关于DNS泄露，挂一篇奇文

[RememberOurPromise]

链接如下：
https://blog.skk.moe/post/lets-talk-about-dns-cdn-fake-ip/

文章的第一节标题就亮出暴论：

为什么说 DNS 泄漏毫无风险？

第二节标题：

域名的 DNS 查询，一定要通过实际使用的网络出口发送

他在打自己脸吗？

噢，估计是他没搞明白，DNS泄露检测的最大作用就是快速确认DNS查询是否正确被代理，而不是看你递归DNS服务器出口IP是哪些。
说了那么多就是拿递归DNS服务器的IP泄露信息量不大，来证明DNS泄漏毫无风险。

根据目前所知，ISP和GFW是会记录DNS查询记录的。
这难道是"毫无风险"？
喜欢分流的用户，还是得正确设置，避免DNS查询泄漏给本地ISP或GFW。

为什么一个人可以做到，写文章论据都没问题，但是通过偷换概念得出一个大错特错的结论？
本来是很好的科普文章，如此扭曲逻辑，难得一见
这个错误结论，对看不懂或只看个标题的小白，危害极大！！！

以正视听

[RememberOurPromise]

方滨兴：DNS4CN大干快上，强制全国使用，DNS查询实名到人纳入征信，还敢不敢说毫无风险了？

[Fangliding]

有没有一种可能人家的意思是远程VPS的网络接口 比如用它解析比如说谷歌 因为实际是那台vps的那个接口在访问在谷歌

[Meo597]

这篇文章质量其实挺高的，但有一些事实错误
让我来澄清一下

DNS 泄漏分两类、三种：

1.一种是一些人以为的 ExpressVPN 们故意制造的“伪需求”
理由是支持 ECS 的 DNS 向权威透露了你的 IP
大多数人观点是：你都要访问目标站了，漏就漏呗
实则不然，比如 Windows SmartDNS 会用你所有网卡并行请求
这个需求在传统 VPN 真实存在

还有两种是翻墙分流导致的泄漏：

2.错误的规则导致未知域名甚至敏感域名访问意图泄漏给境内，省牆、ISP、递归都能捕获到你的意图

以及从没有人提过的 OCSP 泄漏，也应该小心处理（一些 CA 国内有 OCSP 节点）
这种翻墙泄漏和第一种 VPN 泄漏不一样

3.故意搞个未知域名，或者污染 geosite:cn
境内网站 / app 加载这个域
恰好你递归支持 ECS 你又没设
泄漏你梯子 IP
这种你根本挡不住，没有任何意义
因为还有更多办法探测，比如 cf 的 cdn-cgi，分流必漏
这个跟 1 有点像但原理不同

最后 ip.skk.moe 很好用
但我完全不认同作者的理念
RealIP 通过我提的几个 PR 也能优化出满意的效果

[Meo597]

另外文章中说一定要通过实际出口访问其实不完全正确

这只适用于家宽，并且用了 ECS 的递归，或者是 ISP 自己的

到了服务器完全不是这么回事儿了

比如很多人爱用的 1.1.1.1 出口用的是 CF WARP 的 IP
然而很多 CDN 的权威 NS 用免费 IP 库
结果你懂的
极其的草台班子
我也是通过 ip.skk.moe 发现的

魔鬼藏在细节中

[Meo597]

1.1.1.1 为啥不去优化这一块，恶意揣测 CF 走 BGP Anycast 的路子，不想为 Akamai 们买单

还有就是他提到 ECS 导致缓存命中率下降问题
其实很容易解决

如果让我去实现支持 ECS 的递归
我一定会自己维护一个极其准确的 geoip 库
挑选代表 IP 去请求权威，一方面是命中率，另一方面是防止这些权威的库不准

更进一步防止权威不支持 ECS 甚至会找当地 IP 去请求

我没测过他们是不是这样干的，毕竟太小众了，他们只要 cover 家宽就够了，没必要搞这么复杂
中国人翻墙出来的流量对他们来说是 edge case

[echs-top]

简单的说

1. 理论上真想要获取你访问记录是防不住的，毕竟你怎么用都避不开三大运营商，我们要明确这点，网络永远不是法外之地

2. 我们访问时也要做好必要的隐藏。就像进小区的外卖小哥，保安问你干啥的你回答送外卖，那保安小想放过你都不行

[pmkol]

这篇文章质量其实挺高的，在技术原理上也写的清晰。只是文章里提到的技术层DNS泄露，和普通用户担心的DNS泄露问题并不是一个事情。或者说普通用户和技术人员理解的DNS泄露完全是两个概念的东西，这也是为什么这个话题一直争论不断的原因。

普通用户担心的DNS泄露，实际是代理软件的分流策略问题。当在海外DNS检测站点上，出现了国内DNS时，意味着该用户在使用IP分流处理未命中名单的域名时，会先向国内DNS进行一次查询，而这次查询会被运营商DNS记录。这才是普通用户担心的问题。

