核心概念：公共 DNS、加密 DNS 與 FakeIP
DNS（域名系統）負責把 claude.ai 等域名解析為可路由的 IP 地址；瀏覽器與終端在建立 TCP/TLS 連線前必須先完成域名解析。公共 DNS 是由專業機構面向公眾開放的遞迴解析服務，用於替代本地運營商預設分配的 DNS，減少解析劫持、汙染或響應遲緩。
在代理與跨境訪問環境中，還需區分三項關鍵機制：一是「DNS 洩漏」，指本應由遠端代理節點完成的域名解析從本地直連網路發出，向本地運營商暴露訪問意圖或導致目標站點按國內出口返回錯誤邊緣節點；二是「加密 DNS（DoH / DoT）」，通過 HTTPS（RFC 8484）或 TLS 通道傳輸解析請求，防止明文 UDP 53 埠被中途嗅探或搶答；三是「FakeIP（RFC 2544 測試段 198.18.0.0/15）」，由本機代理客戶端立即返回佔位假 IP，應用直接拿假 IP 建連並把原始域名交給遠端節點解析，從源頭避免本地發出真實 DNS 查詢。
國際公共 DNS 配置參考（需在實際網路驗證）
表中地址與配置用於參考，不代表本站已從所有地區或網路完成連通性測試。請在實際執行應用的裝置上驗證解析結果與連線路徑，記錄測試時間和錯誤；配置可用不等於沒有 DNS 洩漏。
| 服務商 | IPv4 地址 | IPv6 地址 | DoH (HTTPS) / DoT 端點 | 特性與適用場景 |
|---|---|---|---|---|
| Cloudflare DNS | 1.1.1.11.0.0.1 | 2606:4700:4700::11112606:4700:4700::1001 | https://cloudflare-dns.com/dns-queryDoT: one.one.one.one | 不轉發客戶端子網 (No ECS)，隱私保護強，全球 Anycast 響應極快，適合作為代理遠端預設 DNS |
| Google Public DNS | 8.8.8.88.8.4.4 | 2001:4860:4860::88882001:4860:4860::8844 | https://dns.google/dns-queryJSON: https://dns.google/resolve · DoT: dns.google | 全球節點覆蓋廣，支援 EDNS Client Subnet (ECS)，CDN 邊緣就近排程準確 |
| Quad9 DNS | 9.9.9.9149.112.112.112 | 2620:fe::fe2620:fe::9 | https://dns.quad9.net/dns-queryDoT: dns.quad9.net | 瑞士非營利安全基金會運營，預設攔截已知釣魚與惡意軟體域名，不記錄個人 IP |
| Cisco OpenDNS | 208.67.222.222208.67.220.220 | 2620:119:35::352620:119:53::53 | https://doh.opendns.com/dns-queryDoT: dns.opendns.com | 老牌企業級遞迴服務，北美與歐洲骨幹網連通性穩定 |
| AdGuard DNS | 94.140.14.1494.140.15.15 | 2a10:50c0::ad1:ff2a10:50c0::ad2:ff | https://dns.adguard-dns.com/dns-queryDoT: dns.adguard-dns.com | 支援廣告與追蹤器域名過濾；排查認證跳轉問題時建議優先使用無過濾標準版 |
國內公共 DNS 配置參考（需在實際網路驗證）
國內公共 DNS 適合解析國內直連網站（如在 Clash / Mihomo / sing-box 中作為 direct-nameserver 或 nameserver-policy 的國內域名解析源），能夠獲得準確的國內 CDN 節點。切勿使用國內公共 DNS 直接解析 Claude、Anthropic 等海外受限域名，否則極易遭遇搶答汙染或暴露本地訪問記錄：
| 服務商 | IPv4 地址 | IPv6 地址 | DoH / DoT 加密端點 | 驗證狀態與說明 |
|---|---|---|---|---|
| 阿里公共 DNS (AliDNS) | 223.5.5.5223.6.6.6 | 2400:3200::12400:3200:baba::1 | https://dns.alidns.com/dns-queryJSON: https://dns.alidns.com/resolve · DoT: dns.alidns.com | UDP 53 與 DoH 實測全部可用（HTTP 200），國內雙棧覆蓋完整 |
| 騰訊 DNSPod Public DNS+ | 119.29.29.29 | 2402:4e00:: | https://doh.pub/dns-queryDoT: dot.pub | UDP 53 與 DoH 實測可用，支援 ECS 就近排程國內騰訊雲/主流 CDN |
| 114DNS | 114.114.114.114114.114.115.115 | 暫未開放通用 IPv6 | 無官方公眾 DoH / DoT | 僅傳統明文 UDP/TCP 53 可用；缺乏加密通道，容易被運營商旁路劫持，僅作備用 |
為什麼開了代理仍會發生 DNS 洩漏？
在實際排查中，最常見的洩漏並非因為沒有配置公共 DNS，而是分流工具內部發生了「二次解析（Fallback 本地解析）」：第一次建連時，瀏覽器向代理請求域名，若未開啟 FakeIP 或未命中前置域名規則，規則引擎往下走到 GEOIP,CN 或 IP-CIDR 規則；為了判斷這個域名屬於哪個國家 IP，客戶端會在本機向預設 DNS 發起一次真實解析，從而把訪問目標直接暴露在本地網路中。
此外，現代瀏覽器預設啟用的 QUIC（HTTP/3，基於 UDP 443）或瀏覽器內建安全 DNS 若未經過代理隧道，也可能繞過系統代理直接向外部發起解析。
防止 DNS 洩漏與劫持的四步實操規範
第一，優先啟用「TUN 虛擬網絡卡 + FakeIP 模式」：讓本地作業系統與應用只接觸 198.18.x.x 佔位地址，將真實域名原封不動通過代理隧道送達遠端再解析。
第二，分流規則遵循「域名優先 + IP 規則追加 no-resolve」：將 claude.ai、anthropic.com、claude.com、claudeusercontent.com 等核心域名字尾放在規則集頂部直接匹配代理策略；所有兜底的 IP-CIDR 與 GEOIP 規則務必加上 no-resolve 引數，禁止為匹配 IP 規則而觸發本地 DNS 查詢。
第三，分離國內外解析通道（nameserver-policy）：國內直連域名指定給阿里（223.5.5.5 DoH）或騰訊（doh.pub），海外與代理域名指定通過代理隧道訪問 Cloudflare（1.1.1.1 DoH）或 Google（8.8.8.8 DoH）。不建議單純為了防洩漏額外套一層複雜本地 mosdns，除非有明確的本地快取或 IP 優選需求。
第四，學會在本地驗證公共 DNS 有效性：在 Windows PowerShell 中可執行 Resolve-DnsName -Name claude.ai -Server 1.1.1.1 測試明文 53 埠，或使用 curl -H " accept: application/dns-json" "https://cloudflare-dns.com/dns-query?name=claude.ai&type=A" 驗證加密 DoH 是否返回正確的非保留公網地址。
一個常見場景
例如，使用者在系統網卡里手填了 8.8.8.8，但在國內直連網路下 UDP 53 請求被透明搶答，返回了錯誤的邊緣 IP。改用代理隧道內的 DoH（如 https://cloudflare-dns.com/dns-query）配合 TUN + FakeIP 與 no-resolve 規則後，本地不再發出明文解析，域名分流與出口歸屬隨之恢復一致。
參考來源與時效
以上為獨立診斷與使用說明，未接入 Anthropic 內部風控。政策、介面與支援流程可能更新，按原文生效日期和實際賬號可見入口核對。