DoH (DNS over HTTPS)通过HTTPS协议加密DNS查询请求，有效防止DNS劫持和监听，提升网络访问的安全性与隐私保护,本文详解Clash中配置DoH的完整步骤。
什么是DoH及其优势
传统DNS查询使用UDP/TCP明文传输，容易被运营商或中间人篡改，导致域名解析结果被劫持，DoH (DNS over HTTPS)将DNS请求封装在HTTPS流量中，利用TLS加密保护查询内容，用户无法被追踪,解析结果也更可靠。
DoH的核心优势包括：
- 加密传输：防止DNS查询被窃听或篡改
- 绕过限制：在某些网络环境下可间接改善域名解析效率
- 隐私保护：不暴露DNS查询记录给本地ISP
Clash配置DoH的步骤
在Clash配置文件中添加DoH服务器非常简单,只需几个步骤即可完成。
找到DNS配置区域
打开Clash的配置文件（通常为YAML格式），找到dns部分，如果没有该区域,需手动添加。
添加DoH服务器
在dns配置中设置enable: true，并添加nameserver和fallback列表,建议使用公共DoH服务：
dns:
enable: true
listen: 0.0.0.0:53
enhanced-mode: fake-ip
nameserver:
- https://dns.google/dns-query#8.8.8.8
- https://cloudflare-dns.com/dns-query#1.1.1.1
fallback:
- 8.8.8.8
- 1.1.1.1
配置参数说明
nameserver：主要DNS服务器列表，Clash会优先使用fallback：备用DNS，当主服务器不可用时启用enhanced-mode：fake-ip模式可加速国内域名解析，redir-host模式则保留完整域名信息
验证配置生效
保存配置后重启Clash客户端，使用nslookup或在线DNS检测工具验证解析结果是否来自配置的DoH服务器。
TUN模式与系统代理的区别
配置DoH时需注意Clash的工作模式：
- TUN模式：创建虚拟网卡接管所有流量（包括UDP、游戏流量），适合需要全局代理的场景
- 系统代理：仅处理HTTP/HTTPS流量，对UDP应用（如游戏、VoIP）无效
建议跨境办公需求用户开启TUN模式,确保所有应用流量都经过代理和DoH解析。
常见问题FAQ
现象：开启DoH后部分网站无法访问
原因：fake-ip模式可能与某些本地网络服务冲突。
解决方法：将enhanced-mode改为redir-host，或手动添加域名到hosts映射。
现象：DoH解析速度变慢
原因：部分DoH服务器在国内网络环境下延迟较高。
解决方法：选择延迟更低的DoH服务器,或使用国内DNS作为fallback。
现象：DNS解析结果被污染
原因：使用的DoH服务器被干扰或返回虚假数据。
解决方法：更换可靠的DoH服务，如Google DNS或Cloudflare DNS。
节点订阅选择建议
稳定可靠的节点是保障跨境办公体验的关键，建议选择支持DoH解析的优质节点服务商，确保DNS解析和代理连接的完整性，根据4K视频、高频游戏或日常办公等不同场景,选择对应带宽和延迟的节点套餐。
