公共 DNS 配置指南：IPv4、IPv6、DoH/DoT 与排查步骤
排查顺序示意；请结合实际结果核对。

核心概念：公共 DNS、加密 DNS 与 FakeIP

DNS（域名系统）负责把 claude.ai 等域名解析为可路由的 IP 地址；浏览器与终端在建立 TCP/TLS 连接前必须先完成域名解析。公共 DNS 是由专业机构面向公众开放的递归解析服务，用于替代本地运营商默认分配的 DNS，减少解析劫持、污染或响应迟缓。

在代理与跨境访问环境中，还需区分三项关键机制：一是「DNS 泄漏」，指本应由远端代理节点完成的域名解析从本地直连网络发出，向本地运营商暴露访问意图或导致目标站点按国内出口返回错误边缘节点；二是「加密 DNS（DoH / DoT）」，通过 HTTPS（RFC 8484）或 TLS 通道传输解析请求，防止明文 UDP 53 端口被中途嗅探或抢答；三是「FakeIP（RFC 2544 测试段 198.18.0.0/15）」，由本机代理客户端立即返回占位假 IP，应用直接拿假 IP 建连并把原始域名交给远端节点解析，从源头避免本地发出真实 DNS 查询。

国际公共 DNS 配置参考（需在实际网络验证）

表中地址与配置用于参考，不代表本站已从所有地区或网络完成连通性测试。请在实际运行应用的设备上验证解析结果与连接路径，记录测试时间和错误；配置可用不等于没有 DNS 泄漏。

服务商IPv4 地址IPv6 地址DoH (HTTPS) / DoT 端点特性与适用场景
Cloudflare DNS1.1.1.1
1.0.0.1		2606:4700:4700::1111
2606:4700:4700::1001		https://cloudflare-dns.com/dns-query
DoT: one.one.one.one		不转发客户端子网 (No ECS)，隐私保护强，全球 Anycast 响应极快，适合作为代理远端默认 DNS
Google Public DNS8.8.8.8
8.8.4.4		2001:4860:4860::8888
2001:4860:4860::8844		https://dns.google/dns-query
JSON: https://dns.google/resolve · DoT: dns.google		全球节点覆盖广，支持 EDNS Client Subnet (ECS)，CDN 边缘就近调度准确
Quad9 DNS9.9.9.9
149.112.112.112		2620:fe::fe
2620:fe::9		https://dns.quad9.net/dns-query
DoT: dns.quad9.net		瑞士非营利安全基金会运营，默认拦截已知钓鱼与恶意软件域名，不记录个人 IP
Cisco OpenDNS208.67.222.222
208.67.220.220		2620:119:35::35
2620:119:53::53		https://doh.opendns.com/dns-query
DoT: dns.opendns.com		老牌企业级递归服务，北美与欧洲骨干网连通性稳定
AdGuard DNS94.140.14.14
94.140.15.15		2a10:50c0::ad1:ff
2a10:50c0::ad2:ff		https://dns.adguard-dns.com/dns-query
DoT: dns.adguard-dns.com		支持广告与追踪器域名过滤；排查认证跳转问题时建议优先使用无过滤标准版

国内公共 DNS 配置参考（需在实际网络验证）

国内公共 DNS 适合解析国内直连网站（如在 Clash / Mihomo / sing-box 中作为 direct-nameserver 或 nameserver-policy 的国内域名解析源），能够获得准确的国内 CDN 节点。切勿使用国内公共 DNS 直接解析 Claude、Anthropic 等海外受限域名，否则极易遭遇抢答污染或暴露本地访问记录：

服务商IPv4 地址IPv6 地址DoH / DoT 加密端点验证状态与说明
阿里公共 DNS (AliDNS)223.5.5.5
223.6.6.6		2400:3200::1
2400:3200:baba::1		https://dns.alidns.com/dns-query
JSON: https://dns.alidns.com/resolve · DoT: dns.alidns.com		UDP 53 与 DoH 实测全部可用（HTTP 200），国内双栈覆盖完整
腾讯 DNSPod Public DNS+119.29.29.292402:4e00::https://doh.pub/dns-query
DoT: dot.pub		UDP 53 与 DoH 实测可用，支持 ECS 就近调度国内腾讯云/主流 CDN
114DNS114.114.114.114
114.114.115.115		暂未开放通用 IPv6无官方公众 DoH / DoT仅传统明文 UDP/TCP 53 可用；缺乏加密通道，容易被运营商旁路劫持，仅作备用

为什么开了代理仍会发生 DNS 泄漏？

在实际排查中，最常见的泄漏并非因为没有配置公共 DNS，而是分流工具内部发生了「二次解析（Fallback 本地解析）」：第一次建连时，浏览器向代理请求域名，若未开启 FakeIP 或未命中前置域名规则，规则引擎往下走到 GEOIP,CN 或 IP-CIDR 规则；为了判断这个域名属于哪个国家 IP，客户端会在本机向默认 DNS 发起一次真实解析，从而把访问目标直接暴露在本地网络中。

此外，现代浏览器默认启用的 QUIC（HTTP/3，基于 UDP 443）或浏览器内置安全 DNS 若未经过代理隧道，也可能绕过系统代理直接向外部发起解析。

防止 DNS 泄漏与劫持的四步实操规范

第一，优先启用「TUN 虚拟网卡 + FakeIP 模式」：让本地操作系统与应用只接触 198.18.x.x 占位地址，将真实域名原封不动通过代理隧道送达远端再解析。

第二，分流规则遵循「域名优先 + IP 规则追加 no-resolve」：将 claude.ai、anthropic.com、claude.com、claudeusercontent.com 等核心域名后缀放在规则集顶部直接匹配代理策略；所有兜底的 IP-CIDR 与 GEOIP 规则务必加上 no-resolve 参数，禁止为匹配 IP 规则而触发本地 DNS 查询。

第三，分离国内外解析通道（nameserver-policy）：国内直连域名指定给阿里（223.5.5.5 DoH）或腾讯（doh.pub），海外与代理域名指定通过代理隧道访问 Cloudflare（1.1.1.1 DoH）或 Google（8.8.8.8 DoH）。不建议单纯为了防泄漏额外套一层复杂本地 mosdns，除非有明确的本地缓存或 IP 优选需求。

第四，学会在本地验证公共 DNS 有效性：在 Windows PowerShell 中可执行 Resolve-DnsName -Name claude.ai -Server 1.1.1.1 测试明文 53 端口，或使用 curl -H " accept: application/dns-json" "https://cloudflare-dns.com/dns-query?name=claude.ai&type=A" 验证加密 DoH 是否返回正确的非保留公网地址。

一个常见场景

例如，用户在系统网卡里手填了 8.8.8.8，但在国内直连网络下 UDP 53 请求被透明抢答，返回了错误的边缘 IP。改用代理隧道内的 DoH（如 https://cloudflare-dns.com/dns-query）配合 TUN + FakeIP 与 no-resolve 规则后，本地不再发出明文解析，域名分流与出口归属随之恢复一致。

参考来源与时效

以上为独立诊断与使用说明，未接入 Anthropic 内部风控。政策、界面与支持流程可能更新，按原文生效日期和实际账号可见入口核对。