DNS 在代理中起什么作用，DNS 泄露是怎么回事

DNS 既是“查号台”，也是一条泄露信息的通道

DNS 的本职工作是把域名翻译成 IP 地址；在代理场景中，它还决定了解析结果是否与落地地区匹配，以及谁能看到你在访问哪些网站。 如果流量走了代理，而域名查询仍然交给本地网络完成，就会出现所谓的 DNS 泄露。

理解 DNS 的作用，可以解释很多看似奇怪的现象：为什么节点很快、网页却打开很慢；为什么 IP 显示在一个地区，网站却给出另一个地区的内容。

一次 DNS 查询发生了什么

在不使用代理时，访问一个网站的顺序是：

1. 设备向某个 DNS 解析服务器询问“这个域名的 IP 是多少”；
2. 解析服务器返回一个 IP，常常会根据查询来源返回“离你较近”的服务器地址；
3. 设备再连接这个 IP。

这里有两个关键点。第一，查询内容通常是明文，途经的网络和解析服务商能看到你查询了哪个域名。第二，解析结果因地而异，很多网站使用内容分发网络，会根据查询来源返回不同地区的服务器。

代理场景下 DNS 的三种处理方式

使用机场时，DNS 查询可以由不同的位置完成，常见的有三种思路：

第三种方式在 Clash 系列客户端中常被称为 fake-ip，与之相对的是返回真实解析结果的方式。两者的差异与选择，见 客户端 DNS 设置：fake-ip 与真实 IP 模式的区别。本文只讲原理，不给具体配置。

DNS 泄露具体是怎么发生的

DNS 泄露通常不是某个软件“故意”造成的，而是几种设置叠加的结果：

• 系统代理只接管了部分流量：浏览器的网页请求走了代理，但系统的 DNS 查询仍由操作系统直接发给本地解析服务器；
• 规则判断需要先解析：某些地理位置规则要先知道目标 IP 才能判断去向，客户端便先在本地做了一次解析；
• 应用自带解析：部分浏览器或应用内置了自己的 DNS 设置，绕过了客户端；
• 多个网络工具并存：同时运行多个代理或网络加速工具，DNS 被其中一个接管，路径变得不可预期。

泄露带来的两类后果

隐私：本地网络仍能看到你访问了什么

即使网页内容经过加密的代理通道传输，明文的 DNS 查询仍然把“你访问了哪些域名”暴露给本地网络和解析服务商。对重视隐私的用户来说，这是代理链路中最容易被忽视的缺口。机场运营方在技术上能看到的内容，见 隐私与账号安全。

体验：解析结果与落地地区不匹配

如果域名在本地解析，网站可能返回离你本地较近的服务器地址，而流量实际从海外落地服务器发出。结果是落地服务器要绕远去连接一个并不适合它的地址，网页打开变慢；部分平台还会把解析位置与落地 IP 不一致视为异常信号，使地区识别出现偏差，相关背景见 落地 IP 是什么，为什么网站会识别出不同地区。

泄露、污染与劫持不是一回事

讨论 DNS 时，常有几个词被混用，它们描述的问题并不相同：

本文讨论的是第一种。后两种属于解析结果本身不可信的问题，加密 DNS 与远端解析也能在一定程度上缓解，但原因和判断方法不同，不要把“网站打不开”一概归为泄露。

如何判断与缓解：思路层面

判断是否存在 DNS 泄露，常见做法是在开启代理后访问提供 DNS 泄露检测的网页，看它列出的解析服务器位于哪里：如果出现了本地网络运营商的解析服务器，说明至少有一部分查询没有经过代理。

缓解的思路主要有三条：

1. 让需要代理的域名在远端解析，使解析结果与落地地区一致；
2. 使用加密的 DNS，例如 DoH，让途经网络无法直接读取查询内容；
3. 让客户端接管系统的 DNS 查询，例如使用 TUN 模式，减少应用绕过客户端的情况。

每种方法都有取舍，也与你的客户端和系统有关。逐步排查与设置方法属于客户端专题，见 规则分流与故障排查。

本站资料与 DNS

本站整理的 17 个品牌资料都没有涉及 DNS 处理方式、是否提供远端解析或日志政策，这些信息为待核实。机场能否看到、是否记录你的 DNS 查询，取决于其服务端配置与运营方针，资料中没有说明。

最后提醒：减少 DNS 泄露的目的是保护个人隐私、改善访问体验，不应被用于规避执法或平台风控。请在遵守所在地法律法规与服务条款的前提下使用。更多基础概念可返回 基础概念专题页。