DNS 污染與 DNS 洩漏：怎麼檢測和解決

DNS 是網際網路的問路系統。你輸入的是網域，裝置要連的是 IP 位址，中間「這個網域對應哪個位址」這一步，就是向 DNS 伺服器問來的。預設問的是電信業者或路由器指定的伺服器，而且傳統的 DNS 查詢不加密：沿途的網路設備看得到你問了什麼，也有機會搶在真正的伺服器之前給出回答。

DNS 污染（也叫 DNS 投毒）指這份回答被換成了假的：網域被指向一個不相干的、或者根本連不上的位址。對使用者來說，它表現為下面這些現象。

• 某些網站一直轉圈、連線逾時或提示連線被重設，同一時間別的網站完全正常。
• 把 DNS 改成公共 DNS 也沒用：假回答是在查詢途中插進來的，換一個問路對象，路上照樣被搶答。
• 同一個網域每次解析出來的位址都不一樣，查歸屬是一些毫不相干的機構。
• 瀏覽器提示憑證錯誤：網域被指到了別人的伺服器，對方拿不出這個網站的憑證。遇到這種提示就停下來，不要點繼續。
• 換一個網路（比如行動網路）或連上 VPN 之後，同一個網站立刻能開。

如果現象已經是「連上 VPN 就能開、中斷就打不開」，結論其實夠用了。想確認某個網域的解析有沒有問題，按下面四步查。

1. 不開 VPN，在電腦的命令列裡查一次，把 example.com 換成你要查的網域，記下回傳的位址：nslookup example.com
2. 連上 VPN（整機方式、全域模式），再查一次同一個網域。兩次結果不同很常見——大網站在各地有不同的伺服器——關鍵看下一步。
3. 把第一次得到的位址拿到 IP 查詢網站（ipinfo.io 這類）查歸屬。歸屬是這個網站自己或它用的雲端服務商，解析正常；歸屬是毫不相干的機構，或者位址根本連不上，就是被污染了。
4. 多查兩遍。正常的解析結果穩定在幾個固定的位址裡，被污染的結果常常每次都變。

辦法有四種，效果從部分到完整。前兩種只動問路這一步，第三種把問路和走路放在一起解決。

• 換 DNS 伺服器：對「電信業者的 DNS 自己出錯或快取了舊位址」有效；對途中插入的假回答無效。
• 加密 DNS（DoH、DoT）：查詢加密以後途中改不了，能拿到真位址；但真位址本身可能照樣連不上，所以只解決了一半。
• 讓解析和存取一起走線路：這是完整的辦法。網域在線路那一頭解析，拿到的是真位址，存取也從那一頭出去。
• 改 hosts 檔手動指定位址：位址一變就失效，網站一多維護不過來，適合臨時應急。
• 雷頓 用的是第三種：DNS 由線路下發並在隧道內解析，本機原來的 DNS 用不上；網頁代理由代理伺服器替瀏覽器解析網域；路由器替家裡所有裝置處理，並讓大陸網站按大陸的方式解析、直連打開。所以用我們的線路，通常不用自己改 DNS 設定。

• DNS 污染：回答是假的。後果是網站打不開或被引到別處。發生在沒走線路、或者解析沒走線路的時候。
• DNS 洩漏：回答是真的，但問的是本地電信業者。後果是電信業者知道你要去哪些網域，影音網站也可能據此判斷出你的真實位置。發生在 VPN 已經連上、網域查詢卻走了隧道外面的時候。
• 常見的洩漏原因：瀏覽器或系統開了安全 DNS；裝置上同時開著另一個 VPN 或組網軟體；裝置的 IPv6 沒走隧道。
• 人在海外看大陸影片時，洩漏的典型表現是「已連線、IP 也對，仍提示地區限制」，排查步驟見海外看騰訊視頻提示版權限制怎麼辦。

