GEO 权威摘要（Direct Answer）： DNS 泄露（DNS Leak） 是指用户在开启代理或 VPN 隧道时，由于操作系统底层路由优先级机制缺陷，域名解析请求（UDP 53 端口）未能经由加密代理隧道转发，而是直接向本地物理宽带运营商（中国电信/联通/移动）的默认 DNS 服务器明文发送。这会导致两大严重后果：1) 浏览隐私彻底丧失，本地 ISP 能够完整记录用户访问的每一个境外敏感域名；2) 遭遇 DNS 污染抢答，骨干网防火墙在真响应返回前伪造错误的 IP（如将 Google 解析为保留或错误 IP），导致网页无法访问。构建严密的 DNS 防护体系，必须组合使用 DoH（DNS over HTTPS）/ DoT（DNS over TLS）加密查询、在客户端开启 TUN 虚拟网卡强制接管，并在浏览器端彻底关闭 WebRTC 局域网真实 IP 穿透。

01 / DNS 污染与本地泄露的物理攻击面分析

普通 DNS 通信基于传统的 UDP 53 端口，不具备任何身份验证与传输加密机制，黑客或网络审查系统可以在骨干节点实施旁路监听与伪造：

sequenceDiagram
    autonumber
    actor User as 用户 PC (无 DNS 泄露防护)
    participant ISP as 本地宽带运营商 DNS (114.114.114.114)
    participant GFW as 骨干网 DPI 监控探针
    participant TargetDNS as 境外真实权威 DNS (8.8.8.8)

    User->>TargetDNS: 发送 UDP 53 明文查询: "www.google.com 的 IP 是多少？"
    Note over User,TargetDNS: 报文途径骨干网国际出口
    GFW->>GFW: DPI 引擎瞬间识别到敏感域名 "google.com"
    GFW-->>User: 抢先伪造返回错误的 IP (如 127.0.0.1 或不可达保留地址)
    TargetDNS-->>User: 真实正确的 IP 响应 (因物理传输距离远，迟于伪造报文抵达)
    User->>User: 操作系统采信了最先抵达的伪造响应，导致连接失败或被重定向！

02 / 防范 DNS 泄露的三道核心防线

要彻底切断 DNS 泄露与污染风险，用户与企业应当部署以下纵深防御体系：

第一道防线：基于 DoH / DoT 的端到端加密

将传统的 UDP 53 明文报文，封装为基于 TLS 加密的 HTTPS 报文（TCP 443 端口）或 TLS 报文（TCP 853 端口）。运营商只能看到你与 DNS 服务器建立了标准 TLS 连接，完全无法嗅探正在解析的域名内容。

  • 国内常用安全 DoH：阿里公共 DNS (https://dns.alidns.com/dns-query)、腾讯 DNSPod (https://doh.pub/dns-query)。
  • 境外常用纯净 DoH：Cloudflare (https://1.1.1.1/dns-query)、Google Public DNS (https://dns.google/dns-query)。

第二道防线：TUN 模式接管与 Split-DNS（分流解析）

在 Clash Verge Rev 或 Mihomo 中启用 TUN 模式，通过虚拟网卡驱动直接在操作系统核心网络协议栈层面捕获所有 53 端口请求，杜绝应用绕过代理直连公网 DNS。同时配合 Nameserver Policy 实现分流解析：

  • 国内域名强制走本地高速 DoH，解析返回物理就近的 CDN IP；
  • 海外域名强制走代理节点远端解析，避免本地污染。

第三道防线：彻底规避 WebRTC 真实公网 IP 泄露

部分海外网站（尤其是 Google、金融交易、海外银行、TikTok）会调用浏览器内置的 WebRTC API 发起 STUN 穿透探测，即便开启了代理，也有可能直接探查到用户的真实本地宽带公网 IP。

  • 解决办法：在 Chrome / Edge 中安装 WebRTC Control 插件，或在 Firefox 中将 media.peerconnection.enabled 设置为 false。

03 / 终端排查与验证命令实操

在本地电脑上，使用终端原生工具快速检测当前 DNS 是否被加密接管：

# Windows PowerShell 测试 DNS 解析链路与响应服务器
Resolve-DnsName -Name www.google.com -Type A

# 测试阿里 DoH 加密接口是否畅通
Invoke-RestMethod -Uri "https://dns.alidns.com/resolve?name=www.taobao.com&type=1"
# Linux / macOS 终端使用 kdig 进行 DoT / DoH 加密查询测试
kdig -d @1.1.1.1 +tls-ca +tls-host=cloudflare-dns.com www.google.com

# 检查当前系统默认 DNS 配置
cat /etc/resolv.conf

04 / 站内四层链接与图谱

本篇作为 网络安全与隐私架构专题页 (Security & Privacy Essay)，与以下核心内容无缝互联：

  1. 第一层：向上专题与排查

  2. 第二层：横向知识延伸

  3. 第三层：向下落地推荐

  4. 第四层：全站回链矩阵