Clash梯子网

1
 ┌─────────────────────────────────────────────────────────────────────────────────────────────┐
2
 │                                   【DNS 四大常见异常与故障区分表】                          │
3
 ├──────────────────────────────┬──────────────────────────────┬──────────────────────────────┤
4
 │ 核心术语分类                 │ 底层发生的真实原因           │ 造成的具体异常表现           │
5
 ├──────────────────────────────┼──────────────────────────────┼──────────────────────────────┤
6
 │ 🔴 **DNS 污染 (Pollution)**  │ 中间网络篡改了 DNS 响应包    │ 域名被解析到错误的无效 IP 地址│
7
 │ 🔴 **DNS 劫持 (Hijacking)**  │ DNS 查询请求被强行重定向拦截 │ 访问目标网站被跳转到运营商提示页 │
8
 │ 🟡 **DNS 泄漏 (Leak)**       │ 域名查询绕过代理发给本地 ISP │ 运营商获知你查了什么域名(内容未知) │
9
 │ 🔴 **DNS 失败 (Resolution)** │ 无法获取任何响应 (NXDOMAIN)  │ 浏览器直接报错找不到服务器 IP │
10
 └──────────────────────────────┴──────────────────────────────┴──────────────────────────────┘

1
                                【标准 DNS 递归解析全链路图】
2

3
 浏览器输入域名 ──► 本地 DNS 缓存 (TTL) ──► 递归解析器 (如 8.8.8.8) ──► 权威 DNS 服务器 ──► 获得真实 IP
4
   (example.com)       (命中则秒开)               (代为多级查询)           (域名的官方管理者)      (A / AAAA 记录)

1
 场景 A：【本地 DNS 污染未被接管】
2
 浏览器发起请求 ──► 电脑系统依然向本地宽带 DNS 发起查询 ──► 获得污染的假 IP (如 127.0.0.1)
3
 ──► 浏览器尝试连接假 IP ──► 报错连接超时 (即使你的代理节点全部绿显正常！)
4

5
 场景 B：【Rule 模式下的 IP-CIDR 规则诱发死循环】
6
 分流规则要求匹配目标 IP ──► 客户端被迫在本地强行先解析域名 ──► 遭遇本地网络拦截 ──► 导致分流失败

1
                     【传统明文 DNS vs DoH vs DoT 传输协议差异】
2

3
 📡 传统 DNS (UDP/TCP 53)  ──► [明文传输，任何中间节点均可旁路抢答篡改] ──► 极易被污染
4
 🔒 DoT (DNS over TLS)     ──► [专有 853 端口建立 TLS 加密隧道] ──────────► 防篡改，特征明显
5
 🛡️ DoH (DNS over HTTPS)   ──► [复用标准 443 端口伪装成普通 HTTPS 流量] ──► 防篡改且抗特征审查

1
                             【Fake-IP 核心工作原理时序图】
2

3
 1. 浏览器向 Clash 查询 google.com 的 IP
4
 2. Clash 本地直接从保留地址池分配一个虚拟 IP (如 198.18.0.1)，并在内部维护映射表：
5
    [ 198.18.0.1 ──► 对应域名 google.com ]
6
 3. 浏览器瞬间拿到 198.18.0.1，立刻向该地址建立 TCP 连接
7
 4. Clash 捕获到目标为 198.18.0.1 的流量 ──► 查表还原出真实域名 google.com
8
 5. Clash 将域名直接封装进代理协议 ──► 发送给海外节点 ──► 由海外节点在远端完成真实 DNS 解析！

