DoT通过TLS协议加密DNS请求,防止DNS污染和劫持，同时提升跨境访问时的域名解析效率，本文详解Clash配置DoT的完整步骤、TUN模式与系统代理的区别，以及DNS分流规则的写法。
什么是DoT (DNS over TLS)
传统DNS请求使用UDP端口53,流量明文传输，易被运营商或中间节点监听、篡改，DoT将DNS请求封装在TLS加密通道中，默认端口853，兼顾隐私与解析准确性，在Clash中启用DoT，可有效改善学术资源访问、国际网络加速等场景下的域名解析问题。
Clash配置DoT的完整步骤
获取DoT服务器地址
主流公共DoT服务包括：
- Cloudflare:
1dot1dot1dot1.cloudflare-dns.com - Google:
dns.google - Quad9:
dns.quad9.net:853
修改Clash配置文件
在dns节点下添加DoT服务器：
dns:
enable: true
listen: 0.0.0.0:53
enhanced-mode: fake-ip
nameserver:
- 1.1.1.1
- 8.8.8.8
fallback:
- tls://1dot1dot1dot1.cloudflare-dns.com:853
- tls://dns.google:853
启用fallback-filter
过滤不可信的DoT服务器返回结果：
fallback-filter:
geoip: true
ipcidr:
- 240.0.0.0/4
TUN模式与系统代理的区别
| 特性 | TUN模式 | 系统代理 |
|---|---|---|
| 接管流量 | 所有TCP/UDP流量 | 仅HTTP/HTTPS流量 |
| 适用场景 | 游戏、UDP应用、整机代理 | 浏览器、常规应用 |
| 系统要求 | 需要TUN驱动 | 无特殊要求 |
TUN模式通过创建虚拟网卡接管全局流量,适合需要低延迟的游戏场景；系统代理则资源占用更低，适合常规跨境办公需求。
DNS分流规则说明
Clash支持四种规则类型,按优先级顺序匹配：
- DOMAIN：精确匹配域名
- DOMAIN-SUFFIX：匹配域名后缀
- IP-CIDR：匹配IP段
- GEOIP：匹配国家/地区
rules: - DOMAIN-SUFFIX,academic.edu,academic-group - DOMAIN-KEYWORD,google,proxy-group - GEOIP,CN,direct - IP-CIDR,10.0.0.0/8,direct - MATCH,proxy-group
配置时需将高频访问的域名或IP段置于规则前列,提升匹配效率。
常见问题FAQ
现象：开启DoT后部分网站无法访问
原因：DoT服务器被墙或本地网络对853端口有限制
解决方法：更换为境内可访问的DoT服务器，或在fallback中添加常规DNS作为备选
现象：DNS解析延迟明显增加
原因：DoT服务器距离过远或网络链路不稳定
解决方法：选择地理位置更近的DoT服务器，或启用fallback-filter的geoip功能优先使用本地DNS
现象：fake-ip模式下部分应用无法加载资源
原因：应用内部DNS缓存与fake-ip冲突
解决方法：在配置中添加该域名的DOMAIN-SUFFIX规则至direct组，或切换为redir-host模式
节点订阅选择建议
配置好DoT后,需要稳定的节点配合使用，建议根据使用场景选择：4K视频播放需高带宽低延迟线路，跨境办公优先稳定性和安全性，游戏加速则关注UDP转发能力，选择支持多协议切换的订阅服务，可灵活应对不同网络环境。
