为什么开启 doh 之后，有时候访问 V2EX 证书还是会变成 facebook 或者 steam 的？

[NeroKamin]

经常有这种情况发生，访问 V2EX 或者 google(目前就这两个网站有这种情况发生过，不知道是否其他站也可能发生)时证书不对，会变成 facebook 或者 steam 的证书，导致访问不了。

有开着 clash 上网，按照网上的教程配置了 doh，还是不管用，不知道是我的配置没对还是没找对原因？

目前使用的配置贴上来请大佬帮忙看看

mixin: # object
  dns:
   enable: true
   #listen: 0.0.0.0:53
   ipv6: false
   enhanced-mode: redir-host
   default-nameserver:
     - 119.29.29.29
     - 223.5.5.5
   nameserver:
     - https://doh.pub/dns-query
     - https://dns.alidns.com/dns-query
   fallback:
     - https://dns.google/dns-query
     - tls://dns.google
     - https://dns.adguard.com/dns-query
     - https://dns.cloudflare.com/dns-query
  tun:
    enable: true
    stack: gvisor
    dns-hijack:
      - 198.18.0.2:53
    macOS-auto-route: true
    macOS-auto-detect-interface: true

[v2tudnew]

直接把内置 DNS 关了，用 GEOIP-CN，把国外域名都交给远程服务器解析完事，也效果更好。

[AoEiuV020]

手机还是电脑？我只知道 cfa 默认是用内置 dns 无视配置的，

[Kobayashi]

https://github.com/Dreamacro/clash/wiki/configuration

fallback-filter:
geoip: true

[jim9606]

DoH 并不能防止国内的 DNS 服务器被污染，DNSSEC 才能做到这点。
何况你全配了国内的服务器。

[sky96111]

国内的某些 DoH 自带污染…大概是 policy 要求

[learningman]

@v2tudnew geoip 没用的，比较典型的一个例子就是 Github Gist 会被污染到一个保留地址，然后分流就傻眼了。

[lcdtyph]

clash 现在有 nameserver-policy
直接把被污染的域名指向干净的 dns

[v2tudnew]

@learningman #6 https://gist.github.com/ 这个吗？能打开。我看了很多被污染的域名，没有发现指向保留地址的，当然 V6 是这情况（ 2001::/32 ），不过这更好解决了，因为默认就不是中国地址走的就是代理。

[NeroKamin]

@AoEiuV020 不是手机 是 cfw

[Love4Taylor]

```
nameserver:
- https://dns.alidns.com/dns-query
- https://doh.pub/dns-query
fallback:
- https://*.*.workers.dev/dns-query
- https://*.*.*.*:***/dns-query
- https://*.*.*.*:***/dns-query
- https://*.*.*.*:***/dns-query
fallback-filter:
geoip: false
ipcidr:
- 240.0.0.0/4
- 0.0.0.0/32
- 127.0.0.1/32
```
无问题

[learningman]

@v2tudnew 这个污染各个地方都不一样，我只是说我这个地方经常碰到这个情况。

[NeroKamin]

@jim9606 fallback 中的是国外的服务器吧

[NeroKamin]

@Kobayashi 试一下，目前没问题了，不知道后面会不会再现

[v2tudnew]

@learningman #11 问题是 clash 它好像不是识别污染地址，仅仅是把不属于中国的地址用其他 DNS 解析，也就是说，它还是在用 GEOIP 干活。https://lancellc.gitbook.io/clash/clash-config-file/dns#fallback

>ipcidr
IPs in these subnets will be considered polluted, when nameserver results matche these ip, clash will use fallback results.

fallback-filter:
geoip: true
ipcidr:
- 240.0.0.0/4

[v2tudnew]

@learningman #11 这是重点
geoip(Default: true)
If geoip is true, when geoip is CN, clash will use nameserver results. Otherwise, Clash will only use fallback results.

[learningman]

@v2tudnew #15 对，但是被污染到保留地址直接就走 ip cidr 的保留地址规则了，我也很烦这个