平时使用各类客户端时，发现很多机场默认订阅或通用配置都存在两个容易被忽视的隐私问题： DNS 泄露 ：域名解析未能做到严格隔离，导致本地真实 ISP 的 DNS 出口直接暴露在检测网站上。 WebRTC 泄露 ：浏览器或即时通讯工具通过 STUN 协议向外探测，轻松穿透代理拿到国内真实公网 IP 。 为此，我整理并长期维护了一套针对 Mihomo / Clash Meta 官方内核的开源配置规则，主要做了以下优化与解决： 核心改进 彻底解决 DNS 泄露 ：采用 Fake-IP 模式 + 国内外安全 DoH 分流（阿里 / 腾讯 DoH 负责大陆域名，Cloudflare / Google DoH 负责国外解析），兼顾国内访问速度与海外绝对隐私。 彻底解决 WebRTC 泄露 ：针对 STUN 探测端口与域名关键词采用 REJECT-DROP 静默丢弃策略，彻底截断浏览器探测通道。 iOS 客户端专项优化 ：针对 iOS 网络扩展（ Network Extension ）极其严苛的 15MB 内存限制，专门制作了轻量化版本，改用内置...