DNS泄漏为何在macOS端更常见
macOS端快连kuailian出现DNS泄漏，本质上是系统解析器与客户端分流规则竞合：当「系统设置 ▸ 网络 ▸ DNS」里仍保留运营商地址，而快连的私有DNS尚未完全接管时，Safari、Chrome会优先向本地53端口发请求，造成真实地址暴露。经验性观察显示，M系列芯片机型因能效核心调度策略更激进，熄屏唤醒后偶发规则刷新滞后，泄漏概率高于Intel机型。
30秒自检：确认是否真的泄漏
- 连接快连任意节点，开浏览器访问
dnsleaktest.com，点「Standard Test」。 - 结果页若出现「China Telecom/China Unicom」等本地ISP字样，即判定泄漏；若仅显示节点所在国家及「QuickLink-DoH3」字样，则正常。
该测试可复现：每次切换节点后刷新页面，约5秒内可见变化。注意关闭iCloud专用代理，避免双代理干扰判断。
一键修复路径（零命令行）
步骤1：关闭本地DNS解析
系统设置 ▸ 网络 ▸ Wi-Fi ▸ 详情 ▸ DNS ▸ 左侧列表清空，仅保留「自动」为空；若公司网络强制DHCP下发DNS，可暂时把DNS手动设为127.0.0.1，强制让解析请求无路可走。
步骤2：启用快连内置DoH3
快连主界面右上角「⋯」▸ 偏好设置 ▸ 隐私 ▸ 私有DNS ▸ 勾选「DNS-over-HTTP/3 (Quic)」；下方「备用解析」选「关闭」。此选项在v7.3.0之后默认隐藏，需按住Option键再点「隐私」才能展开。
步骤3：打开Kill-Switch 2.0
同一面板切到「高级」▸ 网络保护 ▸ 勾选「断网保护(Kill-Switch)」▸ 模式选「强制」。该开关会在隧道掉线时立即切断物理口，防止解析请求回退到本地。
提示：三开关全部生效后，菜单栏图标会出现小盾牌角标；若无角标，说明Kill-Switch未真正激活，需检查是否给快连授予「系统扩展」权限。
平台差异与回退方案
Intel Mac与Apple Silicon路径完全一致，但T2芯片机型在macOS 13及以下需额外批准内核扩展：系统设置 ▸ 隐私与安全 ▸ 允许「Kuaiconnect System Extension」。若公司MDM禁止用户级内核扩展，可回退到「Split-App隧道」模式，仅对浏览器启用代理，把系统DNS留给企业内网，代价是其余App不再受保护。
常见分支：企业网802.1X认证怎么办
高校或公司802.1X网络会强制下发DNS与代理自动发现文件(PAC)，此时即使清空本地DNS，系统仍会在认证阶段向外发包。经验性观察给出的折中办法：先连接手机热点完成快连隧道初始化，再切换回企业Wi-Fi，利用Kill-Switch的「隧道先通后放行」机制，可阻止初始泄漏。若网络策略禁止双栈，则只能改用「浏览器插件代理」方案，放弃全局模式。
验证与观测方法
1. 终端执行log stream --predicate 'process == "mDNSResponder"' --level debug，过滤「quicklink」关键字，若仍出现「A/AAAA query to 223.5.5.5」即泄漏。
2. 打开「无线诊断」▸ 窗口 ▸ 扫描，观察「DNS服务器」一栏是否只剩「127.0.0.1」或空白。
3. 连续休眠唤醒10次，每次唤醒后立即刷新dnsleaktest，记录是否出现本地ISP；若10次均通过，可认为规则稳定。
不适用场景清单
- 需在本机跑Docker Desktop且使用「host网络模式」时，容器会绕过快连的tun，导致解析仍走本地；此时需单独给容器配DoH客户端。
- 使用Parallels/VMware安装Windows虚拟机并选「共享网络」，虚拟机DNS请求由macOS解析器代答，同样不受快连规则；需改「桥接网络」并在Win内再装一次DoH。
- 公司privacy tool与快连同时开启（双隧道叠罗汉），macOS会按服务顺序表优先把DNS递交给公司privacy tool；若公司privacy tool未加密DNS，依旧泄漏，只能二选一。
最佳实践检查表
| 检查项 | 通过标准 | 快速验证 |
|---|---|---|
| 本地DNS列表清空 | 系统设置内无运营商DNS | 网络详情-DNS左侧空白 |
| DoH3已启用 | 隐私页出现Quic选项并勾选 | dnsleaktest显示QuickLink-DoH3 |
| Kill-Switch生效 | 菜单栏图标带盾牌 | 手动断开节点，网络即刻断网 |
| 休眠唤醒后无泄漏 | 10次循环测试0失败 | 脚本自动刷新dnsleaktest |
故障排查速查
现象：按流程设置后仍泄漏，且仅Chrome泄漏，Safari正常。
可能原因：Chrome自带「安全DNS」已开启，会绕过系统解析器。
处置：Chrome设置 ▸ 隐私 ▸ 安全 ▸ 使用安全DNS ▸ 关闭。
现象：开启Kill-Switch后，Teams/Zoom无法共享屏幕。
可能原因：屏幕共享模块使用本地Bonjour发现，被Kill-Switch阻断。
处置：在Split-App列表里把「Microsoft Teams」设为「直连」，牺牲全局保护换取功能。
FAQ（Schema标记）
关闭本地DNS后，公司内网域名无法解析怎么办？
在快连「分流规则」里添加「域名后缀」白名单，如*.internal.company.com，并指定走「直连」即可；代价是这些域名不再受DoH保护。
DoH3选项为何有时消失？
该选项仅在节点支持QUIC端口时显示；若当前节点被防火墙屏蔽UDP 443，客户端自动回退到传统DoH，界面隐藏选项，可手动换到「美洲-洛杉矶QUIC」节点验证。
Kill-Switch导致Time Machine备份失败，如何兼顾？
把「备份」进程加入Split-App直连列表，或设置备份时段临时关闭Kill-Switch，结束后再开启；可在「快捷指令」里自动化该流程。
总结与下一步行动
macOS端快连kuailian出现DNS泄漏并非软件缺陷，而是系统解析优先级与网络环境共同导致。按「清本地、锁DoH3、开Kill-Switch」三步操作后，绝大多数场景可一次性解决；若仍异常，优先检查Chrome私有DNS或企业802.1X策略。建议把本文检查表保存为备忘录，每次系统大版本升级或换网络后复查一次，确保隐私链路始终闭环。
