什么是 DNS 劫持与 DNS 污染的区别？

DNS 劫持通常由本地路由器或恶意运营商发生，将请求强制重定向到指定广告服务器；DNS 污染是国家级防火墙在骨干网通过旁路监听，对敏感域名查询伪造抢先返回错误 IP。

为什么 Fake-IP 模式下抓包看到的 IP 全是 198.18.x.x？

这是正常现象。198.18.0.0/15 是 IETF 规定的网络基准测试专用保留网段，代理内核借用该私有网段在本地为每个域名建立映射表。

DNS 解析、DNS 污染与加密防泄漏 (DoH / DoT / Fake-IP) 深度专题

一、通信链路与底层技术拓扑架构

理解 DNS 解析与防污染的核心机制，需直观观察数据包在网络分层与软硬件系统之间的流转拓扑：

[用户浏览器发起 google.com 解析请求 (UDP:53)]
       │
       ▼
[公网出口网关 (GFW 旁路嗅探设备)]
       │ (检测到敏感域名 google.com 查询)
       ├────────────────────────────────────────┐
       ▼ (抢先伪造错误响应)                     ▼ (真实海外权威 DNS)
[虚假抢答响应 (如返回 127.0.0.1)]        [真实 IP 响应 (因物理距离远而迟到)]
       │ (客户端先收到假包并采信)
       ▼
[连接被引向黑洞或重置 (导致网页打不开)]

【解决之道：DoH 加密隧道 / Fake-IP 虚拟映射】
[客户端代理核心] ──(DoH / TLS 443 加密查询)──► [海外安全 DoH 服务器 (1.1.1.1)]
或直接分配 198.18.0.0/16 虚拟 IP，将真实域名交由海外落地节点代为解析。

二、核心概念与实体名词权威解析

在深入配置前，必须首先建立对以下核心技术名词的准确认知：

DNS 抢答污染 (DNS Poisoning)

国内运营商网关在检测到境外敏感域名查询请求时，抢先伪造一个错误的 IP 地址返回给客户端，导致连接被引向黑洞。

DoH (DNS over HTTPS)

通过标准的加密 HTTPS 443 端口发起 DNS 查询，运营商无法窃听或篡改查询内容。

Fake-IP 机制

客户端拦截本地 DNS 请求，瞬间从 198.18.0.0/16 返回一个虚拟 IP，将真实域名打包交给远端代理节点代为解析。

DNS 泄漏 (DNS Leak)

开启代理后，部分敏感域名的 DNS 解析仍由本地运营商 DNS 完成，导致用户访问记录暴露。

三、Fake-IP 相比传统 Redir-Host 的三大降维优势

优势一（0 延迟响应）：客户端发起查询时，本地代理内核直接在内存哈希表中分配一个保留虚拟 IP（如 198.18.0.23），耗时 < 1ms，浏览器无需等待跨国 DNS 往返；
优势二（彻底杜绝本地 DNS 污染）：真实域名并未在本地通过 UDP 53 发送，防火墙无法进行关键字抢答；
优势三（远端无损解析）：代理内核将虚拟 IP 还原为真实域名字符串，通过代理协议（如 VLESS/Shadowsocks）发送至境外落地节点，由境外服务器就近解析，命中最佳海外 CDN。

四、关键维度技术对比矩阵

DNS 方案	传输协议/端口	防污染能力	解析延迟	适用场景
传统公共 DNS (如 114 / 223)	UDP 53 (明文)	无 (会被抢答污染)	最快 (本地 <10ms)	国内网站秒开直连
DoH / DoT (如 1.1.1.1 / 8.8.8.8)	TCP 443 / 853 (加密)	极高 (不可窃听篡改)	中等 (需 TLS 握手)	境外被污染域名 Fallback
Fake-IP 虚拟网段 (Clash/Mihomo)	本地内存虚拟分配	免疫 (不发送本地DNS)	极快 (0ms 瞬时返回)	桌面端客户端科学上网首选

五、实用配置文件代码片段示例

Clash / Mihomo 终极防污染 DNS 配置片段 yaml

dns:
  enable: true
  listen: 0.0.0.0:1053
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  fake-ip-filter:
    - '*.lan'
    - 'localhost.ptlogin2.qq.com'
  default-nameserver:
    - 223.5.5.5
    - 119.29.29.29
  nameserver:
    - 223.5.5.5
    - 119.29.29.29
  fallback:
    - https://1.1.1.1/dns-query
    - https://8.8.8.8/dns-query
  fallback-filter:
    geoip: true
    geoip-code: CN
    geosite:
      - gfw

六、高频报错与精准排障指南

1 症状：节点 Ping 正常，但打不开 Google，提示 DNS_PROBE_FINISHED_NXDOMAIN

根本原因：客户端未启用 Fake-IP 或 Fallback DNS，请求被本地运营商 DNS 污染拦截。

解决办法：在客户端中开启 Fake-IP 模式，或配置远程 DoH 解析上游。

2 症状：开启代理后访问国内网站（淘宝、网易云）变慢

根本原因：所有 DNS 查询均被发送到了海外 DoH，导致国内网站解析到了海外 CDN 节点。

解决办法：配置 Nameserver 策略分流，国内域名走阿里 DNS (223.5.5.5)，境外走 Fallback。

下一步行动与实战落地 (Topic Bridge)

了解 IP 纯净度与住宅代理

掌握 IP 属性与风控数据库如何决定 ChatGPT 与 Netflix 的访问权限。

前往 IP 架构专题 → 返回知识中枢总览 →