完整 YAML

https://raw.githubusercontent.com/Chunlion/Clash_Rule-Set/main/Chunlion_Rule-Set_DNS-Leak.yaml

Lite YAML

https://raw.githubusercontent.com/Chunlion/Clash_Rule-Set/main/Chunlion_Rule-Set_DNS-Leak_Lite.yaml

完整 JS

https://raw.githubusercontent.com/Chunlion/Clash_Rule-Set/main/Chunlion_Rule-Set_DNS-Leak.js

Lite JS

https://raw.githubusercontent.com/Chunlion/Clash_Rule-Set/main/Chunlion_Rule-Set_DNS-Leak_Lite.js

• enhanced-mode: fake-ip
• fake-ip-range: 198.18.0.1/16
• DNS ipv6: false（DNS 层关闭 IPv6 解析）

• respect-rules: true
• DNS 上游连接遵循路由规则。
• Fake-IP 代理连接通常由代理侧解析。本配置不启用 fallback / fallback-filter；它们仍受支持，负责解析回退，与 respect-rules 的连接路由作用不同。

• default-nameserver：223.5.5.5、119.29.29.29
• proxy-server-nameserver：https://dns.alidns.com/dns-query、https://doh.pub/dns-query
• direct-nameserver：223.5.5.5、119.29.29.29
• use-hosts 与 use-system-hosts 均开启，配置内映射和系统 hosts 同时生效。

已对以下规则集定向到国内 DNS：

• rule-set:add_direct_domain
• geosite:cn,private

这能减少直连域名被错误送往远端解析的概率，提升稳定性。cn_domain / private_domain 规则集与 geosite:cn,private 数据同源，不再重复登记。

Fake-IP 过滤已收敛为单一真源：六份配置的 fake-ip-filter 只保留六条 rule-set: 引用，全部手工条目集中在 rules/fakeip-filter-extra.yaml——改一处，六份配置同时生效。scripts/validate.py 强制该形态，内联条目无法通过校验。

• rule-set:fakeip_filter（外部维护的 Fake-IP 兼容域名，DustinWin）
• rule-set:fakeip_filter_extra（仓库自维护补充集，即原先的内联清单）
• rule-set:vowifi（VoWiFi 网关与鉴权域名）
• rule-set:cn_domain / rule-set:private_domain / rule-set:add_direct_domain

fakeip-filter-extra.yaml 的收录标准：确实需要真实 IP（推送、时间同步、打洞、局域网、反向解析、连通性探测），且不被外部 fakeip_filter 覆盖：

已核删（对 DustinWin 外部集逐条验证确被覆盖）：+.3gppnetwork.org、localhost.ptlogin2.qq.com / localhost.sec.qq.com、time.windows.com / time.apple.com / time.google.com。 stun 打头四级以上的主机（如 stun.l.google.com）由外部 fakeip_filter 的精确条目覆盖；+.lan / +.local / +.home.arpa / +.msftconnecttest.com / +.msftncsi.com 外部集亦有收录，仍保留本地冗余——外部集的增删不应影响局域网与连通性探测。

• dns-hijack: any:53 与 tcp://any:53
• 配合 auto-route/auto-redirect，尽量减少系统层绕行。
• Linux + nftables 环境会通过 route-exclude-address-set: [cn_ip] 将大陆 IP 绕过 TUN；Windows 和 macOS 不使用该规则。

• JS 覆写为顶层及 inline/payload 节点保留匹配的 hosts 和 DNS policy；存在尚未展开的 HTTP/file 订阅集合时，保留显式域名映射，并将 DNS policy 用于节点解析。基于规则集的 policy 不在此保留范围内。
• Sniffer 不嗅探回环、私网、链路本地及 100.64.0.0/10 目标，减少 NAS、路由器、远控、Tailscale 和内网 HTTP 被改写的概率。
• 全局 override-destination 与 parse-pure-ip 保持关闭，仅 HTTP 协议嗅探按原配置覆盖目标。

