●核心分流机制：为什么需要“分流”？
如果将电脑的所有流量都无脑送往海外代理节点，会导致：
- 访问国内网站（百度、淘宝、B站）速度变慢，甚至触发异地登录风控。
- 严重浪费宝贵的代理流量与海外服务器带宽。
因此，现代代理客户端（如 Clash Verge Rev、Sing-box、Surge）的核心任务就是规则分流：国内域名直连，海外域名走代理。
1. Redir-Host 模式（传统模式）
- 流程：
- 浏览器想要访问
github.com，向本地系统发起 DNS 请求。 - 客户端拦截 DNS 请求，先通过本地或远端 DNS 解析出真实 IP（例如
20.205.243.166）。 - 客户端根据真实 IP 查询 GeoIP 数据库，发现是美国 IP，触发代理规则。
- 客户端连接代理服务器，并将请求转发出去。
- 弊端：每个请求必须先等待一次漫长的 DNS 查询往返；如果本地发起查询，极易遭遇国内运营商 DNS 污染。
2. Fake-IP 模式（现代高效模式）
- 流程：
- 浏览器向系统请求解析
github.com。 - 客户端内核（如 Mihomo）不等待真实解析，直接瞬间返回一个虚构的保留地址（例如
198.18.0.23）。 - 浏览器拿到
198.18.0.23，立即向其发送 TCP 数据包。 - 客户端内核截获目标为
198.18.0.23的数据包，查找内部映射表，得知这是发给github.com的。 - 客户端直接把域名
github.com原样打包发送给海外代理节点。由海外代理节点在其出口机房进行权威解析！ - 巨大优势：
- 本地解析耗时几乎为 0ms，彻底消除前端首包等待。
- 域名在海外节点出口进行解析，天然杜绝国内 DNS 投毒与污染。
3. DNS 泄露到底是什么？
真正的 DNS 泄露是指：你在访问敏感境外网站时，浏览器或操作系统绕过了代理软件配置的 DNS 路由，直接把原始域名明文发给了你家宽带的运营商（如当地电信/联通 DNS 202.96.x.x）。
- 这会导致当地运营商清楚地记录下你几点几分访问了哪个境外域名。
- 在本站 /lab/dns/ 指南中，我们详细介绍了如何通过配置规则确保海外域名永远不向境内 DNS 泄露。