DNS 错误与 DNS 污染排查指南：解析失败、fake-ip 与安全 DNS 冲突

症状：哪些表现指向 DNS

直接回答：代理环境下的 DNS 问题，通常不是「完全上不了网」，而是「部分网站打不开」或「浏览器提示找不到服务器地址」。它主要来自三个方面：解析结果被污染、解析请求绕开了代理客户端、本地缓存了错误结果。按照「确认是 DNS 问题、检查客户端 DNS、排除绕行、清缓存」的顺序处理，绝大多数情况都能解决。

常见症状：

• 浏览器报 DNS_PROBE_FINISHED_NXDOMAIN、ERR_NAME_NOT_RESOLVED 等解析错误；
• 某几个网站始终打不开，其他网站正常；
• 开启 TUN 模式后部分网站无法访问；
• 切换节点没有任何改善，但全局模式下偶尔能打开；
• 偶发连接到错误的地址，出现证书错误或 TLS 握手失败。

快速判断：是不是 DNS 的问题

在终端中查询出问题的域名：

nslookup example.com

原因：代理环境下 DNS 为什么容易出错

DNS 污染

域名解析请求在传输途中被干扰，返回错误的 IP 地址。如果需要代理的域名用本地 DNS 解析，就可能拿到被污染的结果，即使后续流量走了代理也会连接失败。

fake-ip 与 redir-host 两种处理方式

多数基于 Mihomo 内核的客户端支持两种 DNS 处理方式：

在 fake-ip 模式下，nslookup 看到虚拟地址是正常的，不要因此误判为污染。部分局域网设备、游戏或需要真实 IP 的软件，可以通过客户端的 fake-ip 过滤列表排除。

绕开客户端的解析

• 浏览器安全 DNS：浏览器直接用加密 DNS 解析，完全绕开代理客户端，规则匹配和 fake-ip 都可能失效；
• 安全软件或加速器：部分软件会接管系统 DNS；
• TUN 模式未开启 DNS 接管：程序直接向外部 DNS 服务器发起解析，既可能失败，也会造成 DNS 泄漏。

缓存与残留

系统、浏览器都会缓存解析结果。修改设置后不清缓存，会继续使用旧的错误结果。hosts 文件中的旧记录优先级很高，也会导致解析到错误地址。

IPv6

当网络同时支持 IPv4 与 IPv6，而客户端或节点对 IPv6 支持不完整时，程序可能优先尝试 IPv6 地址并失败，表现为部分网站时好时坏。

分步排查

第一步：检查客户端 DNS 设置

确认客户端的 DNS 功能处于启用状态。使用 TUN 模式时，务必同时开启 DNS 接管或 DNS 劫持相关选项，设置位置以客户端界面为准，可参考 Clash Verge Rev TUN 模式设置。

第二步：关闭浏览器安全 DNS

• Chrome / Edge：在「隐私和安全」设置中找到「使用安全 DNS」，关闭；
• Firefox：在网络设置中关闭 DNS over HTTPS。

如果需要加密 DNS，可以在代理客户端中配置，避免两套机制冲突。

第三步：清除缓存

Windows：

ipconfig /flushdns

macOS：

sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

清除后重启浏览器，让浏览器内部的缓存也一并失效。

第四步：关闭 IPv6 对照

在客户端中关闭 IPv6 相关选项后重试。如果问题消失，说明与 IPv6 有关，可以保持关闭，或确认节点与客户端对 IPv6 的支持情况后再启用。

第五步：检查 hosts 与安全软件

• Windows hosts 文件位于 C:\Windows\System32\drivers\etc\hosts；
• macOS 与 Linux 位于 /etc/hosts。

删除与问题域名相关的旧记录（修改前先备份）。暂时关闭安全软件或加速器做对照。

症状与处理对照表

仍未解决怎么办

1. 切换到全局模式并清除缓存后再试，确认是否为规则与 DNS 的组合问题；
2. 将客户端的 DNS 设置恢复为默认值，重新导入订阅，排除自定义配置错误；
3. 在另一台设备上使用同一订阅访问，判断是本机环境还是订阅配置的问题；
4. 记录报错原文与 nslookup 结果，参考 DNS 错误怎么办 或联系服务商。

说明DNS 问题与 TLS 问题经常同时出现：解析到错误地址后，TLS 握手自然会失败。先解决 DNS，再看 TLS，顺序不要颠倒。