DNS 污染与 DNS 泄露：怎么检测和解决

DNS 是互联网的问路系统。你输入的是域名，设备要连的是 IP 地址，中间「这个域名对应哪个地址」这一步，就是向 DNS 服务器问来的。默认问的是运营商或路由器指定的服务器，而且传统的 DNS 查询不加密：沿途的网络设备看得到你问了什么，也有机会抢在真正的服务器之前给出回答。

DNS 污染（也叫 DNS 投毒）指这份回答被换成了假的：域名被指向一个不相干的、或者根本连不上的地址。对用户来说，它表现为下面这些现象。

• 某些网站一直转圈、连接超时或提示连接被重置，同一时间别的网站完全正常。
• 把 DNS 改成公共 DNS 也没用：假回答是在查询途中插进来的，换一个问路对象，路上照样被抢答。
• 同一个域名每次解析出来的地址都不一样，查归属是一些毫不相干的机构。
• 浏览器提示证书错误：域名被指到了别人的服务器，对方拿不出这个网站的证书。遇到这种提示就停下来，不要点继续。
• 换一个网络（比如手机流量）或连上 VPN 之后，同一个网站立刻能开。

如果现象已经是「连上 VPN 就能开、断开就打不开」，结论其实够用了。想确认某个域名的解析有没有问题，按下面四步查。

1. 不开 VPN，在电脑的命令行里查一次，把 example.com 换成你要查的域名，记下返回的地址：nslookup example.com
2. 连上 VPN（整机方式、全局模式），再查一次同一个域名。两次结果不同很常见——大网站在各地有不同的服务器——关键看下一步。
3. 把第一次得到的地址拿到 IP 查询网站（ipinfo.io 这类）查归属。归属是这个网站自己或它用的云服务商，解析正常；归属是毫不相干的机构，或者地址根本连不上，就是被污染了。
4. 多查两遍。正常的解析结果稳定在几个固定的地址里，被污染的结果常常每次都变。

办法有四种，效果从部分到完整。前两种只动问路这一步，第三种把问路和走路放在一起解决。

• 换 DNS 服务器：对「运营商的 DNS 自己出错或缓存了旧地址」有效；对途中插入的假回答无效。
• 加密 DNS（DoH、DoT）：查询加密以后途中改不了，能拿到真地址；但真地址本身可能照样连不上，所以只解决了一半。
• 让解析和访问一起走线路：这是完整的办法。域名在线路那一头解析，拿到的是真地址，访问也从那一头出去。
• 改 hosts 文件手动指定地址：地址一变就失效，网站一多维护不过来，适合临时应急。
• 雷顿 用的是第三种：DNS 由线路下发并在隧道内解析，本机原来的 DNS 用不上；网页代理由代理服务器替浏览器解析域名；路由器替家里所有设备处理，并让国内网站按国内的方式解析、直连打开。所以用我们的线路，通常不用自己改 DNS 设置。

• DNS 污染：回答是假的。后果是网站打不开或被引到别处。发生在没走线路、或者解析没走线路的时候。
• DNS 泄露：回答是真的，但问的是本地运营商。后果是运营商知道你要去哪些域名，视频网站也可能据此判断出你的真实位置。发生在 VPN 已经连上、域名查询却走了隧道外面的时候。
• 常见的泄露原因：浏览器或系统开了安全 DNS；设备上同时开着另一个 VPN 或组网软件；设备的 IPv6 没走隧道。
• 人在海外看国内视频时，泄露的典型表现是「已连接、IP 也对，仍提示地区限制」，排查步骤见海外看腾讯视频提示版权限制怎么办。

1. 查出口 IP：连上线路后打开一个 IP 查询网站（ipinfo.io、ip.sb 这类），看到的地址和地区应当是你选的出口，而不是家里宽带。
2. 查 DNS：打开一个 DNS 泄露检测页（dnsleaktest.com，或 browserleaks.com 的 DNS 页），它会列出替你解析域名的服务器。全局模式下，列表里应当没有你本地运营商的名字。
3. 查 IPv6：打开 test-ipv6.com。IPv6 一栏显示不可用，或者显示的不是你本地的地址，就没有问题。
4. 分流模式下结果要另外看：国内网站本来就该按国内解析，检测页上出现国内的服务器不一定是泄露。要确认，临时切到全局再测一次。
5. 断开线路再做一遍，把两次结果放在一起比。两次完全一样，说明流量没有走线路，先检查客户端是不是真的连上了。

开着分流时这是正常现象，而且正说明分流在工作。人在国内、选了海外地区：国内的查 IP 网站被分到直连，看到的是你家宽带的地址；境外的查 IP 网站走线路，看到的是出口地址。两个结果都对，分别回答的是「国内网站看你在哪」和「境外网站看你在哪」。

选中国区入口时也一样：国内网站从国内出去，境外网站经境外线路落地，所以境外的查 IP 网站显示的是境外那一端。

还有一种不一致来自数据库：一个 IP 属于哪个国家、哪个城市，各家查询网站用的是各自的归属地库，更新有先后。同一个 IP 在两家显示不同的城市甚至不同的国家，并不少见；网站和 App 实际认的，是它们自己用的那个库。

想看「全部走线路」时的出口，把客户端临时切到全局再查。路由器分流的方向和验证方法见路由器分流是怎么做的。

「IP 纯净度」是一些检测网站给 IP 地址打的风险分，没有统一标准，各家算法不同，同一个地址在不同网站上的分数可以差很远。它衡量的是「网站多大程度把这个地址当作普通家庭用户」，和你的数据有没有被保护无关。打分主要看下面四样。

• 地址类型：属于家庭宽带、手机网络，还是数据中心。
• 是否被标记为代理或 VPN：有些数据库专门收集这类地址。
• 历史记录：这个地址上有没有发过垃圾邮件、刷过接口、被举报过。
• 同时使用的人数：很多人共用一个出口时，所有人的行为都记在同一个地址上。

共享出口分数低是结构决定的：一个出口地址由许多用户共用，其中任何人触发过风控，记录都落在这个地址上；地址又在数据中心网段里，类型这一项先扣了分。VPN 和代理的出口普遍如此。

分数低的实际影响是验证码多一些、个别网站要求额外验证、少数服务不接待数据中心地址。所以「梯子纯净度测试」的结果当参考就好；真遇到某个网站不让用，换一个地区重连——每个地区的出口地址不同，一个地区背后也有多台机器。

路由器要先看到设备问的是哪个域名，才能决定这次访问走线路还是直连。设备如果开了加密 DNS（DoH、DoT），就会自己加密去问第三方的服务器，路由器看不到这次查询，这台设备的分流也就对不上：该走线路的没走，或者国内网站绕了远路。全家只有某一台设备不听话时，先查这一项。

• 安卓：设置 → 网络和互联网 → 私人 DNS，选「关闭」。各品牌的菜单名略有不同，在设置里搜「私人 DNS」能找到。
• Chrome：设置 → 隐私和安全 → 安全 → 使用安全 DNS，关掉。Edge 和 Firefox 在各自的隐私设置里有同类选项，Firefox 叫「基于 HTTPS 的 DNS」。
• iPhone、Mac：系统没有单独的开关。装过 DNS 类 App 或 DNS 描述文件的，到 设置 → 通用 → VPN 与设备管理 里停用；开着 iCloud 专用代理的也先关掉。
• 关掉以后让那台设备重连一次 Wi‑Fi，再按路由器分流那篇最后一节的方法验证。