一直没想明白，通过代理请求 dns 有何实际意义？

以 Clash 为例，配置如下

dns:
  enable: true
  listen: 127.0.0.1:5553
  enhanced-mode: fake-ip
  nameserver:
    - tls://120.53.53.53:853
  fallback:
    - https://public.dns.iij.jp/dns-query
……
rules:
  - GEOIP,CN,DIRECT
  - MATCH,代理

不考虑系统 DNS 缓存和浏览器 DNS 缓存，我理解的流程是

Clash 接收到 google.com 这个域名，执行规则匹配
[GEOIP,CN,DIRECT]这条规则需要域名解析，执行域名解析流程
2.1 使用 nameserver 解析 google.com ，拿到一个错误(被污染)的境外 IP
2.2 Clash 判断此 IP 为境外 IP ，使用 fallback 重新解析，拿到正确 IP
[GEOIP,CN,DIRECT]规则不匹配，继续匹配下一条规则
[MATCH,代理]规则匹配，将域名（而不是步骤 2 解析出来的 IP ）转发到代理服务器
代理服务器重新解析 google.com 域名，拿到正确 IP ，建立连接
代理服务器返回网页内容

如果没有基于 IP 的规则

rules:
  - direct_domain,DIRECT
  - proxy_domain,代理
  - MATCH,代理

则只进行域名匹配，也不需要在本地域名解析

参考文章
DNS 污染对 Clash （ for Windows ）的影响
 浅谈在代理环境中的 DNS 解析行为

综上，我的理解是包括 Clash 在内的一众代理软件，配置 dns 的意义仅在于分流和 tun 模式下的 fake-ip ，最终代理服务器会重新解析域名，拿到最近的 IP 。但是经常在一些讨论贴，或是 Clash 、mosdns 的 Issue 区看到“通过代理请求域名服务器(比如通过代理请求 8.8.4.4)”这种需求，不理解有何实际含义，请 V 友们不吝赐教。

xiwh

297 天前

因为在国内，不能保证你访问的是真正要访问 DNS 服务器，比如说你把你的 DNS 地址设置 8.8.8.8 就是访问的谷歌 DNS 服务器了吗？因为历史原因 DNS 是纯明文的，数据中抓过程中每一层都可以轻易的篡改 DNS 请求内容，很多时候运营商会劫持掉一些不和谐和请求，返回无效的 ip 地址，这样也就产生了 DNS 污染，所以说 Clash 等一众软件会让 DNS 请求也走代理，防止 DNS 污染

tool2d

297 天前

"但是像这种的可以通过可直连的境外 DoT 、DoH 解决"

国内裸连挺难的，会出现各种未知问题。一个是 853 端口，另一个需要 https 标准签名握手，很容易被针对。

还有看客户端具体怎么写的，你如果是浏览器，那么会把域名发给代理服务器，做二次 DNS 解析。但是如果你是 TCP 代理网游客户端，那么有可能代理服务器收到的就是一个纯 IP ，而不是域名。

NoOneNoBody

297 天前

没用过早年梯子的人有这疑问很正常

早年梯子是 http(s)，不具备 dns 功能，随着 dns 污染越来越频繁，才逐步转向 socks4a/socks5
现在的梯子基本都 socks5 起步，dns+数据
这样可知，dns 和数据是两件事，各自都可以使用代理，只不过现在的梯子一起做了

但这不能说两者分开没有意义，有部份访问，只是 dns 污染了，纯 ip 仍能直接访问，尤其 ipv6 ，只要解决 dns 问题，后面可以直连，至少有“省流”作用，对绕道的服务器来说，是减轻负担，对末端用户来说，是省点流量费，也可能省时间（指直连更快的情况）