【进阶•DNS泄漏篇】竟能提速降延迟！再也不用担心DNS污染了！90%以上的人都存在DNS泄露！会有什么安全问题？如何解决代理中的DNS泄漏问题？以及WebRTC绕过代理泄漏本机真实IP，看完就知道了

[@crsimp9790]

大佬的更新就是我们的精神食粮

[@NEXONCAT]

每天睡前开这个UP主的视频 入睡特别快

[@MichelleWalker-pb7tv]

9

[@maochou1]

非常实用，期待大佬早日上软路由，出一系列软路由相关教程。

[@marioma733]

出自大佬的視頻，必屬精品，點讚，轉發加評論😂

[@cassandraz3465]

理论上说，其实GFW要找翻的人，要封，太容易了。大佬能用这么浅显易懂的语言讲的这么透彻。赞！

[@Airy.Xu-xcm1982]

GFW只是提高技术门槛，不能出来的，也就不会理性发言的人等。

[@haha-gu6wf]

@@Airy.Xu-xcm1982 还在为墙辩护，官方都定了法律说翻墙就是违法了，还洗

[@oliver4612]

@@haha-gu6wf 谁告诉你翻墙违法的？你自己去读读法律就知道不违法

[@haha-gu6wf]

@@oliver4612 自己上网找，关键词：非法定信道进行国际联网

[@oliver4612]

​@@haha-gu6wf 《中华人民共和国计算机信息网络国际联网管理暂行规定实施办法》第三条第三项：国际出入口信道，是指国际联网所使用的物理信道。 你不会不知道物理信道和虚拟信道的区别是什么吧？

[@ironstone00]

感谢！辛苦了！

[@bulianglin]

感谢你的支持与认可！

[@Muronfeiran]

Clash已经在dev分支中提交fake-ip的支持。 在redir-host模式下，Clash先将域名进行解析，再将具体的IP地址响应给客户端，并且记录其对应关系。 而在fake-ip模式下则不进行DNS解析，而是直接生成一个“假IP”并响应给客户端，再记录对应关系。 这可以有如下两个好处： 如果最后判定为代理，则有可能节省一次本地的DNS请求 不需要担心DNS污染（因为配置文件中的DNS仅用作规则判定） 如何调整配置 只需要将配置中的enhanced-mode改为fake-ip即可，如下： dns: enable: true listen: 0.0.0.0:53 enhanced-mode: fake-ip nameserver: - 114.114.114.114 # 随便填写你喜欢的DNS

[@tjwbdhr]

我也很想用fake-ip模式 可是打开这么模式后 我的群晖就没法用了 我是重度群晖drive使用者 打开fake之后 drive会直接注册到群晖的海外服务器上去 从地址上可以体现 直接导致无法同步资料 这真的让我很苦恼 所以我只能用redir-host模式才能正常使用 而且这个模式在使用总响应速度很慢

[@Muhammadteoh]

我是大馬人想請教一下 我的平板已經有蘋果專用代理Dns了 這不用再使用vpn了？😊

[@蔡彬-b7m]

@@tjwbdhr你可以设置不使用fekaip的域名

[@CurtisRecords]

学网安的看到这个很惭愧 疏忽了😭

[@bulianglin]

感谢你的支持与认可！

[@沉默的猫-u3h]

厉害了，最近正在学习DOH和DOT就看到这个视频了

[@fixfox5685]

专业的作者。解决了我的一些问题。

[@zonyacht678]

又学到新知识了，感谢不良林老师。

[@Albion0612]

又是一期干货满满的视频

[@TG_OK_OK]

大神说得很详细，好像听天书一样，不过不要紧，以后多看你的视频应该会慢慢理解的。谢谢大神的分享。

[@emmming]

哈哈哈

[@撞墙的哈维]

V2rayN在绕过大陆下只要将参数设置中DNS出站策略设置为AsIs就能防止DNS泄露，路由设置中用IPIfNoneMatch更精确

[@5sq1]

谢谢专业的作者，又学到新知识了，感谢不良林！

[@起床失败]

大佬是我在油管上讲解网络知识最硬核的，谢谢！

[@gavinphotography]

dns leak已经解决了，感谢老师！

[@saferdefensewithme]

