现象切入：一个令无数开发者困惑的排网谜团

在配置好本地 Clash Verge Rev / Mihomo 并开启内核 TUN 模式后，在终端执行以下网络诊断命令：

1
2
3
4
5
6
7
8
9

# 查询自定义域名解析
nslookup 870306666.xyz
# 返回结果：
# Address: 198.18.1.144

# 尝试直接向公网阿里 DNS 查询
nslookup 870306666.xyz 223.5.5.5
# 返回结果：
# DNS request timed out / Server failed

然而在浏览器中输入该网址，却能瞬间顺畅秒级渲染！
为什么 nslookup 拿到的是一个奇特的 198.18.x.x 地址？为什么指定阿里 DNS 223.5.5.5 依然查不出来？真实的 IP（182.136.15.18）到底在什么时候由谁去查询的？DNS 泄露又是如何被根除的？

本文将通过动态流转沙盒与原生 GUI 全景联动控制台，带你从 Windows 内核、TUN 网卡驱动、Clash 虚拟内存池到境外 VPS 出口，彻底拆解这套现代网络核心架构。

🚀 交互式数据流沙盒 (支持「海外代理」与「国内直连」双场景模拟)

操作提示：点击下方「🌍 海外模式」或「🇨🇳 国内模式」按钮切换场景，再点击「开始模拟」，即可动态见证 Fake-IP 在境外代理（本机 0 DNS 查询，海外 VPS 代查）与境内直连（延迟真实解析，握手时查国内 DoH）之间的本质分水岭：

一、为什么会有 Fake-IP？（解决什么根本痛点）

在早期传统的代理客户端中，普遍采用的是 Redir-Host 模式：

1. 致命的握手时延：浏览器想要访问 google.com，本地必须先通过公网发起一次真正的 DNS 解析。即便通过代理查远端 DNS，也必须先承担一个完整的跨国 RTT（200~400ms）才能拿到真实 IP 开始建立连接。
2. 严重的 DNS 泄露与污染：如果向本地运营商发起解析，访问的目标网站明文瞬间在本地宽带被记录，并极易遭遇投毒阻断。
3. 域名丢失：当应用程序拿到真实 IP 发出网络包后，网卡上只有四层目标 IP，原始域名丢失，代理软件只能吃力地依赖反向域名嗅探（Sniffing）。

Fake-IP 的颠覆性设计哲学：【假 IP 换真时效，延迟真实解析】

• Clash 在本机直接充当首选 DNS 服务器。
• 任何应用来查 DNS 时，Clash 根本不向公网发出任何查询包，而是直接从保留网段 198.18.0.0/16 抓取一个未占用的假 IP（如 198.18.1.144），并在本地内存构建映射字典：
  $$\text{198.18.1.144} \longleftrightarrow \text{870306666.xyz}$$
• 这一过程完全发生在本地内存中，耗时通常小于 0.5 毫秒！

二、端到端完整链路生命周期（TUN 模式实战）

图表渲染说明：本节包含交互式动态时序图与 10 大核心流转阶段深度拆解。

📌 链路 10 大核心阶段技术解剖表

三、为什么 nslookup 会报错？

1. TUN 驱动的全局劫持：开启 TUN 模式后，虚拟网卡抓取全机 0.0.0.0/0 的全部出站数据包。即使你显式指定 nslookup 870306666.xyz 223.5.5.5，该数据包也根本飞不出物理网卡，而是被 TUN 驱动塞进了 Clash。
2. 标准应用 vs 专用诊断工具：
   • 浏览器、curl、微信等调用的是标准系统 Socket API（getaddrinfo），拿到假 IP 后顺畅通过 TUN 与 Clash 完成还原；
   • nslookup 属于底层网络诊断工具，它跳过系统 API 自己构造原生 Raw DNS 报文，对报文头部的权威应答标志（AA/RA Flags）有极其严苛的校验，遇到拦截代理环境容易因格式差异抛出 Server failed。

四、Fake-IP 是如何彻底根治 DNS 泄露的？

很多用户常问：“我的本地宽带运营商能不能知道我访问了哪些境外网站？”
在 Fake-IP 模式下，DNS 泄露在物理逻辑上被彻底扼杀：

1. 本地发包量为 0：在访问境外域名时，本地电脑根本没有向外界发送任何 DNS 数据包，运营商抓包结果为 0。
2. 代理协议远端代查 (Remote DNS)：流量送入 Shadowsocks / Trojan / Hysteria2 / TUIC 时，Clash 打包的是原始域名字符串（DOMAINNAME）。整个数据包通过 TLS 高强度加密飞向海外 VPS，由海外服务器在境外出口完成真实解析。
3. 4 大防泄露黄金配置：
   • no-resolve 参数：在 IP 规则上加上 GEOIP,LAN,DIRECT,no-resolve，避免规则匹配时在本地提前触发真实解析；
   • **ipv6: false**：坚决关闭 IPv6 解析，彻底堵死国内宽带运营商通过 IPv6 旁路窃取明文 DNS 的后门；
   • nameserver-policy + DoH：国内直连域名走加密的 https://dns.alidns.com/dns-query，全程运行在 HTTPS 443 密文中，旁路无法窥探；
   • 兜底规则走代理：配置末尾保持 MATCH,🌍选择代理节点，未命中域名的流量统一加密出海。

