DNS 基础教程：机场为什么要配 DNS，污染与泄漏怎么处理
节点延迟正常却打不开网站，多数时候问题出在 DNS。本文解释 DNS 在科学上网中的角色、DNS 污染与 DNS 泄漏的区别与判断方法，给出 Clash 系客户端的 DNS 配置写法，并说明专线、中转线路与 DNS 的关系。
直接答案
机场客户端需要自己处理 DNS，是因为运营商 DNS 可能返回错误的 IP（污染），而把域名查询直接发给本地 DNS 又会暴露你在访问什么（泄漏）。解决办法是在客户端里启用内置 DNS，国内域名用国内 DNS 直连解析，国外域名通过节点用加密 DNS 解析。
你是否遇到过这种情况：客户端里节点延迟显示 80 毫秒，一切正常，但某个网站就是打不开，换成全局模式也没用。这类问题十有八九出在 DNS 上。本文先讲清 DNS 在科学上网链路里的位置，再分别解释 DNS 污染和 DNS 泄漏，然后给出客户端的具体配置，最后说明线路类型与 DNS 的关系，帮你判断遇到问题时该改配置还是该换机场。
DNS 在科学上网链路里的位置
DNS 的工作是把域名翻译成 IP 地址。你输入一个网址，设备先问 DNS 服务器这个域名对应哪个 IP，拿到结果后才发起真正的连接。在机场客户端里，这一步有两种可能的路径：
| 解析方式 | 查询由谁发出 | 优点 | 风险 |
|---|---|---|---|
| 本地解析 | 你的设备向运营商 DNS 查询 | 快，国内域名结果准确 | 国外域名可能被污染，查询内容暴露 |
| 远程解析 | 节点服务器代替你查询 | 结果与出口 IP 地区一致 | 国内域名可能被解析到境外 CDN |
正确的做法是两者结合：国内域名本地解析并直连，国外域名由节点远程解析。规则模式之所以能正确分流，依赖的正是这一步的解析结果，模式本身的说明见 代理模式入门。
DNS 污染是什么，怎么判断
DNS 污染指查询请求被中间设备拦截，返回一个错误的 IP。表现为网站打不开、打开的是错误页面，或客户端把本该走代理的域名误判为国内直连。判断方法很简单，在终端里对同一个域名用两个 DNS 查询，对比结果。第一条用运营商 DNS 直接查询，第二条通过客户端混合端口向加密 DNS 服务查询：
nslookup www.google.com
curl -x http://127.0.0.1:7890 -s "https://1.1.1.1/dns-query?name=www.google.com&type=A" -H "accept: application/dns-json"如果第一条返回的 IP 明显不对，或者返回了一个根本不属于目标网站的地址，而第二条返回正常，就是污染。污染的处理思路是不信任本地 DNS 对国外域名的回答，让客户端用加密 DNS 或通过节点解析。
DNS 泄漏是什么，为什么要在意
DNS 泄漏指你的流量走了代理，但域名查询仍然直接发给了本地运营商 DNS。后果有两个：一是你访问了哪些网站对运营商可见，二是流媒体和 AI 服务可能因为解析地区与出口 IP 不一致而判定异常。泄漏不会导致网站打不开，所以更难察觉，需要用 DNS 泄漏检测网站或在客户端连接面板里观察域名查询的出口来确认。
ℹ️ 说明
污染影响「能不能打开」，泄漏影响「隐私和地区一致性」。两者可以同时存在，但解决方法都是让客户端接管 DNS。
客户端 DNS 配置怎么写
以 Clash Verge Rev、Mihomo Party 等 Mihomo 内核客户端为例，在「设置 → 配置覆写」或 Merge 配置中加入以下 DNS 段：
dns:
enable: true
listen: 0.0.0.0:1053
enhanced-mode: fake-ip
fake-ip-range: 198.18.0.1/16
fake-ip-filter:
- "*.lan"
- "+.local"
nameserver:
- https://doh.pub/dns-query
- https://dns.alidns.com/dns-query
fallback:
- https://1.1.1.1/dns-query
- https://dns.google/dns-query
fallback-filter:
geoip: true
geoip-code: CN启用步骤：
- 打开客户端的配置覆写或 Merge 编辑入口，粘贴上述内容。
- 保存后重新载入当前订阅，确认日志中没有 DNS 相关报错。
- 在「设置」里确认 DNS 覆写开关已打开，部分客户端默认关闭。
