OPSEC52 / 第 17 周 — DNS 泄露：VPN 沒問題，洩密的是你的 DNS

你買了一個好用的 VPN，流量已加密，出口 IP 也很乾淨。然而你訪問的每一個網站，仍以明文悄悄上報給一台你從未選擇的解析器——往往就是你 ISP 自家的——並附帶你真實的寬頻賬戶。DNS 是網際網路的通訊錄；一旦這些查詢漏到隧道之外，隧道就只是做戲。

威脅模型： 你的 ISP 及其有日誌的解析器、任何能明文看到你查詢的 DNS 提供商（帶時間戳、綁定到你的線路）、執行劫持解析器的敵意 Wi‑Fi 運營方，以及只需要你查過的域名清單就能還原你一整晚行蹤的分析者。洩露的查詢是後設資料，而後設資料正是加密之後仍會留下來的那部分。

人人都做對的那簡單兩成

開啟 VPN，在 whatismyip 上看到一個新 IP，就安心了。這一步簡單，也確實必要——但它只隱藏了資料包從哪出去。DNS 是另一回事：瀏覽器在連上網站之前，會先問「這個域名對應哪個 IP？」如果這個問題發到了錯誤的解析器、或跑到加密隧道之外，出口 IP 就毫無意義。有人已經握著一份明文、帶時間戳的日誌，寫著這條線路在這些時刻查了這些域名。

為什麼開著 VPN 查詢還是會漏

三種常見的失效方式，都不明顯：

分流 / 系統解析器黏連。 作業系統快取了隧道建立之前的一台 DNS 伺服器（你 ISP 的，或咖啡館路由器的），然後一直用它。VPN 挪走了你的流量；系統卻從沒挪走查詢。
IPv6 逃逸。 你的 VPN 只隧道了 IPv4，而機器仍有原生 IPv6。瀏覽器優先走 IPv6，直接繞過隧道去解析、去連線。這是「我明明開了 VPN」類洩露裡最常見的一種。
WebRTC 與應用級解析器。 瀏覽器和部分應用會自行做域名解析，或透過 WebRTC 暴露你真實的本地地址，繞開系統的配置。

跡象很隱蔽：一切都能用，頁面照常載入，所以沒有任何東西提醒你去檢查。洩露天生是無聲的。

修復，按槓桿大小排序

強制 DNS 走隧道。 一個可信的 VPN 客戶端會在隧道內部用提供商自己的解析器解析 DNS，並封鎖其它一切 DNS。Mullvad、IVPN、Proton 預設如此——但請確認該選項存在且已開啟，別想當然。
給查詢本身加密——DoH / DoT。 DNS‑over‑HTTPS 或 DNS‑over‑TLS 把查詢包裹起來，讓網路既讀不到也偽造不了。有用，但要明白這筆交易：它對你 ISP 隱藏了查詢，卻把這份可見性交給了執行這台加密解析器的人。加密不等於匿名——挑一個你真願意把瀏覽清單託付給它的解析器（Quad9、Mullvad DNS），而不是靠它變現的那種。
VPN 不帶 IPv6 就關掉 IPv6。 如果客戶端無法隧道 IPv6，就在網絡卡上徹底禁用 IPv6。被禁用的協議漏不了。
防洩露的斷網開關。 隧道一旦斷開，客戶端應立刻切斷所有流量——DNS 也在內——而不是回落到本地解析器。

去驗證——別信宣傳

在你親手證明之前，先假定它在漏。開著 VPN，開啟一個 DNS 洩露測試（dnsleaktest.com、Mullvad 自家的檢測頁），看看是哪些解析器在應答。如果你看到自己的 ISP、你的城市、或任何你沒選過的伺服器，隧道就在漏。每次系統更新後、每接入一個新網路，都要重測——Windows 或 macOS 的更新會悄悄重置解析器設定，而帶門戶認證的 Wi‑Fi 會樂意重新注入它自己的。

隱私幣這一隅

這正是透明鏈人群低估網路後設資料的原因。你可以有一份完美乾淨的鏈上足跡，卻仍能透過洩露的 DNS 把你的錢包軟體、你的節點、你的區塊瀏覽器習慣串起來——每一次 xmrchain.net 或交易所的查詢，都是別人日誌裡的一個域名。若你讓錢包與節點流量走 Tor（或走一個強制 DNS、防洩露的隧道），這個關聯面就關上了。買非 KYC 是鏈上那一半；不把你碰過的每一個服務都向 ISP 報告，是網路那一半。要麼兩者都做，要麼都別做。

今天就做一件事： 開啟 VPN，開啟一個 DNS 洩露測試，認真看看是哪些解析器在應答。只要其中有你的 ISP，那你在自以為受保護的這段時間裡，一直在洩露整份瀏覽清單——去改客戶端的 DNS 設定、若沒隧道 IPv6 就禁用它，然後重測。

由 Cyber Satoshi 策划。OPSEC52 系列之一——52 周，52 條隱私支柱，威脅模型優先。另見第 1 周（VPN 出口紀律）與第 5 周（瀏覽器分割槽）。