@Dk2014 是的

@yyysuo 域名规则未命中的小众网站，就会走到 dns 这一步，所以我问 policy 再次未命中时会怎地走

@MCC12138 问题是 policy 的目的就是提前排除掉不需要 nameserver 兜底的域名，我这里是排除掉!cn

@mezi04 能走到 dns 这一步，自然是域名规则未命中的小众网站

@wangritian policy 未命中时，好像并未丢给 Nameserver: 223.5.5.5,因为我用 dns 检测网站检测时未发现境内 dns

@titanium98118 就是这个意思，dig 和 nslookup 都只能测试 udp 和 tcp 协议上的域名解析

@titanium98118 经测试:1 、telnet 可以成功连接国内 dns 443 端口，无法连接国外 dns 443 端口，说明国外 dns 443 端口被封；
2 、nslookup 指定端口 443 时能成功解析域名是因为 nslookup 不支持 doh 而直接忽略该参数而转用 53 端口)；
3 、dig 同样不支持 doh ，指定 443 端口时解析失败。

@titanium98118 dig 也不支持 doh 吧

@busier doh 不是在 443 吗

@v2guy nslookup -port 参数在 dos 命令行失效

@YuZiOvO doh 在 443

@tiiis 可以吧

@shangnengfanfo 这个配置已经是没有 dns 泄露前提下最省流的配置的，更省流就只能在规则中开启 resolve 选项了，那就会 dns 泄露了

@LongLights smartdns 本地提供 2 个服务端口，分别是本地解析和远程解析，passwall 插件将 dns 服务器设置成 127.0.0.1 的这 2 个端口没有问题啊，你的 dns 本身 tcp 数据不就是走这 2 个端，再根据分流规则决定其中哪一个端口，分流规则也决定了解析得到的 cdn 是本地的还是代理端的，关键是分流规则。
你说的 dns 死循环问题是 dns 没设置好，必须将解析 dns 域名和代理服务器域名的 dns 服务器设置为 ip 形式。

@jhytxy 默认 dns 查询是本地直连的，但可以开启 respect-rules 参数，启动 dns 路由走代理。但这完全没有必要啊，本地 dns 查询到的 ip 并不是用来访问的，只用来判断境内境外

@radeon019 我已测试了，既无 dns 泄露，又能保证境内小众网站也不走代理绕路

Clash Verge Rev ，电脑上用 edge 和 chrome 都测了，没有测出用 clash 和配置信息

米诺地尔我断断续续用了 4 个月，几乎无效果，最近 5 年发量少了一半，果然是年龄压力大