为什么IP分流会先向国内DNS解析一次？这是利用了DNS污染不会返回国内IP的原理，如果返回非大陆IP则丢给远程代理服务器重新解析，这也是大部分代理软件的IP分流工作原理。而默认使用用国内DNS查询，是因为速度比较快，另外也可以很好的处理有国内CDN节点的域名。关于这些我在几年前就写过一篇《DNS分流与泄露分析》科普文章。

---

用户担心的安全问题，排除掉内网就有审查的情况，只说两点：

1、使用运营商DNS肯定会记录IP请求记录，但这个没办法作为审查依据，因为你的设备可能会中病毒，一些海外合规的产品也可能内置被墙的域名，不然传说中的境外势力搞点病毒，或者在一些山寨APP里植入点被墙域名请求，监管直接原地爆炸。

2、那是不是IP分流使用国内DNS一点风险没有？基本用阿里、DNSPOD这种非运营商大厂的可以忽略风险；用运营商的DNS，如果你经常请求一些敏感域名（比如一些黑灰产爱用的加密货币钱包、交易所），而该域名又没在代理名单里，当地运营商DNS还和反诈中心联动了，那用户有较低的概率接到社区或反诈中心电话，这也是目前已知最严重的后果了。

所以绝大部分代理软件并不会在意所谓的DNS泄露问题。如果在意上面的问题，更有效的方法是放弃IP分流，直接非国内名单的域名全部走代理，然后手动维护规则；或者选择那些解决这个问题的小众加密DNS，而不是去折腾DNS。

至少我当时写 Easymosdns 这个DNS分流项目时，并不是为了解决DNS泄露，而是处理一些特殊解析情况无法正确分流的问题，连带把这个所谓的DNS泄露问题也解决了...

[mclovin-2k]

发一个比较“典型”的客户端配置（简化版），大家看看有没有所谓的"DNS泄露"。

{
    "inbounds": [
        {
            "tag": "inboundAutoRouting",
            "listen": "127.0.0.1",
            "port": 9527,
            "protocol": "mixed",
            "settings": {
                "udp": true
            },
            "sniffing": {
                "enabled": true,
                "destOverride": [
                    "http",
                    "tls",
                    "quic"
                ]
            }
        }
    ],
    "outbounds": [
        {
            "tag": "outboundDirect",
            "protocol": "direct",
            "settings": {
                "domainStrategy": "UseIP"
            }
        },
        {
            "tag": "outboundBlock",
            "protocol": "block"
        },
        {
            "tag": "outboundProxy",
            "protocol": "vless",
             ...............
        }
    ],
    "dns": {
        "tag": "inboundDNS",
        "servers": [
            "https+local://223.5.5.5/dns-query",
            "https+local://1.12.12.12/dns-query",
            "localhost"
        ]
    },
    "routing": {
        "domainStrategy": "IPIfNonMatch",
        "rules": [
            {
                "protocol": [
                    "bittorrent"
                ],
                "outboundTag": "outboundDirect"
            },
            {
                "domain": [
                    "geosite:private"
                ],
                "outboundTag": "outboundDirect"
            },
            {
                "ip": [
                    "geoip:private"
                ],
                "outboundTag": "outboundDirect"
            },
            {
                "domain": [
                    "geosite:category-ads-all"
                ],
                "outboundTag": "outboundBlock"
            },
            {
                "domain": [
                    "geosite:cn"
                ],
                "outboundTag": "outboundDirect"
            },
            {
                "ip": [
                    "geoip:cn"
                ],
                "outboundTag": "outboundDirect"
            },
            {
                "domain": [
                    "geosite:geolocation-!cn"
                ],
                "outboundTag": "outboundProxy"
            },
            {
                "ip": [
                    "geoip:!cn"
                ],
                "outboundTag": "outboundProxy"
            }
        ]
    }
}

[echs-top]

发一个比较“典型”的客户端配置（简化版），大家看看有没有所谓的"DNS泄露"。

{
"inbounds": [
{
"tag": "inboundAutoRouting",
"listen": "127.0.0.1",
"port": 9527,
"protocol": "mixed",
"settings": {
"udp": true
},
"sniffing": {
"enabled": true,
"destOverride": [
"http",
"tls",
"quic"
]
}
}
],
"outbounds": [
{
"tag": "outboundDirect",
"protocol": "direct",
"settings": {
"domainStrategy": "UseIP"
}
},
{
"tag": "outboundBlock",
"protocol": "block"
},
{
"tag": "outboundProxy",
"protocol": "vless",
...............
}
],
"dns": {
"tag": "inboundDNS",
"servers": [
"https+local://223.5.5.5/dns-query",
"https+local://1.12.12.12/dns-query",
"localhost"
]
},
"routing": {
"domainStrategy": "IPIfNonMatch",
"rules": [
{
"protocol": [
"bittorrent"
],
"outboundTag": "outboundDirect"
},
{
"domain": [
"geosite:private"
],
"outboundTag": "outboundDirect"
},
{
"ip": [
"geoip:private"
],
"outboundTag": "outboundDirect"
},
{
"domain": [
"geosite:category-ads-all"
],
"outboundTag": "outboundBlock"
},
{
"domain": [
"geosite:cn"
],
"outboundTag": "outboundDirect"
},
{
"ip": [
"geoip:cn"
],
"outboundTag": "outboundDirect"
},
{
"domain": [
"geosite:geolocation-!cn"
],
"outboundTag": "outboundProxy"
},
{
"ip": [
"geoip:!cn"
],
"outboundTag": "outboundProxy"
}
]
}
}