1
 ┌─────────────────────────────────────────────┬─────────────────────────────────────────────┐
2
 │ 🌐 System Proxy (系统代理模式)              │ 🛡️ TUN Mode (虚拟网卡模式)                 │
3
 ├─────────────────────────────────────────────┼─────────────────────────────────────────────┤
4
 │ - 仅向系统注册 HTTP/SOCKS 代理变量          │ - 创建操作系统底层的虚拟网络适配器          │
5
 │ - 浏览器的 DNS 请求可能依然走本地网卡       │ - 强制将全系统所有 UDP 53 端口流量劫持入隧道 │
6
 │ - 极易出现“网页能开但终端/游戏 DNS 挂掉”    │ - 彻底接管所有软件的 DNS 解析与 TCP/UDP 流量│
7
 └─────────────────────────────────────────────┴─────────────────────────────────────────────┘

1
 Layer 1: 本地缓存层 ──► 执行 `ipconfig /flushdns` 清空过期或被污染的本地记录
2
    ↓
3
 Layer 2: 浏览器策略层 ──► 检查 Chrome/Edge 的【安全 DNS (Secure DNS)】是否与客户端冲突
4
    ↓
5
 Layer 3: 客户端 DNS 模式 ──► 检查配置为 Fake-IP 还是 Redir-Host，确认映射表未满
6
    ↓
7
 Layer 4: 分流规则层 ──► 切换为 Global 全局模式，排除 Rule 规则中域名分流误判
8
    ↓
9
 Layer 5: 远端解析器层 ──► 检查代理配置中的 NameServer (如 `8.8.8.8` / `1.1.1.1`) 是否连通
10
    ↓
11
 Layer 6: TUN 虚拟网卡层 ──► 检查 TUN 模式的 DNS Hijack (劫持) 开关是否正常开启
12
    ↓
13
 Layer 7: IPv6 解析层 ──► 排查是否因 AAAA 记录解析超时导致网页首屏加载过慢

1
 ❌ 误区 1：只要把电脑本地 DNS 改成 8.8.8.8，不用梯子就能直接打开 Google。(错！中间网络依然会阻断)
2
 ❌ 误区 2：DoH 是一种绝对匿名的上网方式，开启后谁也查不到我。(错！DoH 提供方依然记录日志)
3
 ❌ 误区 3：Fake-IP 分配的 198.18.x.x 是黑客入侵我的电脑生成的病毒 IP。(错！RFC 预留基准虚拟地址)
4
 ❌ 误区 4：换一个更快的 DNS 服务器，我的梯子下载网速就会翻倍。(错！DNS 仅影响首次寻址速度)
5
 ❌ 误区 5：DNS 泄漏会导致我的银行卡密码和账号被泄露给运营商。(错！HTTPS 传输端到端全加密)
6
 ❌ 误区 6：DNS 污染和 DNS 劫持是完全一模一样的概念。(错！污染是篡改结果，劫持是重定向路径)
7
 ❌ 误区 7：开启了 TUN 模式后，系统就再也不需要配置任何 DNS 服务器了。(错！TUN 依然需要上游解析器)
8
 ❌ 误区 8：清空浏览器 DNS 缓存可以解决机场节点服务器全红的问题。(错！节点全红是服务端网络问题)
9
 ❌ 误区 9：同一个域名在全世界任何地方解析出来的 IP 都必须完全相同。(错！CDN 会根据地理位置分流)
10
 ❌ 误区 10：关闭 IPv6 解析可以防止所有的 DNS 污染。(错！IPv4 同样面临污染问题)
11
 ❌ 误区 11：所有的代理客户端在默认情况下都会自动防止 DNS 泄漏。(错！System Proxy 极易旁路泄漏)
12
 ❌ 误区 12：在百度搜索自己的 IP，显示的是本地地址说明 DNS 坏了。(错！分流规则下国内直连属正常)
13
 ❌ 误区 13：只要网页打不开，第一反应就应该去改路由器的 DNS。(错！应先查套餐、节点与系统代理)
14
 ❌ 误区 14：DoT 和 DoH 相比，DoT 因为名字更短所以速度更快。(错！二者性能差异微乎其微)
15
 ❌ 误区 15：企业内网的 Split DNS 是一种恶意的 DNS 污染行为。(错！属于企业合法内部网络隔离架构)