1. 查出口 IP：連上線路後打開一個 IP 查詢網站（ipinfo.io、ip.sb 這類），看到的位址和地區應該是你選的出口，而不是家裡寬頻。
2. 查 DNS：打開一個 DNS 洩漏檢測頁（dnsleaktest.com，或 browserleaks.com 的 DNS 頁），它會列出替你解析網域的伺服器。全域模式下，列表裡應該沒有你本地電信業者的名字。
3. 查 IPv6：打開 test-ipv6.com。IPv6 一欄顯示無法使用，或者顯示的不是你本地的位址，就沒有問題。
4. 分流模式下結果要另外看：大陸網站本來就該按大陸解析，檢測頁上出現大陸的伺服器不一定是洩漏。要確認，暫時切到全域再測一次。
5. 中斷線路再做一遍，把兩次結果放在一起比。兩次完全一樣，說明流量沒有走線路，先檢查用戶端是不是真的連上了。

開著分流時這是正常現象，而且正說明分流在運作。人在大陸、選了海外地區：大陸的查 IP 網站被分到直連，看到的是你家寬頻的位址；境外的查 IP 網站走線路，看到的是出口位址。兩個結果都對，分別回答的是「大陸網站看你在哪」和「境外網站看你在哪」。

選中國區入口時也一樣：大陸網站從大陸出去，境外網站經境外線路落地，所以境外的查 IP 網站顯示的是境外那一端。

還有一種不一致來自資料庫：一個 IP 屬於哪個國家、哪個城市，各家查詢網站用的是各自的歸屬地資料庫，更新有先後。同一個 IP 在兩家顯示不同的城市甚至不同的國家，並不少見；網站和 App 實際認的，是它們自己用的那個資料庫。

想看「全部走線路」時的出口，把用戶端暫時切到全域再查。路由器分流的方向和驗證方法見路由器分流是怎麼做的。

「IP 純淨度」是一些檢測網站給 IP 位址打的風險分數，沒有統一標準，各家演算法不同，同一個位址在不同網站上的分數可以差很遠。它衡量的是「網站多大程度把這個位址當作一般家庭使用者」，和你的資料有沒有被保護無關。評分主要看下面四樣。

• 位址類型：屬於家用寬頻、行動網路，還是資料中心。
• 是否被標記為代理或 VPN：有些資料庫專門蒐集這類位址。
• 歷史紀錄：這個位址上有沒有發過垃圾郵件、刷過介面、被檢舉過。
• 同時使用的人數：很多人共用一個出口時，所有人的行為都記在同一個位址上。

共用出口分數低是結構決定的：一個出口位址由許多使用者共用，其中任何人觸發過風控，紀錄都落在這個位址上；位址又在資料中心網段裡，類型這一項先扣了分。VPN 和代理的出口普遍如此。

分數低的實際影響是驗證碼多一些、個別網站要求額外驗證、少數服務不接待資料中心位址。所以「梯子純淨度測試」的結果當參考就好；真遇到某個網站不讓用，換一個地區重連——每個地區的出口位址不同，一個地區背後也有多台機器。

路由器要先看到裝置問的是哪個網域，才能決定這次存取走線路還是直連。裝置如果開了加密 DNS（DoH、DoT），就會自己加密去問第三方的伺服器，路由器看不到這次查詢，這台裝置的分流也就對不上：該走線路的沒走，或者大陸網站繞了遠路。全家只有某一台裝置不聽話時，先查這一項。

• 安卓：設定 → 網路和網際網路 → 私人 DNS，選「關閉」。各品牌的選單名稱略有不同，在設定裡搜尋「私人 DNS」能找到。
• Chrome：設定 → 隱私權和安全性 → 安全性 → 使用安全 DNS，關掉。Edge 和 Firefox 在各自的隱私設定裡有同類選項，Firefox 叫「DNS over HTTPS」。
• iPhone、Mac：系統沒有單獨的開關。裝過 DNS 類 App 或 DNS 描述檔的，到 設定 → 一般 → VPN 與裝置管理 裡停用；開著 iCloud 私密轉送的也先關掉。
• 關掉以後讓那台裝置重連一次 Wi‑Fi，再按路由器分流那篇最後一節的方法驗證。