额，你在这里发sing-box的配置不太合适啊，我都搞不清楚那些标签代表什么，sing-box是真看不懂，你发mihomo的我能看懂

[mclovin-2k]

发一个比较“典型”的客户端配置（简化版），大家看看有没有所谓的"DNS泄露"。
{
"inbounds": [
{
"tag": "inboundAutoRouting",
"listen": "127.0.0.1",
"port": 9527,
"protocol": "mixed",
"settings": {
"udp": true
},
"sniffing": {
"enabled": true,
"destOverride": [
"http",
"tls",
"quic"
]
}
}
],
"outbounds": [
{
"tag": "outboundDirect",
"protocol": "direct",
"settings": {
"domainStrategy": "UseIP"
}
},
{
"tag": "outboundBlock",
"protocol": "block"
},
{
"tag": "outboundProxy",
"protocol": "vless",
...............
}
],
"dns": {
"tag": "inboundDNS",
"servers": [
"https+local://223.5.5.5/dns-query",
"https+local://1.12.12.12/dns-query",
"localhost"
]
},
"routing": {
"domainStrategy": "IPIfNonMatch",
"rules": [
{
"protocol": [
"bittorrent"
],
"outboundTag": "outboundDirect"
},
{
"domain": [
"geosite:private"
],
"outboundTag": "outboundDirect"
},
{
"ip": [
"geoip:private"
],
"outboundTag": "outboundDirect"
},
{
"domain": [
"geosite:category-ads-all"
],
"outboundTag": "outboundBlock"
},
{
"domain": [
"geosite:cn"
],
"outboundTag": "outboundDirect"
},
{
"ip": [
"geoip:cn"
],
"outboundTag": "outboundDirect"
},
{
"domain": [
"geosite:geolocation-!cn"
],
"outboundTag": "outboundProxy"
},
{
"ip": [
"geoip:!cn"
],
"outboundTag": "outboundProxy"
}
]
}
}

额，你在这里发sing-box的配置不太合适啊，我都搞不清楚那些标签代表什么，sing-box是真看不懂，你发mihomo的我能看懂

你说什么呢，我发的这可是纯血的 XRAY 配置。

[echs-top]

发一个比较“典型”的客户端配置（简化版），大家看看有没有所谓的"DNS泄露"。
{
"inbounds": [
{
"tag": "inboundAutoRouting",
"listen": "127.0.0.1",
"port": 9527,
"protocol": "mixed",
"settings": {
"udp": true
},
"sniffing": {
"enabled": true,
"destOverride": [
"http",
"tls",
"quic"
]
}
}
],
"outbounds": [
{
"tag": "outboundDirect",
"protocol": "direct",
"settings": {
"domainStrategy": "UseIP"
}
},
{
"tag": "outboundBlock",
"protocol": "block"
},
{
"tag": "outboundProxy",
"protocol": "vless",
...............
}
],
"dns": {
"tag": "inboundDNS",
"servers": [
"https+local://223.5.5.5/dns-query",
"https+local://1.12.12.12/dns-query",
"localhost"
]
},
"routing": {
"domainStrategy": "IPIfNonMatch",
"rules": [
{
"protocol": [
"bittorrent"
],
"outboundTag": "outboundDirect"
},
{
"domain": [
"geosite:private"
],
"outboundTag": "outboundDirect"
},
{
"ip": [
"geoip:private"
],
"outboundTag": "outboundDirect"
},
{
"domain": [
"geosite:category-ads-all"
],
"outboundTag": "outboundBlock"
},
{
"domain": [
"geosite:cn"
],
"outboundTag": "outboundDirect"
},
{
"ip": [
"geoip:cn"
],
"outboundTag": "outboundDirect"
},
{
"domain": [
"geosite:geolocation-!cn"
],
"outboundTag": "outboundProxy"
},
{
"ip": [
"geoip:!cn"
],
"outboundTag": "outboundProxy"
}
]
}
}

额，你在这里发sing-box的配置不太合适啊，我都搞不清楚那些标签代表什么，sing-box是真看不懂，你发mihomo的我能看懂

你说什么呢，我发的这可是纯血的 XRAY 配置。

看着都差不多，没专门了解过真分不清楚😂
不过不同核心逻辑也不一样吧，我自己的模板:https://raw.githubusercontent.com/echs-top/proxy/heads/main/mihomo.yaml