先留言再看，终于坐到大佬的前排了😁

[@JsWorld-Tk]

本来很喜欢你的，从教学抓包视频开始，知道你是小黑子更喜欢了

[@youtube-user-offical]

请问小黑子是指啥？

[@guwh01]

本来是指黑蔡徐坤的人。但现在调侃蔡徐坤的也叫小黑子了。

[@bboyuan]

专业的讲解，讲的清晰明了，感谢！

[@de5862]

不错不错，改了fake-ip模式瞬间清爽了很多，希望继续多做几期关于dns污染的视频

[@cyar]

更新终于来了😁

[@zhefeng386]

Thanks!

[@bulianglin]

感谢你的支持与认可！

[@song-yu]

视频开始的时候，有这样一句话：用测试泄露的网站时，如果你看到国内的dns服务器，说明肯定泄露了。这里不太理解，请主播或了解的朋友有空指点一下。例如我做了这样一个配置：在路由器上设置了分流，如果域名命中了国外的域名，则使用某个国外doh服务器来解析，并且确认了数据包是经过了代理节点的。如果没有命中，那么使用国内的域名商解析。那么在这种情况下，如果像视频在7分50秒说的那样，使用随机域名来进行测试，那么肯定是无法命中分流规则的，这时候，按照规则，就会把域名发送到国内域名商解析的，这时候看到的就会出现一堆的国内dns服务器地址。这种情况不应该算泄露呀？因为我访问大部分国外网站的时候，都是有明确目的的，比如google，或者youtube，那么这时候分流规则是完全可以命中我需要访问的域名，而正确分流到doh去解析的。这时候，国内的任何一个dns服务器，也不可能知道我在请求google或者youtube的ip地址。所以这一句”看到国内的dns服务器，肯定泄露了”，我认为表述不够精准，是我的理解有误吗？

[@MrAzraelKidd]

你对分流还是理解不全面，分流规则一般分为匹配域名或者ip地址，当这个随机的域名没有匹配规则列表时并不代表就会直连，而是会先发起dns请求，根据dns返回的这个随机的域名所匹配的ip地址是否符合ip规则来判断是否符合该连接进行代理。 DNS泄露就发生在因为这个随机域名不匹配域名规则列表，而发起dns请求查询其ip并判断是否命中ip规则列表的这个过程中。

[@MrAzraelKidd]

当然，如果你的分流规则是纯域名规则，则确实会如你所说域名不命中则不走代理，但是实际情况是很少有纯域名规则的，一般都是域名+ip的复合规则

[@song-yu]

@@MrAzraelKidd 随机域名不匹配域名规则，这时候需要请求ip，并且发送到了国内的dns服务器上，这时候dns服务器可以看到我在访问一个随机域名，这是发生了泄露，可是仅仅泄露了我在访问一个随机域名，那本质上并没有泄露任何信息，视频也说了，泄露是指国内的dns服务器可以知道你在访问google等外网服务商。另外一点，如果我的规则是复合规则，比如我使用了geoip，geosite等等众多的最新的规则文件，这里我仍然不明白如何泄露的，我在请求一个随机域名的时候，把这个请求发送到国内dns服务器上，同时我访问google，根据规则把请求发送到doh服务器上，那么泄露在哪里？国内的dns服务器仍然不知道我访问了google，它只看到我在访问一些随机域名。同时这个线路上所有的路由器，也可以看到我向53端口发出的明文的dns请求，但是请求的也是那些随机域名啊。当我真正需要隐藏目的地的访问，在我自己的路由器上已经分流给doh，走了代理啊。所以我上面的疑问就是，当我用测试泄露dns的网站的时候，看到了一堆国内ip的dns服务器，这并不代表我已经泄露了信息，唯一算有价值的信息就是可以分析出我在使用dns泄露测试网站。

[@patrickleon2931]