五、终极解惑：真实 DNS 究竟在什么时候、由谁去查？

🖼️ Clash Verge Rev 原生界面 (GUI) 与 底层 YAML 实时等高联动对比

操作提示：左侧为 1:1 复刻的 Clash Verge Rev 原生长控制台，右侧为底层 YAML 代码。点击左侧长面板中的任意一个开关或输入框，右侧 YAML 代码将自动平滑滚动并高亮相应的配置字段，并浮现深度技术避坑指南：

dns:
  # 1. 启用 DNS 模块
  enable: true

  # 2. DNS 监听端口 (推荐 0.0.0.0:1053)
  listen: ':53'

  # 3. 增强模式 (fake-ip 核心)
  enhanced-mode: 'fake-ip'

  # 4. Fake IP 假 IP 池网段 (RFC 2544)
  fake-ip-range: '198.18.0.1/16'

  # 5. IPv6 假 IP 范围
  fake-ip-range6: 'fdfe:dcba:9876::1/64'

  # 6. Fake IP 过滤模式
  fake-ip-filter-mode: 'blacklist'

  # 7. IPv6 解析 (防泄露，坚决关闭)
  ipv6: false

  # 8. 优先使用 HTTP/3 (建议关闭防 UDP 干扰)
  prefer-h3: false

  # 9. 遵循分流路由规则
  respect-rules: true

  # 10. 使用 Hosts
  use-hosts: true

  # 11. 忽略系统 hosts (防系统旧映射污染)
  use-system-hosts: false

  # 12. 直连域名服务器遵循策略
  direct-nameserver-follow-policy: false

  # 13. 默认域名服务器 (解析 DoH 域名自身)
  default-nameserver:
    - '223.5.5.5'
    - '119.29.29.29'

  # 14. 域名服务器 (兜底通用 DNS)
  nameserver:
    - 'https://dns.google/dns-query'
    - 'https://1.1.1.1/dns-query'

  # 15. 代理节点专用解析 DNS (拉取节点核心保障)
  proxy-server-nameserver:
    - '223.5.5.5'
    - '119.29.29.29'
    - 'https://dns.alidns.com/dns-query'
    - 'https://doh.pub/dns-query'

  # 16. 直连专用域名服务器
  direct-nameserver: []

  # 17. 回退服务器
  fallback: []

  # 18. Fake IP 过滤白名单 (直连解析真实 IP)
  fake-ip-filter:
    - '*.lan'
    - '*.local'
    - '*.arpa'
    - 'time.*.com'
    - 'ntp.*.com'
    - '+.market.xiaomi.com'
    - 'localhost.ptlogin2.qq.com'
    - '*.msftncsi.com'
    - 'www.msftconnecttest.com'

  # 19. 域名服务器策略 (DoH 内外智能分流)
  nameserver-policy:
    geosite:private,cn:
      - 'https://dns.alidns.com/dns-query'
      - 'https://doh.pub/dns-query'
    geosite:geolocation-!cn:
      - 'https://dns.google/dns-query'
      - 'https://1.1.1.1/dns-query'

  # 20. GeoIP 与回退过滤设置
  fallback-filter:
    geoip: true
    geoip-code: 'CN'
    ipcidr:
      - '240.0.0.0/4'
      - '0.0.0.0/32'
    domain:
      - '+.google.com'
      - '+.facebook.com'
      - '+.youtube.com'

# 24. 自定义 Hosts 静态映射表
hosts: {}

六、24 项核心参数深度对照速查表

七、总结与最佳实践

1. 认准真假 IP：在开启 Fake-IP 后，nslookup 查到 198.18.x.x 是完全符合协议设计的正常行为，不需要惊慌。
2. **切勿在 Windows 强行监听 :53**：在 TUN 模式下，将监听端口改为 1053，依靠 TUN 驱动从内核层转发，是兼顾稳定性与权限的最优实践。
3. 保持 DNS 覆写关闭：如客户端长图顶部提示所言，直接以维护良好的订阅 YAML 文件为准运行，既能保证节点订阅动态更新，又不会产生未知的配置覆盖冲突。