DNS 漏洩とは何か：なぜプライバシーが脅かされるのか
プロキシ環境を構築する際、最も見落とされがちなのが DNS 漏洩 (DNS Leak) です。通常のデータ通信が暗号化されたプロキシトンネルを経由していても、ドメイン名の解決（DNS リクエスト）がローカルの ISP（インターネットサービスプロバイダー）経由で送信されてしまうと、あなたがどのウェブサイトにアクセスしようとしているかが ISP に筒抜けになってしまいます。
2026 年現在、プライバシー保護の意識が高まる中で、単に IP アドレスを隠すだけでは不十分です。DNS 漏洩は、政府による検閲や広告主による行動追跡の足掛かりとなります。Clash は強力な DNS ハンドリング機能を備えていますが、その設定が不適切であれば、意図せず DNS リクエストが漏洩し、セキュリティホールが生じる可能性があります。本セクションでは、Clash の DNS セクションの基本的な役割と、漏洩が発生する主な原因を解説します。
Clash DNS スタックの内部論理
Clash の DNS 機能は、単なる転送ツールではありません。内蔵された DNS サーバーが、受信したリクエストをどのように処理するかを制御する「脳」の役割を果たします。設定ファイル内の dns セクションで最も重要なのが enhanced-mode です。
Fake-IP モードと Redir-Host モード
- Fake-IP モード： Clash がリクエストを受け取ると、即座に偽の IP（例：198.18.0.x）を返します。実際の DNS 解決は、データ通信が発生した際に Clash 内部で行われます。これによりレスポンスが高速化され、DNS 漏洩を構造的に防ぎやすくなります。
- Redir-Host モード： Clash が実際の IP を解決してからクライアントに返します。2026 年時点では、互換性の問題を除き、パフォーマンスとセキュリティの両面から Fake-IP モードが推奨されています。
DNS 漏洩を防ぐためには、nameserver と fallback の使い分けを理解する必要があります。国内ドメインは高速な国内 DNS で解決し、海外ドメインは暗号化された DNS プロトコル（DoH/DoT）を使用して海外サーバーで解決する「分流解決」が基本戦略となります。
TUN モードの圧倒的な優位性
従来のシステムプロキシ（HTTP/SOCKS5）は、ブラウザなどのプロキシ設定に対応したアプリケーションしか保護できません。しかし、TUN モード を使用すると、Clash は仮想ネットワークカード（TUN インターフェース）を作成し、システム全体のすべてのトラフィックを OS レベルでキャプチャします。
これにより、プロキシ設定をサポートしていないゲーム、CLI ツール、バックグラウンドサービスなどの通信も漏れなく Clash の管理下に置くことができます。DNS 漏洩対策においても、TUN モードは「システムの DNS 設定自体をハイジャックする」ことができるため、最も確実な解決策となります。
TUN モードの推奨設定例
tun:
enable: true
stack: mixed # gvisor, system, mixed から選択。2026年現在は mixed が安定
dns-hijack:
- "any:53" # すべてのポート53のリクエストを Clash に引き込む
auto-route: true # 自動的にルーティングテーブルを書き換える
auto-detect-interface: true # 物理ネットワークカードを自動検知DNS ハイジャックと完全な保護
TUN モードを有効にするだけでは不十分な場合があります。一部のアプリケーションは、システムの DNS 設定を無視してハードコードされた DNS サーバー（Google の 8.8.8.8 など）に直接アクセスしようとします。これを防ぐのが DNS Hijacking です。
Clash の TUN モード設定で dns-hijack を有効にすると、外部へ向かおうとする UDP ポート 53 のリクエストを強制的に Clash 内蔵 DNS サーバーへリダイレクトします。これにより、アプリが勝手に DNS 解決を行うことを阻止し、すべての名前解決を Clash のルール（分流設定）に基づかせることが可能になります。
Fake-IP モードの最適化とトラブルシューティング
Fake-IP モードは非常に強力ですが、稀に特定のサービス（一部のオンラインゲームや VPN 接続など）で不具合を起こすことがあります。これを回避するために fake-ip-filter を活用しましょう。
fake-ip-filter にリストされたドメインは、Fake-IP を介さずに直接解決されます。これにより、Fake-IP を受け付けない厳格なアプリケーションとの互換性を確保できます。また、fake-ip-range を適切に設定し、ローカルネットワーク内の他のセグメントと衝突しないように注意することも重要です。
DoH / DoT を活用した暗号化 DNS の構築
DNS リクエスト自体の盗聴を防ぐには、DoH (DNS over HTTPS) または DoT (DNS over TLS) の使用が必須です。Clash の nameserver リストには、通常の UDP サーバーではなく、DoH/DoT エンドポイントを記述することを強くお勧めします。
dns:
enable: true
listen: 0.0.0.0:53
enhanced-mode: fake-ip
nameserver:
- https://dns.google/dns-query
- https://1.1.1.1/dns-query
- tls://dns.adguard.com
fallback:
- https://8.8.8.8/dns-query
- https://9.9.9.9/dns-queryステップ：DNS 漏洩を完全に防ぐための 5 ステップ
- Clash の DNS を有効化：
dns.enable: trueを確認し、enhanced-modeをfake-ipに設定します。 - TUN モードを設定：
tun.enable: trueとauto-route: trueを設定し、システム全体のトラフィックを捕捉します。 - DNS ハイジャックを適用：
dns-hijackにany:53を追加し、ハードコードされた DNS サーバーへの逃げ道を塞ぎます。 - DoH サーバーを採用： 信頼できる海外の DoH/DoT サーバーを
nameserverに追加し、リクエストを暗号化します。 - 漏洩テストを実施：
dnsleaktest.comなどのサイトで、ISP の DNS サーバーが表示されないことを確認します。
既存の解決策との比較：なぜ Clash が最強なのか
かつては hosts ファイルの書き換えや、外部の DNS プロキシツール（AdGuard Home など）を組み合わせて DNS 漏洩対策を行ってきました。しかし、Clash はこれらすべての機能を一つのバイナリに統合しており、特に Rule-based 分流 と TUN モード のシームレスな連携において他の追随を許しません。
VPN サービスが提供する専用アプリも DNS 漏洩対策を謳っていますが、分流の自由度が低く、国内サイトの閲覧が遅くなるという欠点があります。Clash を使いこなし、TUN モードと Fake-IP を最適化することで、速度を犠牲にすることなく最高レベルのプライバシー保護を手に入れることができるのです。2026 年のインターネット環境において、この「自分専用のセキュアゲートウェイ」を構築するスキルは、もはや必須と言えるでしょう。