@Celebi 第一他给的配置没写 fallback filter ，可能是太长没贴上，需要补一下，

第二 fallback 里的全都连不上，他是提意见要求 clash 让 fallback 走代理，目前 clash 没加这个功能，他这个配置用不了的（似乎开 tun 模式可以用，有看到别人测试过，我不确定）。

楼上的那位说的是对的，要如果一定要在本地做 dns 解析到话，完全解决 dns 泄漏和 dns 污染的问题只能依靠外部 dns 服务。

至于这个 comment 提到的问题，我还是认为应该直接配置 google 域名规则走代理，而不是依赖本地 dns 解析，需要代理才能连接的域名就不该请求国内 dns 。

最主要的是他本地解析同时使用的还是 redir-host 模式……如果他用的是 fake-ip 模式，clash 看到 ip 是国外 ip 就会直接把域名发到节点 dns 解析并连接，污染也就无所谓了。
就算结果没被污染也会因为没有利用 cdn 的原因导致连接速度贼慢啊……

题外话，我感觉网络上遇到的符合 “不喜欢打逗号全打空格+用感叹号替代句号”这两个特征的人，说话都看起来缺乏逻辑，且性格比较偏执，很神奇。

@TcDhl clash 本身就有啊，叫 load balance

@Buges 我理解你的意思了，即是说配置外部 dns 服务，使用 doh/dot 走代理，并且 dns 服务器需要是可信的国外服务。我目前也是这个方案。

clash 很多设计确实不尽人意，比如 provider 更新、dns fallback 不能走代理之类的。我也没想明白 dns fallback 不允许走代理的设定是为什么。

你的第一条提醒看上去的意思是“clash 内置 dns 导致了 dns 泄漏”，可能会让人误以为你的意思是（或许只有我误会了）“关掉内置 dns 或者修改默认配置就能避免 dns 泄漏”，实际上还需要搭配一个外置的 dns 服务。

应该就是这样。

@CharlesGray 多谢，才知道有这个 Meta 核。

@Buges 然而并没有其他办法可以完全避免这一点，如果想完全控制 dns 解析行为，可以考虑使用 script 模式。

另外，有 ip 规则不代表一定会进行 ip 解析，假如规则这么写：

DOMAIN,google.com,Proxy
GEOIP,CN,direct
match,Proxy

访问 google.com 的时候是一定不会产生 dns 请求的，因为匹配到第一条直接就走代理了。

简单来说一个配置了代理规则的规则列表并不会导致“所有域名”暴露，起码常用域名不会暴露。

最后，你的第一句话就有误导，“如果你启用了 clash 内置的 dns 功能”，“域名暴露给 ISP”与是否启用 clash 内置 dns 并没有太大关联。

如果遇到会触发 dns 解析的情况，是否配置 dns 功能都不能阻止你的域名暴露，如果你只是简单地关掉了内置 dns ，却没有采取其他措施，你的 dns 请求也只是通过系统默认的 dns 而已，而系统 dns 一般也是运营商下发的。