相较早期版本，当前配置已补强：

1. 广告规则
   • 完整版新增 ads_domain，并在规则前列执行 REJECT。
2. Emby 双通道规则
   • 同时使用 emby_domain 与 emby_ip，提升命中率。
3. DNS 策略增强
   • nameserver-policy 增加 add_direct_domain，并与 geosite:cn,private 配合覆盖国内/私有域名（去除同源重复登记）。
   • fake-ip-filter 收敛为单一真源：六份配置只保留六条 rule-set: 引用，手工条目全部集中在 rules/fakeip-filter-extra.yaml（FCM/APNs/home.arpa/lan/local/ntp/stun/turn/反向解析/连通性探测），被外部集覆盖的冗余项已核删；validate.py 禁止内联条目回流。
   • proxy-server-nameserver 升级使用 DoH (alidns 和 doh.pub)。
   • JS 覆写会保留订阅中非公共的私有 DNS，以及与实际节点服务器域名匹配的 hosts 和 DNS policy，避免覆写后节点域名失效。
   • 显式启用配置 hosts 与系统 hosts，并为回环、私网、链路本地和 CGNAT/Tailscale 目标关闭嗅探。
   • 不启用额外的 fallback / fallback-filter 解析回退。
4. 测速与直连优化
   • 测试链接统一使用 https://www.google.com/generate_204，仅 HTTP 204 响应视为可用，减少劫持页误判。
   • 动态节点组、Fallback 与 URL-Test 组无可用节点时使用 REJECT，不自动改走其他节点。
   • 修正了 add_direct_domain（直连域名）的规则层级，确保其优先级高于 geolocation-!cn。
5. 规则源优化
   • 规则源主要走 cdn.jsdelivr.net 多节点 CDN；GitHub Release 附件和本仓库 VoWiFi 规则集保留原地址，广告规则使用 anti-AD 官方地址。
   • 所有远程规则集通过“一键代理”更新；订阅源仍保持 DIRECT，避免首启代理依赖。
   • 各版本统一使用 PayPal 金融分流与 Crypto 加密货币分流。
6. 连接层兼容
   • 移除 Mihomo v1.19.27 已废弃的 global-client-fingerprint；TLS 指纹改由订阅节点自身的 client-fingerprint 管理。
   • 设置 TCP Keep Alive 空闲 600 秒、探测间隔 60 秒，降低频繁探测带来的移动设备耗电。
   • 订阅健康检查补充 expected-status: 204，与策略组测速判定标准一致。
7. 地区正则与安全加固
   • 地区正则的 2–3 字母代码（HK/UK/GB/SEL/OSA 等）统一加 \b 单词边界，修复 Fukuoka 误入欧洲组、South Africa 误入韩国组、带 10GB 标签误入欧洲组等错分。
   • “其他”组排除正则补充 (?i) 与地区词全集，全大写命名（如 RUSSIA、PANAMA）不再凭空消失。
   • 面板 API 默认密码为 123456；JS 保留已有非空密码，未设置时使用默认值，建议自行修改。
   • 图标地址统一为 raw.githubusercontent.com 写法。
8. 节点选择增强
   • 完整版新增懒加载 sticky-sessions 全局均衡组；同一来源与目标的连接保持在同一节点，未选择该组时不进行测速。
   • 所有 include-all 动态组排除 direct 出站，避免全局测速误选直连；订阅信息节点过滤补充获取、版本、官址、已用、联系、说明、教程、关注等常见标签。
9. 规则集构建修复与关键字拆分
   • 修复构建脚本对 behavior: domain 文本格式的误用：此前产出的 5 个 MRS（VoWiFi / Instagram / LINE / Twitch / WhatsApp）整集静默失效，域名规则从未命中；现已重建并经运行判决确认恢复。
   • domain_keyword_set 不再挤进 domain 载荷，改产出独立的 *-keyword-mihomo.yaml（classical YAML provider）。经逐一核对域名集覆盖后，仅保留 VoWiFi 的 epdg.epc：域名集只列英国 MCC 234，漫游时访属地运营商的 ePDG（epdg.epc.mncXXX.mccYYY.pub.3gppnetwork.org）无法穷举；Instagram / Twitch / WhatsApp 的关键字均被各自域名后缀完整覆盖，已移除。

• 检查 mixed-port 是否被占用。
• 确认客户端没有叠加其他 DNS 覆写脚本。
• 旧内核建议保持 prefer-h3: false。
• 如果节点使用 IPv6，请同步调整配置中的 ipv6 设置。

• 已开启 TUN 模式 时，可将 Windows 网卡 DNS 改为 127.0.0.1，由 dns-hijack 接管 DNS 请求；未开启 TUN 时不要这样设置。
• 对防泄露要求较高时可启用 strict-route: true；Windows 会增加 DNS 泄露防护规则，但可能影响 VirtualBox 等软件。
• 关闭客户端内额外 DNS 劫持插件，避免重复重定向。
• 禁用浏览器的“使用安全 DNS”；配置仅拒绝境外 UDP 443，国内和私网继续按后续规则分流。
• WebRTC 泄露可使用 WebRTC Network Limiter 限制。
• Windows 可在组策略中启用“禁用智能多宿主名称解析”。

• 配置默认启用 Mihomo 内部 NTP 校时，每 30 分钟通过 DIRECT 查询 time.apple.com，但不会修改系统时间。
• 确认 Mihomo 以 root 权限运行后，可将 ntp.write-to-system 改为 true，让内核同时校准 OpenWrt 系统时间。

• 检查节点命名是否包含地区关键字（如 HK、JP、US 等）。
• 如机场命名不规范，可在区域正则中补充关键字。
• 动态节点组为空时会返回 REJECT，不会自动改走其他地区节点。

• 确认“一键代理”已选择可用节点；远程规则集通过该策略组下载。
• 重新加载配置后刷新规则提供者；订阅源仍按 DIRECT 更新。