なぜDNS漏洩が重要なのか？

プロキシを使用している最中、IPアドレスは隠せているのに、なぜか地域制限に引っかかったり、特定のサービス（ChatGPTやNetflixなど）からブロックされたりしたことはありませんか？その原因の多くはDNS漏洩（DNS Leak）にあります。DNS漏洩とは、本来プロキシ経由で解決されるべきドメイン名解決のリクエストが、ローカルのISP（インターネットサービスプロバイダー）経由で送信されてしまう現象を指します。

2026年現在、多くのウェブサイトは単なるIP制限だけでなく、DNSクエリの送信元もチェックしています。もし日本のプロキシを使っているのにDNSクエリが日本国外から届いていれば、即座に「プロキシ利用者」としてマークされる可能性があります。本ガイドでは、ClashのTUNモードとFake-IPを正しく設定し、ネットワーク全体のプライバシーを鉄壁にする方法を解説します。

注意：DNS設定はネットワーク全体の接続性に影響します。設定を誤るとインターネットに繋がらなくなる可能性があるため、必ず現在の設定のバックアップを取ってから作業を行ってください。

DNS解決の仕組み：Fake-IP vs Redir-Host

Clashには主に2つのDNS動作モードがあります。それぞれの違いを理解することが、最適な設定への第一歩です。

1. Fake-IP モード（推奨）

Fake-IPは、Clashがドメインに対して即座に仮想IP（198.18.0.xなど）を割り当ててOSに返す仕組みです。OSはこの仮想IPに対してパケットを送信し、Clashがそのパケットを受け取った時点で初めて実際のドメイン解決とプロキシ転送を行います。

  • メリット：ドメイン解決を待たずに通信を開始できるため、体感速度が非常に速い。DNS漏洩を構造的に防ぎやすい。
  • デメリット：一部の古いソフトウェアや、IPアドレスを直接認証に使うツールで不具合が出ることがある。

2. Redir-Host モード

Redir-Hostは、Clashが実際にDNS解決を行い、その結果得られた本物のIPアドレスをOSに返す仕組みです。

  • メリット：OSやアプリが「本物のIP」を知ることができるため、互換性が高い。
  • デメリット：DNS解決を待つ必要があるため、Fake-IPに比べて若干の遅延が発生する。設定が不十分だと漏洩のリスクが高まる。

TUN モードの核心設定

TUNモードは、仮想ネットワークカードを作成し、ブラウザだけでなくシステム全体のトラフィックをClashに強制的に流し込むモードです。これにより、プロキシ設定を無視するアプリ（ターミナル、Discord、ゲームなど）も保護対象になります。

カーネルの選択：Mihomo (Meta)

2026年において、高度なネットワーク制御を行うなら Mihomo (旧 Clash Meta) カーネル一択です。標準のClashカーネルに比べ、TUNモードの安定性とDNSハイジャック機能が格段に進化しています。 

tun:
  enable: true
  stack: system # Windows/macOSではsystemを推奨
  auto-route: true # 自動的にルートテーブルを書き換え
  auto-detect-interface: true # 出口インターフェースを自動検出
  dns-hijack:
    - any:53 # 53番ポートへのDNSリクエストをすべて奪う
  strict-route: true # ルートの漏洩を厳格に防ぐ

漏洩を防ぐ最強のDNS設定テンプレート

DNS漏洩を防ぐためには、Clash内部のDNSサーバー構成を「国内用」と「海外用」で明確に分ける必要があります。 

dns:
  enable: true
  ipv6: false # DNS漏洩のリスクを減らすためIPv6は基本オフ
  listen: 0.0.0.0:1053
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  
  # 国内ドメインの解決用（高速化）
  nameserver:
    - https://dns.alidns.com/dns-query
    - https://doh.pub/dns-query
  
  # プロキシ経由で解決すべき海外用（漏洩防止の要）
  fallback:
    - https://8.8.8.8/dns-query
    - https://1.1.1.1/dns-query
    - tls://8.8.4.4
  
  # 特定のドメインを強制的に国内/海外DNSに割り振る
  nameserver-policy:
    "geosite:cn": https://dns.alidns.com/dns-query
    "geosite:google,youtube,telegram": https://8.8.8.8/dns-query

導入ステップガイド

実際に設定を反映させ、正しく動作しているか確認するまでの手順です。

  1. 管理者権限での実行： TUNモードはネットワークカードを作成するため、Clash（Verge RevやMihomo Partyなど）を必ず管理者権限で起動してください。
  2. サービスモードのインストール： 多くのクライアントでは「Service Mode」のインストールが必要です。ボタンをクリックし、ステータスが「Active」または「緑色のアイコン」になることを確認します。
  3. 設定の書き換え： 上記のYAML設定をプロファイル（Config）に反映させます。特に tun セクションと dns セクションが正しく記述されているか確認してください。
  4. システムのDNSキャッシュをクリア： 設定反映後、古いDNS情報が残っていると漏洩テストに失敗します。
    • Windows: ipconfig /flushdns
    • macOS: sudo killall -HUP mDNSResponder

正しく設定されたか確認する方法

設定が完了したら、以下のサイトでテストを行いましょう。

  • BrowserLeaks DNS Leak Test： 表示されるDNSサーバーのIPが、使用しているプロキシサーバーの地域と一致しているか確認してください。自分のISPのサーバーが表示されたら漏洩しています。
  • IPLeak.net： IP、DNS、WebRTCの3項目をチェックできます。

ヒント：WebRTCからの漏洩も意外と盲点です。ブラウザの拡張機能（uBlock Originなど）でWebRTCを無効化するか、ClashのTUNモードでUDPトラフィックを完全に制御することをお勧めします。

よくあるトラブルと解決策

症状 原因 解決策
特定のサイトだけ開けない DNSキャッシュの不整合 ブラウザのキャッシュとシステムのDNSキャッシュを両方クリアする。
TUNモードをオンにするとネットが切れる auto-routeの競合 他のVPNソフトが起動していないか確認し、スタックを gvisor に変更してみる。
DNSテストで国内サーバーが出る nameserver-policyの優先度 ポリシー設定で fallback-filter が正しく機能しているか確認。

さらに一歩進んだプライバシー保護

DNS漏洩対策は基本ですが、さらに匿名性を高めるためには DoH (DNS over HTTPS) または DoT (DNS over TLS) の全面採用が不可欠です。Clashの設定で https:// または tls:// プレフィックスを使用することで、DNSクエリ自体を暗号化し、ISPによる覗き見（DNSスニッフィング）を防ぐことができます。

また、2026年以降のOS（macOS SequoiaやWindows 11 24H2など）では、システム独自の「セキュアDNS」設定がClashと競合することがあります。基本的にはOS側のセキュアDNSはオフにし、ClashのTUNモードにすべての解決を任せるのが最も安定した構成です。

まとめ：完璧な環境を目指して

DNS漏洩の防止は、単なる「ブロック解除」のためだけではなく、あなたのデジタルフットプリントを守るための重要なステップです。ClashのTUNモードとFake-IPを組み合わせることで、速度とプライバシーを高い次元で両立させることができます。

市販のVPNサービスの中には、アプリ上では「保護中」と表示されていても、実際にはDNSが漏洩しているケースが少なくありません。Clash 公式サイトのような高度なツールを使いこなし、自分自身でトラフィックを制御することで、より自由で安全なインターネット環境を手に入れましょう。

設定に自信がない、あるいはさらに簡単に始めたいという方は、 Clash 公式サイトを無料でダウンロードして、数分で設定完了。

始める準備はできましたか？詳細はドキュメントハブをご覧ください。ダウンロードページへ →