订阅转换

VERSIONS各版本的区别五个版本怎么选、开不开 TUN 有什么不同,请点击查看表格对比catcat7.com/leak-compare →
!!! 电脑端 Clash Verge 一定要打开 TUN 模式不开的话,WebRTC 防不住,网页仍能探到你的真实 IP详细原因见:catcat7.com/leak-compare

导入后显示的名字。留空=显示机场名;填了就用你写的,不显示机场名

📊 分流防泄漏版 vs 禁 UDP 版 · 实测对比

🧪 各版本泄漏对比表 · 系统代理 / TUN 实测

高级 · 自定义规则配置(可选,仅分流版)
复制链接 一键导入 Clash/mihomo
iOS 小火箭分流防泄漏配置

小火箭不吃上面的转换,用这份独立配置:同样国内直连、国外走代理,域名只有命中国内名单才用国内 DoH 解析,其余交给节点远端解析、本地不查询。节点仍用你的订阅。

https://lycorisveil.sbs/music/library/cat77/sr-leakproof.conf
复制链接 一键导入小火箭

手动:小火箭 → 配置 → 右上角 + → 粘贴链接 → 使用配置;首页「全局路由」选「配置」。

小火箭:配置 → + 下载配置 → 远程文件 → 使用配置

再打开两个开关,防 WebRTC 泄漏:小火箭 → 设置 → UDP

防 WebRTC 泄漏:小火箭 → 设置 → UDP,启用转发与禁用 STUN 都打开 小火箭设置 → UDP 示意图:启用转发、禁用 STUN 两个开关打开

以上按小火箭官方说明整理,我们暂时没有 iPhone 实测。建议设置好后打开 ip.skk.moe/stun 自测:各行都不应出现你的本地 IP。有问题请联系 [email protected]。

分流防泄漏版 · 禁 UDP:同分流防泄漏版,另拒绝全部 UDP(NTP 对时除外),网站无法再借 STUN 探测本地 IP;国内外网页照常、QUIC 自动回落 TCP,代价是语音通话、视频会议、游戏不可用。

分流防泄漏版:国内网站直连、国外走代理,同时保留 TUN 接管与防泄漏 DNS:国内域名(geosite:cn)由国内 DoH 解析,其余域名一律经境外 DoH 并通过代理解析,国内解析器全程看不到国外域名;DNS 泄漏面同 TUN 全局版,但网站借国内 STUN 仍可探到本地 IP(见下方实测对比)。要分流又要防泄漏选这个。

TUN 全局防泄漏版:接管系统全部流量与 DNS,对 WebRTC/STUN、DNS、IPv6 三个常见泄漏面都做了加固,适合对隐私要求高、或需要让每一个软件都走代理的场景。代价是国内网站也绕行代理:更慢、更耗流量。桌面客户端导入即自带 TUN;安卓 ClashMetaForAndroid 用自带 VPN 模式即可。

智能分流版:ACL4SSR 规则分流,国内网站直连、国外走代理,速度与流量最优,非防泄漏版本。

分流规则取自 ACL4SSR(本地镜像,墙内可直连),基于 mihomo 原生 include-all / filter 实现。 — CAT77 自建

防泄漏版本配置原理

核心配置:TUN 劫持 DNS 53 端口 + 境外 DoH 通过代理解析 + 全流量 MATCH,PROXY。

这套配置的关键特点是:对于未被 geosite:cn 明确归类为国内域名的未知域名,DNS 查询不会交给国内 DNS 解析器,而是通过境外 DoH,并经代理发送。

如果最终解析得到的是 CN IP,后续连接再根据规则直连。也就是说,DNS 查询与后续网络连接采用不同的处理路径:

DNS 查询:境外 DoH → 代理
连接目标:解析结果为 CN IP → 按规则直连Catcat × Moth · MMXXVI

因此,即使某个国内域名没有被 geosite:cn 收录,其 DNS 查询本身仍不会通过该配置发送给国内解析器。

代价是:部分未被正确识别的国内域名,可能先通过境外 DNS 解析,从而获得非最优的 CDN 节点,导致访问速度或线路选择不如国内 DNS。

什么是这里所说的「DNS 泄漏」

这里的「DNS 泄漏」主要是指:

原本希望通过代理 / 境外 DNS 解析的域名查询,却被国内 DNS 解析器接收,或者以明文 DNS 的形式暴露在本地网络中。Catcat × Moth · MMXXVI

因此,判断是否属于防 DNS 泄漏配置,重点应看实际 DNS 查询路径,而不能只看是否使用了 mode=rules、TUN 或代理。

为什么「智能分流版」标记为「非防泄漏」

mode=rules 本身并不会导致 DNS 泄漏。之所以将该版本标记为「非防泄漏」,是因为它的 dns 配置沿用了原始版本的逻辑:

所以,两者的关键区别是:

「防泄漏」与「非防泄漏」的差异主要来自 DNS 配置,而不是 mode=rules 与其他模式本身的差异。Catcat × Moth · MMXXVI

为什么多了一个「禁 UDP」版

网页可以通过 WebRTC 向任意 STUN 服务器询问「你的 IP 是多少」,而且由网页自己决定去问哪一台。

分流防泄漏版里,国内的 STUN 服务器(小米、B 站、芒果等)会命中「国内直连」规则,网页借它就能拿到你的本地 IP;境外的 STUN 走节点,看到的是节点 IP。这是「国内直连」本身的代价,任何分流配置都挡不住这一种。

禁 UDP 版在此基础上拒绝全部 UDP(NTP 对时除外),STUN 一律拿不到结果;国内外网页照常访问,代价是语音通话、视频会议、游戏不可用。

分流防泄漏版 vs 禁 UDP 版实测:国内 STUN 分流版显示真实 IP、禁 UDP 版拒绝;境外 STUN 分流版走节点、禁 UDP 版拒绝;NTP、网页访问两版相同

点图看大图 · 自测:ip.skk.moe/stun

想 UDP 照常能用、又不露本地 IP:选 TUN 全局防泄漏版,所有流量都经节点,STUN 只能看到节点 IP。