机场 DNS 错误怎么解决：DNS 污染、DNS 泄露与解析失败的处理方法

DNS 错误是「节点是绿的但网页打不开」最常见的原因。DNS 负责把域名翻译成 IP 地址，用机场时这一步可能发生在本机、客户端或远端节点三个位置，任何一环出错，网页都打不开，而节点测速仍然正常。本文先说明三类 DNS 问题的区别，再给出按顺序执行的修复步骤。

先做这三步

1. 更换系统 DNS

   在系统网络设置里把 DNS 改为 223.5.5.5 与 119.29.29.29，排除运营商 DNS 不稳定或劫持的影响。
2. 调整客户端 DNS 模式

   Clash 系客户端开启 fake-ip 模式，或在 redir-host 模式下确保远程解析；sing-box 检查 DNS 规则是否把海外域名交给代理服务器解析。
3. 关闭浏览器安全 DNS 并刷新缓存

   关闭浏览器设置里的「使用安全 DNS」，Windows 执行刷新 DNS 缓存的命令，macOS 重启浏览器，再重新打开网页。

DNS 在机场里的三个位置

理解位置很重要：改系统 DNS 只能解决第一层的问题，客户端配置错误要在客户端里改。

原因一：解析失败

症状：浏览器提示 DNS_PROBE_FINISHED_NXDOMAIN、ERR_NAME_NOT_RESOLVED 或无法解析服务器的 DNS 地址。有时境内网站也打不开。

原因：系统 DNS 不可用，或者客户端把所有 DNS 请求指向了一个不通的服务器。

解决：先按上面第一步换系统 DNS；然后打开客户端的 DNS 设置，确认 nameserver 列表里至少有一个境内可达的 DNS，例如 223.5.5.5。如果客户端启用了 DoH 而 DoH 服务器本身需要代理才能访问，会形成死循环，此时把境内 DNS 放在列表前面。Windows 下执行 ipconfig /flushdns 清空缓存后再测。

原因二：DNS 污染

症状：特定海外网站打开是空白页、证书错误，或者跳转到不相关的页面；用全局模式也不行。

原因：本地 DNS 返回了错误的 IP。如果客户端使用本地解析结果去连接，即使走代理也会连到错误目标。

解决：让客户端不要相信本地解析结果。Clash 系开启 fake-ip，客户端会返回一个假 IP 给应用，真实解析由节点完成；sing-box 在 DNS 规则里把海外域名指向通过代理的 DNS 服务器。改完后清空客户端的 DNS 缓存，重启客户端。客户端设置界面参考 Clash Verge 与 sing-box 专题。

原因三：DNS 泄露

症状：网页能打开，但流媒体提示地区不支持、AI 工具显示 Region Not Supported，而节点明明在受支持地区。

原因：DNS 请求没有走代理，直接发给了本地运营商。网站从 DNS 出口判断你的真实位置，与节点 IP 地区冲突。

解决：确认客户端 DNS 请求走代理；关闭浏览器安全 DNS；关闭系统级的私有 DNS 或 DoH 设置。修好后用 DNS 泄露检测类网页确认出口地区与节点一致。AI 场景的完整排查见 AI 无法访问，IP 与 DNS 的关系见 AI 工具为什么在意 IP 纯净度与原生 IP。

原因四：规则分流把域名判成直连

症状：只有某一个或几个网站打不开，其他都正常；切到全局模式就能打开。

原因：这不是 DNS 本身的问题，但表现相似。规则库没收录该域名，客户端让它直连，直连时的解析与连接都失败。

解决：把该域名加入代理规则，或更新规则库。详细判断方法见网站打不开专题。

如果还是不行

删除客户端配置重新导入订阅，排除配置文件里残留的错误 DNS 设置。换一个客户端交叉验证，同一订阅在两个客户端都出现 DNS 问题，就检查路由器有没有开启 DNS 劫持或强制 DNS 功能，把路由器的 DNS 也改为公共 DNS。仍然不行时用手机热点对比，热点下正常说明是宽带侧的 DNS 劫持。

总结

机场 DNS 错误分三类：解析失败改系统 DNS，DNS 污染靠客户端的 fake-ip 或远程解析，DNS 泄露要让 DNS 请求走代理并关闭浏览器安全 DNS。分清是哪一类，再对应修改，每次只改一项。多数问题在换系统 DNS、开 fake-ip、关安全 DNS 这三步之后就会消失。