DNS 污染与泄露
百科词条 · VPS 术语 · 亦称 DNS 污染 / DNS 劫持 / DNS 泄露 / DNS Leak / Fake-IP
DNS 污染指网络路径上的旁路审查设备利用传统未加密 UDP 53 DNS 协议缺乏完整性校验的缺陷抢先返回虚假 IP 应答；DNS 泄露指客户端开启代理后，操作系统或浏览器的域名解析请求仍不慎发送给本地运营商 DNS 或因 EDNS Client Subnet 携带了用户真实子网信息，导致访问意图被旁路记录。
传统 DNS 明文通信与抢答污染机制
传统 DNS（RFC 1035）默认通过无加密、无签名的 UDP 53 端口传输，报文极易被中间设备截获。国家级防火墙采用旁路分光监听技术，当捕获包含敏感域名的 DNS 查询时，立即伪造源 IP 并以微秒级时间差抢先向客户端返回虚假 A/AAAA 记录响应（通常指向不可达或黑洞 IP）。由于客户端操作系统默认只采纳最先抵达的响应包，后续真实的权威解析包会被自动丢弃。
查看来源加密 DNS 标准（DoH、DoT 与 DoQ）
为消除明文信道篡改与窃听风险，IETF 先后制定了基于 TLS 的 DoT（RFC 7858，专用 853 端口）、基于 HTTPS 的 DoH（RFC 8484，共享 443 端口）以及基于 QUIC 的 DoQ（RFC 9250）。DoH 将 DNS 请求混同在标准 HTTPS 报文流中，依托现代 TLS 1.3 证书体系完成双向鉴权，从根源上杜绝了旁路设备的单向篡改与劫持。
查看来源代理客户端的 Fake-IP 映射与防泄漏方案
现代代理软件（如 Clash.Meta/Mihomo、sing-box、Surge）在 TUN 虚拟网卡模式下广泛采用「Fake-IP」机制：客户端拦截到应用层域名解析请求后，立即从保留测试网段 198.18.0.0/15（RFC 2544 标准）中分配一个临时虚拟 IP 返回给本地应用，使 TCP 握手瞬间完成，完全省去本地明文 DNS 查询；实际连接建立时，内核再从 TLS SNI 或应用层直接提取目标域名发送至远端 VPS 解析，实现零本地 DNS 泄露。
EDNS Client Subnet（ECS）隐私泄露风险
RFC 7871 定义的 EDNS Client Subnet（ECS）扩展允许递归解析服务器向权威 DNS 附带客户端的源 IP 网段（如 /24 子网），以便 CDN 节点按地理就近调度。然而当使用代理时，若上游 DNS 解析器将用户的真实宽带 IP 子网作为 ECS 参数传递给境外权威 DNS，用户的真实地理定位与访问目标便会彻底暴露。因此安全的分流配置通常强制关闭境外查询的 ECS 选项。
查看来源泄露测试与排查诊断
排查 DNS 泄露需在代理开启状态下访问 dnsleaktest.com 等专用检测站点，发起多组随机生成的二级子域名解析请求。若最终检测到的 DNS 服务器列表中包含中国电信、中国联通或中国移动等国内运营商节点，即表明存在严重的 DNS 泄露；若解析节点全部为境外代理服务器或指定的海外 DoH 解析商（如 Cloudflare 1.1.1.1、Google 8.8.8.8），则表示隔离健全。