外观
机场 DNS 污染、泄漏与 TLS 证书错误排查：Fake-IP 与 DoH
机场 DNS 污染、泄漏与 TLS 证书错误排查有一个共同特征：节点明明是通的，网页却打不开或报证书错误。原因几乎都在解析环节，域名被解析到了错误的 IP，或解析请求根本没走代理。把客户端的 DNS 模式设为 Fake-IP、上游用 DoH，能解决这一类问题的大多数。
速读要点
- 节点通但网页打不开或证书错误，先查系统时间与 DNS
- DNS 模式设 Fake-IP、上游用 DoH，解决大多数问题
- 全部网站都报证书错误是本地问题，个别网站才是污染
现象
- 节点延迟正常，浏览器提示「找不到服务器 IP 地址」或
DNS_PROBE_FINISHED_NXDOMAIN。 - HTTPS 网站提示「您的连接不是私密连接」「证书无效」。
- DNS 泄漏检测网站显示的 DNS 服务器在国内，而不是节点所在地区；或开 TUN 后所有网站打不开。
先排除这 3 件事
- 系统时间：证书有效期靠系统时间判断，差几小时就会满屏证书错误，先同步时间。
- 是不是所有网站都报证书错误：全部都报多是本地问题（时间、杀毒软件 HTTPS 扫描、公司网络的中间人证书）；只有一两个报，往往是 DNS 污染。
- 全局模式能否打开：全局还打不开就排除了规则问题，专注 DNS 设置。
DNS 污染与 DNS 泄漏是什么
DNS 污染指域名查询收到了错误的回答，浏览器拿着错误 IP 去连接，连不上或连到别的服务器（这时就报证书不匹配）。它发生在明文 DNS（UDP 53）的路上，查询没加密、没走代理就可能遇到。
DNS 泄漏指解析请求没走代理，直接发给了本地运营商 DNS。后果是容易被污染，而且解析结果是离你最近的 CDN 而不是离代理出口最近的，流量绕路；流媒体和 AI 服务还会因解析地区与 IP 地区不一致判定异常。
Fake-IP 与 Redir-Host 的区别
| 模式 | 原理 | 取舍 |
|---|---|---|
| Fake-IP | 客户端对每个域名返回假 IP（如 198.18.x.x），真正解析在节点端完成 | 不泄漏、不污染，TUN 下最稳；少数依赖真实 IP 的软件（部分游戏、局域网发现）异常 |
| Redir-Host | 客户端本地解析出 IP 后再决定走代理还是直连 | 兼容性好；解析在本地完成，易污染和泄漏，要配合 DoH 和 DNS 劫持 |
大多数人用 Fake-IP 即可，个别软件不兼容就把它的域名加进 fake-ip-filter（名称视客户端而定）。
DoH 的作用
DoH（DNS over HTTPS）把 DNS 查询封装在 HTTPS 里，中间设备看不到也改不了。把客户端的上游 DNS 换成 DoH 地址（如 https://dns.google/dns-query）并让查询走代理，就能同时避免污染和泄漏。国内域名单独指定一个国内 DNS 走直连，保证解析到就近 CDN。
机场 DNS 污染、泄漏与 TLS 证书错误排查：可能原因按概率排序
- DNS 模式为 Redir-Host 且上游是明文 DNS，被污染或泄漏。
- TUN 模式下没开 DNS 劫持，系统 DNS 请求绕开了客户端。
- 系统时间不准，证书校验失败。
- 杀毒软件、公司网络或路由器做了 HTTPS 中间人扫描，浏览器报证书无效。
- 浏览器缓存了被污染的解析结果或 HSTS 状态。
逐步解决
- 同步系统时间，重启浏览器。证书错误消失就到此结束。
- 客户端 DNS 模式改为 Fake-IP，上游填 DoH 地址，保存后重启内核。
- 用 TUN 的开启「DNS 劫持」（通常填
any:53），让所有 53 端口请求都被客户端接管。 - 清系统 DNS 缓存：Windows 管理员命令行执行
ipconfig /flushdns，macOS 执行sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder，再用隐私窗口测试。 - 到 DNS 泄漏检测网站（搜「dns leak test」）确认显示的 DNS 服务器地区和节点一致。
- 全部网站都报证书错误且时间正确：关掉杀毒软件的「HTTPS 扫描」「网页防护」或加例外。公司电脑装了企业根证书的，是网络管理员的设置，客户端无法解决。
- 只有个别网站报证书错误：用
nslookup 域名对比开关代理两种状态的解析结果。开代理后仍解析到国内 IP，说明该域名被规则判成直连，把它加进代理规则。
仍未解决
提交工单时附上：客户端与版本、系统版本、节点名称、报错截图，以及 DNS 模式、上游 DNS 和泄漏检测结果。
有的机场在订阅里直接给出调好的 DNS 配置，有的什么都不给。新手尽量选订阅自带完整配置的机场，可以在筛选器里筛，或先看新手入门。
常见问题
Fake-IP 和 Redir-Host 选哪个
大多数人选 Fake-IP：不泄漏、不污染，TUN 模式下最稳。只有碰到个别依赖真实 IP 的软件（部分游戏、局域网发现）异常时，才把它们的域名加进 fake-ip-filter，而不是整体切回 Redir-Host。
DNS 泄漏一定要解决吗
日常浏览影响不大，但解析结果会指向离你最近的 CDN 而不是离出口最近的，流量绕路；流媒体和 AI 服务还会因解析地区与 IP 地区不一致判定异常。用这两类服务就必须解决。
开 TUN 后所有网站都打不开是 DNS 问题吗
多半是。TUN 接管了流量但没开 DNS 劫持，系统的 DNS 请求出不去，所有域名都解析失败。开启「DNS 劫持」并把模式设为 Fake-IP，详见TUN 失败怎么办。
只有一个网站提示证书错误怎么办
系统时间正确、其他网站都正常，就是这个域名被污染或被规则判成了直连。用 nslookup 对比开关代理的解析结果，解析到国内 IP 就把该域名加进代理规则。
下一步
- 想要订阅自带 Fake-IP 与 DoH 配置的机场，到稳定机场榜单选。
- Windows 上开 TUN 并配 DNS 劫持，按Windows TUN 模式教程操作。
- 只有某个网站打不开或反复验证，转到特定网站打不开的排查。