@@song-yu 你的理解是对的。只要把容易被审查部门注意的敏感网站域名写入分流规则，就可以安全地代理请求其dns。随机域名dns测试的价值完全属于测试理论上的安全性，但要实现这种安全性地分流，需要维护完整的国内网站白名单或国外黑名单规则，这是不可行的，也是没必要的。否则要不牺牲dns解析安全性，未命中的通过国内dns换取解析速度；要不未命中全部通过代理远程解析，牺牲解析速度（还有可能解析到国外cdn ip）换取安全性。这也是为什么很多代理软件开发者推荐默认GFW列表足以覆盖大部分代理流量行为。

[@bulianglin]

配置不当的话google这种添加在分流规则中的域名也还是会泄露，比如视频演示的要禁用windows的多网卡dns请求，否则tun模式下，物理网卡还是会发起google的dns请求

[@jasondreullo4535]

解说太专业了，赞！

[@adamli2013]

期待一个路由器内的openclash和ssrplus的优化设置方案

[@紫阳花开]

同问

[@poolren]

同期

[@freej233-i4]

mosdns可以解决

[@googlexxx3773]

@@freej233-i4 雖然mosdns解決了洩漏問題，但是會導致openclash的分流失效

[@ovenff3899]

mosdns可以。

[@k68024]

先留言再看，不良林的内容真的都很硬核

[@paradoxlord]

先赞再看👍👍

[@张先生-w3x]

期待一个路由器内的openclash😀

[@jacobtung]

非常好的视频👍 DoT/DoH应该是牺牲速度换方便的方式，如果有一个比较好的分流域名规则，让绝大多数走代理的网站就走代理，在本机不发出DNS请求，是不是对大多数人来讲还是可以接受的

[@karl5254]

坐等大佬的DNS分流设置，还有就是软路由怎么设置DNS，能够避免DNS泄露还能降低延迟啊😂😂

[@Sim66]

感谢不良林老师。

[@xuelide]

大佬破100K了，期待讲解openwrt下openclash或者SSRP系的DNS泄露分析！

[@AlanVictor-23]

你现在找到方法了吗

[@libidianlibidian]

我也需要😊

[@binwen5093]

期待！！爱快+OP-passwall dns解决方案！

[@laulexus4525]

期待路由器刷后openwrt教学。。

[@seekatom5393]

火狐用户注意了，即使你按照博主说的都做了，使用ublock origin插件默认设置仍会导致dns泄露，需要打开插件设置取消勾选：将代理域名映射至真实域名。

[@guodongyang7396]

希望讲解一下openwrt的DNS配置，谢谢不良林

[@geneliu1699]

盼望着盼望着大佬出软路由的helloworld,passwall等组件的设置

[@amundsen6436]

讲的真详细啊！很赞！

[@孟庆伟-g4m]

很受益 期待大佬 出一期软路由openclash dns 防泄漏

[@btcls]

11:32 把提出问题的人解决掉就好了 23333

[@barry599]

感谢不良林老师，速度都提升了好多。

[@gifow]

这种左耳进右耳出的感觉真棒，仿佛让我回到了，那些年。又回到最初的起点，呆呆的站在……

[@gegeqingqing]

希望大佬出点软路由的教程😁

[@socpio]

希望大佬来个openclash的这方面教程

[@weiqingtao1988]

听的云里雾里的，但是不妨碍我点赞评论，感谢大佬分享！

[@kennyli3678]

大佬按照你这期的视频设定后，还有需要加负载均衡吗？

[@小凉凉-k9e]

分流分的细一般都不会泄露吧, 其实按照他这个思路，是因为没有规则然后用dns去请求ip地址然后本地的geoip或者ipv4分流库老旧无法代理准确，本地认为这是直连但是外面识别成是国外ip，是ping不通的，这样其实这种泄露方法能在clash的日志上面看得到，一个ipv4地址直连到国内请求失败,实际上也很好解决，nameserver dns一定要填国内，fallback dns一定要是国外，及时更新geoip库，除开geoip，cn， direct这个规则之外再增加其他所有geoip库的国家或者地区比如geoip，us， proxy。。。geoip，en，proxy这些等等一共有200多个国家，然后漏网之鱼选成国内，其实这些还好搞，最难搞是那些cdn 比如熟悉的CLOUDFLARE，亚马逊的CLOUDFRONT这些大牌的还算好搞，虽然他们的ip地址经常跳, 比如万恶5秒盾这些刷新一下ip又换一次，一下国内地址一下国外地址因为你能出国，第一次是国内地址然后他https连接上就知道你是国外然后刷新就变成国外了，最难搞是那种小cdn，没规则可用，国外ip但是国内就是能奇怪的连的上，还会被判你出国,你还没那个办法搞，咳咳，电视盒子里的一个应用商店就是这样，除非全局，因为他妈的链接没有域名，不然就算商店进到去加载，他就是能用国内的地址给你ping通然后给你获取到国内的地址然后把你拦住，恶心的要死

