Clash安全防护最佳实践​

关键配置项

1. 防DNS泄漏

   yaml复制dns:  enable: true  listen: 0.0.0.0:53  enhanced-mode: fake-ip  nameserver:    - https://1.1.1.1/dns-query  # DoH加密

2. 流量伪装

• 启用tun-mode混合IPv4/IPv6流量

• 建议配合WireGuard实现双层加密

3. 防火墙规则

   bash复制# 禁止非代理流量出口iptables -A OUTPUT -j REJECT ! -o tun0

风险提示：避免使用来源不明的订阅链接。