● 原理解读与配置规范版 状态：外部受控探针待部署
DNS 解析路径观察与配置指南
测量边界声明：在未搭建独立受控的权威 DNS 递归探针前，站内**坚决不发布伪造的“泄露扫描动画”或虚构的“安全评分”**。 普通浏览器内的常规 JS 脚本无法直接捕获系统底层发出的 UDP 53 数据包。本页面交付完整的 DNS 解析路径原理、客户端分流排查流程及真实探针部署说明。
一、什么是真正的 DNS 泄露？
当你开启代理访问海外网站（例如 github.com）时，
你的设备必须先知道它的 IP 地址。
✓ 正确的代理解析行为 (无泄露)
设备将域名原样发送给海外代理节点，由海外服务器在其机房向当地权威 DNS 发起递归解析；或者客户端启用 Fake-IP 模式，本地瞬间返回保留地址（如 198.18.0.x），全程不向国内运营商发送任何查询请求。
✗ 异常的 DNS 泄露行为
代理分流规则配置疏漏，导致浏览器在发起连接前，先向你家宽带的运营商本地 DNS（如 202.96.x.x）发送了明文 UDP 查询。当地运营商便记录下了你的访问域名。
二、客户端防泄露标准配置步骤
1. Clash Verge Rev (Mihomo 内核) 配置
在「设置」->「DNS 设置」中：
- 开启
enhanced-mode: fake-ip（虚假 IP 模式）。 - 国内 DNS 设置为安全公共 DNS：
223.5.5.5或119.29.29.29。 - 国外 DNS / Fallback 设置为加密 DNS：
https://1.1.1.1/dns-query。
2. Sing-box 配置规范
在配置文件 dns 字段中设置独立的 rules 路由：
- 命中
geosite:cn的域名直连境内 local DNS。 - 其余所有境外域名路由至海外 remote DNS 服务器，并在海外出口节点进行实际解析。
🛠️ 站长后续上线真实探针的架构规划
若未来本站开放动态在线 DNS 泄露检测，必须满足以下技术规范：
- 独立随机标识：为每次用户检测会话生成形如
[uuid].probe.jichangyy.world的唯一子域名。 - 受控权威服务器：自建 BIND9 或 CoreDNS 权威解析服务器，监听并记录实际向其发起递归查询的上游 DNS 服务器 IP。
- 比对解释：若上游递归解析器 IP 位于中国大陆，则客观报告可能存在国内 DNS 抢答或泄露；若递归解析器位于海外节点所在地，则证明通过代理正常完成远端解析。