则越复杂，越不能只凭检测站的国家或服务商名称判断。
fake-ip、TUN、DNS 覆写和 Secure DNS 分别代表什么
- fake-ip：是 mihomo 的 DNS 处理模式之一，用于为域名返回虚拟地址。它不能单独证明所有 DNS 请求都不会泄漏，仍要检查 DNS 请求是否进入核心、规则是否生效以及浏览器是否自行解析。
- TUN：主要解决系统流量捕获范围问题。系统代理只影响遵守系统代理设置的程序，TUN 通常覆盖范围更广，但是否正确处理 DNS 还取决于 DNS Hijack、路由和系统环境。
- DNS 覆写：Clash Verge Rev 的界面可能将订阅中的 DNS 配置替换为界面配置。官方界面文本提醒，DNS Overwrite 可能替换订阅自带 DNS，导致节点连接或部分网站加载异常，因此修改前应先备份配置。
- Secure DNS：浏览器内置的 DNS over HTTPS 或类似功能可能绕过系统 DNS 和客户端核心。检查时应记录开关状态；若关闭后结果发生变化，说明浏览器解析路径参与了问题。
排查顺序建议固定为：先确认检测条件，再确认浏览器路径，接着查看 Clash Verge Rev 的 Connections 和运行配置，最后才调整 DNS 或 TUN 参数。一次只改一个变量，并在同一节点下复测，否则无法知道是哪项设置产生了变化。
最后核对：什么时候可以认为问题已定位
可以认为问题基本定位，至少要满足三点：第一，DNS 检测结果已保存，知道显示的是哪些解析器；第二，Clash Verge Rev 的 Connections、运行配置或日志中能找到对应路径，或者已经确认请求绕过了核心；第三，关闭或调整一个具体功能后，在同一节点、同一浏览器和同一检测站复测，结果出现可重复变化。
不要把“网页能打开”当成 DNS 没有泄漏，也不要把“检测到 Cloudflare、Google 或其他公共 DNS”直接等同于泄漏。DNS 检测只反映当前浏览器和当前网络条件；如果要检查其他应用，还需要分别测试应用自己的网络路径。
常见问题
Clash Verge Rev 开启 fake-ip 后还需要检查 DNS 泄漏吗？
需要。fake-ip 只是 mihomo 的 DNS 处理模式，不能单独证明浏览器、系统或其他应用的 DNS 请求都经过核心。仍应运行检测，并核对 Connections、运行配置和日志。
DNS Leak Test 显示 Google 或 Cloudflare，就一定是 DNS 泄漏吗？
不一定。检测站显示的是响应探测请求的解析器身份，公共 DNS 可能由节点、加密 DNS 或浏览器 Secure DNS 使用。应结合当前节点、配置和日志判断，不能只看服务商名称。
为什么网页能打开，但 DNS 泄漏检测仍显示异常？
网页可访问只说明当前请求成功，不代表域名解析路径符合预期。浏览器 Secure DNS、IPv6、应用独立 DNS 或系统解析器都可能让网页正常打开，同时产生另一条解析路径。
Clash Verge Rev 的 DNS 日志在哪里看？
可从 Settings → Verge Advanced Setting → Open Logs Dir 打开日志目录；部分版本也提供日志页面。查看前先提高日志级别并重新访问测试域名，分享前删除订阅地址、令牌和个人网络信息。
DNS、IPv6 和 WebRTC 泄漏应该怎么区分？
DNS 泄漏看域名解析服务器，IPv6 泄漏看是否出现未预期的 IPv6 地址或路径，WebRTC 泄漏看浏览器实时通信是否暴露地址。三者需要使用对应检测页面分别验证。