- 清空浏览器 DNS 缓存或重启浏览器，再访问之前打不开的网站验证。
这段配置的逻辑是：fake-ip 模式让客户端先返回一个假 IP 占位，真正的解析在节点侧完成，天然避免泄漏；国内域名走 nameserver 里的国内加密 DNS；结果不属于国内 IP 的查询交给 fallback 里的国外 DNS 重新解析，从而绕过污染。TUN 模式下再配合 dns-hijack 劫持 53 端口，系统所有 DNS 查询都会经过客户端。更多 DNS 异常的排查方法见 DNS 异常诊断。
⚠️ 注意
fake-ip 模式与部分局域网设备、游戏平台不兼容，表现为打不开路由器后台或游戏无法联机。遇到这类情况把对应域名加入 fake-ip-filter，或临时切换为 redir-host 模式。
专线、中转与 DNS 的关系
经常有人问：买了专线机场是不是就不用配 DNS 了？答案是否定的。线路类型决定的是数据传输的质量，DNS 决定的是解析的正确性，两者是不同层面的事。
| 线路类型 | 传输特点 | DNS 相关影响 |
|---|---|---|
| 专线（IEPL / IPLC） | 不走公网，晚高峰稳定，丢包低 | 节点侧解析环境通常干净，但本地污染依旧需要客户端处理 |
| 中转（BGP / CN2） | 经国内中转服务器再出境，性价比高 | 中转段可能受本地网络影响，更需要 fake-ip 避免泄漏 |
| 直连 | 本地直接连境外服务器 | 节点域名本身容易被污染，建议订阅用 IP 或备用域名 |
因此稳定机场推荐里的「稳」指的是传输层，DNS 配置是用户自己的功课。专线与中转的详细对比见 IEPL 与 IPLC 的区别 和 专线线路栏目，专线代表品牌可以看 宇宙云，预算有限的专线方案可以看 飞猫云。
常见 DNS 问题排查表
| 现象 | 可能原因 | 处理 |
|---|---|---|
| 节点正常，个别网站打不开 | 该域名本地解析被污染 | 启用 fake-ip 与 fallback |
| 流媒体提示地区不符 | DNS 泄漏，解析地区与出口不一致 | 让流媒体域名远程解析 |
| 订阅更新失败但网页能开 | 订阅域名被污染 | 换手机热点更新或用备用域名 |
| 打不开路由器后台 | fake-ip 影响局域网域名 | 加入 fake-ip-filter |
| 开 TUN 后所有网站变慢 | DNS 劫持后解析超时 | 检查 nameserver 是否可达 |
总结
- DNS 负责把域名翻译成 IP，解析错了，后面的代理再稳也没用。
- DNS 污染是解析结果被篡改，DNS 泄漏是查询请求没走代理，两者原因不同、处理方法也不同。
- Clash 系客户端开启 enhanced-mode 为 fake-ip 并配置 nameserver 与 fallback，可以同时解决污染和泄漏。
- 专线与中转线路的差别在传输层，DNS 设置与线路类型无关，但专线通常附带更干净的解析环境。
常见问题
Q机场连不上是什么原因？
如果节点延迟正常但网站打不开，优先怀疑 DNS：本地解析被污染后，客户端可能把请求发往错误的 IP 或误判为国内直连。开启客户端内置 DNS 并使用 fake-ip 模式，多数情况下能立即恢复。
Q机场显示超时怎么办？
先切换直连模式确认本地网络正常，再换节点测试。所有节点都超时且本地网络正常时，检查机场的订阅域名和节点域名是否被 DNS 污染，可以临时把系统 DNS 改成公共 DNS 再试。
Q机场为什么有些节点不能看流媒体？
一方面是节点出口 IP 被流媒体平台识别为数据中心 IP，另一方面可能是 DNS 解析结果与出口 IP 不在同一地区，导致平台判定异常。后者可以通过让流媒体域名的 DNS 查询也走节点解决。
Q专线机场是什么意思？
专线指 IEPL 或 IPLC 这类不经过公网骨干、由运营商提供的专用链路，特点是晚高峰不拥塞、丢包低。它解决的是传输质量问题，DNS 设置仍然需要在客户端里单独配置。
Q普通用户有必要买专线机场吗？
如果主要需求是浏览网页和偶尔看视频，中转线路配合正确的 DNS 设置已经够用。需要稳定使用 AI 工具、视频会议或晚高峰高强度使用时，专线的低丢包优势才明显。
Q机场速度慢是什么原因？
常见原因包括节点拥塞、线路晚高峰、本地带宽限制，以及 DNS 解析慢导致每次打开网页都要等待。最后一种可以通过把 DNS 查询改为加密 DNS 并开启缓存来改善。
参考资料与信息来源
- Mihomo 内核文档 · DNS 配置字段、fake-ip 与 fallback 机制参考内核官方文档。
