# DNS 泄露——VPN 沒問題，洩密的是你的 DNS

> 你買了一個好用的 VPN，流量已加密，出口 IP 也很乾淨。然而你訪問的每一個網站，仍以明文悄悄上報給一台你從未選擇的解析器——往往就是你 ISP 自家的——並附帶你真實的寬頻賬戶。DNS 是網際網路的通訊錄；一旦這些查詢漏到隧道之外，隧道就只是做戲。出口隱藏了資料包去哪，而 DNS 查詢早已說出它們要去哪。

Markdown twin of https://xmr.club/zh/opsec/17-dns-leakage. CC-BY-4.0. Attribute "xmr.club".

## At a glance

- Canonical: https://xmr.club/zh/opsec/17-dns-leakage
- Series: #OPSEC52 — weekly threat-model-first OPSEC cards
- Week: 17
- Pillar: 網路 / VPN / Tor 棧
- Difficulty: intermediate
- Cost: $0
- Language: zh
- Published: 2026-09-14

## Body

# OPSEC52 / 第 17 周 — DNS 泄露：VPN 沒問題，洩密的是你的 DNS

> 你買了一個好用的 VPN，流量已加密，出口 IP 也很乾淨。然而你訪問的每一個網站，仍以明文悄悄上報給一台你從未選擇的解析器——往往就是你 ISP 自家的——並附帶你真實的寬頻賬戶。DNS 是網際網路的通訊錄；一旦這些查詢漏到隧道之外，隧道就只是做戲。

**威脅模型：** 你的 ISP 及其有日誌的解析器、任何能明文看到你查詢的 DNS 提供商（帶時間戳、綁定到你的線路）、執行劫持解析器的敵意 Wi‑Fi 運營方，以及只需要**你查過的域名清單**就能還原你一整晚行蹤的分析者。洩露的查詢是後設資料，而後設資料正是加密之後仍會留下來的那部分。

## 人人都做對的那簡單兩成

開啟 VPN，在 `whatismyip` 上看到一個新 IP，就安心了。這一步簡單，也確實必要——但它只隱藏了**資料包從哪出去**。DNS 是另一回事：瀏覽器在連上網站*之前*，會先問「這個域名對應哪個 IP？」如果這個問題發到了錯誤的解析器、或跑到加密隧道之外，出口 IP 就毫無意義。有人已經握著一份明文、帶時間戳的日誌，寫著*這條線路在這些時刻查了這些域名*。

## 為什麼開著 VPN 查詢還是會漏

三種常見的失效方式，都不明顯：

- **分流 / 系統解析器黏連。** 作業系統快取了隧道建立*之前*的一台 DNS 伺服器（你 ISP 的，或咖啡館路由器的），然後一直用它。VPN 挪走了你的流量；系統卻從沒挪走查詢。
- **IPv6 逃逸。** 你的 VPN 只隧道了 IPv4，而機器仍有原生 IPv6。瀏覽器優先走 IPv6，直接繞過隧道去解析、去連線。這是「我明明開了 VPN」類洩露裡最常見的一種。
- **WebRTC 與應用級解析器。** 瀏覽器和部分應用會自行做域名解析，或透過 WebRTC 暴露你真實的本地地址，繞開系統的配置。

跡象很隱蔽：一切都*能用*，頁面照常載入，所以沒有任何東西提醒你去檢查。洩露天生是無聲的。

## 修復，按槓桿大小排序

1. **強制 DNS 走隧道。** 一個可信的 VPN 客戶端會在隧道*內部*用提供商自己的解析器解析 DNS，並封鎖其它一切 DNS。Mullvad、IVPN、Proton 預設如此——但請確認該選項存在且已開啟，別想當然。
2. **給查詢本身加密——DoH / DoT。** DNS‑over‑HTTPS 或 DNS‑over‑TLS 把查詢包裹起來，讓網路既讀不到也偽造不了。有用，但要明白這筆交易：它對你 ISP 隱藏了查詢，卻把這份可見性交給了執行這台加密解析器的人。加密不等於匿名——挑一個你真願意把瀏覽清單託付給它的解析器（Quad9、Mullvad DNS），而不是靠它變現的那種。
3. **VPN 不帶 IPv6 就關掉 IPv6。** 如果客戶端無法隧道 IPv6，就在網絡卡上徹底禁用 IPv6。被禁用的協議漏不了。
4. **防洩露的斷網開關。** 隧道一旦斷開，客戶端應立刻切斷*所有*流量——DNS 也在內——而不是回落到本地解析器。

## 去驗證——別信宣傳

在你親手證明之前，先假定它在漏。開著 VPN，開啟一個 DNS 洩露測試（`dnsleaktest.com`、Mullvad 自家的檢測頁），看看是哪些解析器在應答。如果你看到自己的 ISP、你的城市、或任何你沒選過的伺服器，隧道就在漏。每次系統更新後、每接入一個新網路，都要重測——Windows 或 macOS 的更新會悄悄重置解析器設定，而帶門戶認證的 Wi‑Fi 會樂意重新注入它自己的。

## 隱私幣這一隅

這正是透明鏈人群低估網路後設資料的原因。你可以有一份完美乾淨的鏈上足跡，卻仍能透過洩露的 DNS 把你的錢包軟體、你的節點、你的區塊瀏覽器習慣串起來——每一次 `xmrchain.net` 或交易所的查詢，都是別人日誌裡的一個域名。若你讓錢包與節點流量走 Tor（或走一個強制 DNS、防洩露的隧道），這個關聯面就關上了。買非 KYC 是鏈上那一半；不把你碰過的每一個服務都向 ISP 報告，是網路那一半。要麼兩者都做，要麼都別做。

**今天就做一件事：** 開啟 VPN，開啟一個 DNS 洩露測試，認真看看是哪些解析器在應答。只要其中有你的 ISP，那你在自以為受保護的這段時間裡，一直在洩露整份瀏覽清單——去改客戶端的 DNS 設定、若沒隧道 IPv6 就禁用它，然後重測。

---

*由 [Cyber Satoshi](https://x.com/xbtoshi) 策划。OPSEC52 系列之一——52 周，52 條隱私支柱，威脅模型優先。另見第 1 周（VPN 出口紀律）與第 5 周（瀏覽器分割槽）。*

## Related

- HTML: https://xmr.club/zh/opsec/17-dns-leakage
- Series index: https://xmr.club/zh/opsec
- Twin index: https://xmr.club/zh/llm/opsec.txt