openclash 开启流量嗅探访问北洋显示国外

DNS 参考资料

› dnslib for Python

发现 openclash 开启流量嗅探后，访问 https://tjupt.org/ 会被认为是国外

让 ai 分析了下日志

通过分析您提供的两份日志文件和 Clash 配置文件，发现访问 tjupt.org 产生国内/国外 IP 差异的根本原因是：浏览器 TLS 握手的 ECH (Encrypted Client Hello) 机制与 Clash 的流量嗅探重写 (Sniffer) 产生了冲突。

以下是具体的分析过程和原因：

在 config.yaml 中，您启用了 Clash 的流量嗅探并设置了目的地重写（ override-destination: true ）：

sniffer:
  enable: true
  override-destination: true
  sniff:
    TLS:
      ports: [443, 8443]

由于 tjupt.org 使用了 Cloudflare 的 CDN 并开启了 ECH (加密客户端问候) 机制，浏览器在发起 TLS 握手时，会把实际的域名加密，并在外层（未加密部分）使用一个公共域名 cloudflare-ech.com 。

在全局直连日志 2026-06-23 18-25-38.log 中可以清晰地看到这一过程：

184: 18:25:32 debug [Sniffer] Sniff tcp [10.10.10.160:13577]-->[tjupt.org:443] success, replace domain [tjupt.org]-->[cloudflare-ech.com]

Clash 的嗅探器成功识别了这次 TLS 握手，并由于 override-destination 开启，将目标域名从 tjupt.org 强制替换为了 cloudflare-ech.com 。

一旦域名被替换为 cloudflare-ech.com ，Clash 会重新对这个新域名进行规则分流匹配：

• 原本在 config.yaml 中配置的直连规则 - DOMAIN-SUFFIX,tjupt.org,DIRECT,- DOMAIN-SUFFIX,tju.pt,DIRECT 将无法被匹配到（因为域名已经被篡改为了 cloudflare-ech.com ）。

• 新域名 cloudflare-ech.com 随后匹配到了配置中的代理规则集 config.yaml ，被导向了 🔰 模式选择策略组

7 replies • 2026-06-24 01:09:44 +08:00

lnbiuc

7h 22m ago

https://wiki.metacubex.one/config/dns/#disable-qtype-int
丢弃特定类型的回应，例如 disable-qtype-65 可以屏蔽 HTTPS （ TYPE65 ）类型的 dns 解析

brucmao

7h 1m ago

@lnbiuc alpha-g86257fc 版本，加了 disable-qtype-65 没效果

alamaya

6h 50m ago

绕过大陆+fakeip ，不开启嗅探不存在这个问题

Kinnice

6h 34m ago

@brucmao #2 https://1.1.1.1/dns-query#disable-qtype-65=true
要加=true

everfly

5h 51m ago via iPhone

说实话，这些国产代理软件的这一套域名分流方案早已经赶不上时代的进步了。

ronman

3h 24m ago

@everfly #5 时代的进步是要什么呢？

WizardLeo

2h 35m ago

@everfly 现在国外代理软件的最新域名分流方案是啥，我想试试看。