[@allenzhang5719]

cdn就是国内用代理DNS分流设置的噩梦

[@云白-v9k]

然后还有ipv6，防不胜防。

[@M7YTB]

深入浅出，多谢讲解

[@Json-Walker]

清晰明了！👍

[@whitelub]

感谢大佬，很有用👍

[@MaxwellJamesMrWick]

iOS小火箭使用视频下方的配置文件可能会导致部分国内页面无法正常访问（比如闲鱼的部分页面），使用官方预设的规则没有这种情况

[@huizhou5169]

我目前发现是微信扫码付款很慢，刷新不出来

[@atticuswang4305]

软路由系列 期待

[@H.K.S.C]

又從最初開始學習惡補，感謝不良林！

[@LiuShaHe]

期待openwrt的DNS， 这期学到了很多，谢谢

[@Open记忆]

同样期待OP

[@大番薯-q2f]

关注了！大佬能讲讲quantumultx怎么防止dns泄露吗？

[@vaseycheng2652]

有兴趣讲一下xray新出的reality吗

[@k68024]

请问Quantumult X有没有相应的配置文件能用

[@陈一人]

大神买vps时要天sn1和sn2，这些要填什么，不良林大神可以告知一下，万分感激

[@johanchane9762]

内容可以的👍

[@YuTalk]

最近特别疑惑一件事，软路由网关级的全局代理进行IP检测还会显示国内公网ip，伪装程度甚至不如直接用v2ray

[@ceramichandmade]

老固件版本好像有这个问题，安卓手机连会出现，苹果没有，你可以把软路由固件重新刷写一个新的

[@YuTalk]

@@ceramichandmade 谢谢，我去试试

[@MileYeh01]

讚一個，需要多看幾次

[@meimisakei]

实测在我的win11上改组策略没用,重启过,我把除了clash的另外两张实体网卡改成和clash虚拟网卡一样的dns地址10.0.0.2,才不会出现大陆的dns地址.

[@varusweu5093]

怪不得用自己配的v2rayN配置感觉速度慢了很多，我默认开IPIfNonMatch，路由规则也没配全，DNS泄露了😭移动端也没有注意过，这期又学到了很多

[@varusweu5093]

@@user-jdi8kqwfj2 我路由就是绕过大陆，但是路由策略是IPIfNonMatch，也是v2rayN默认的策略。 这意味着如果你访问的网站不在路由列表中，也没有调整DNS参数时，v2ray会在本机发送DNS请求给运营商，收到IP地址后才会分流。这样会导致DNS请求泄露，运营商就会知道你访问了哪些网站。

[@alexwang8075]

@@varusweu5093 那么IP On-demand 呢？

[@varusweu5093]

@@alexwang8075 如果路由规则里有关于IP地址的规则（例如geoip:cn, 103.21.244.0/22之类的）IPOnDemand 会强制解析域名，得到IP地址后再根据规则分流。如果没有配置"dnsObjects"，结果就是请求都走运营商DNS服务器导致泄露。但是如果配置好了（像软路由中各种dns插件分流）由于请求查询速度快，反而能保证请求不被泄露的情况下加速访问。 AsIs是最保险的方式，具体情况具体分析使用。勤快点可以自己google找文档，像我这种懒癌发作的还是等不良林大大更新了再学吧😊

[@jeff-n5k]

越简单也高效！一直都用ssr里自带的-GWF列表模式，一个节点用了3年多了，什么毛病都没有！

[@楠哥爱中国]

你的ssr能分享下吗。我都没节点用了。一直在用免费。但是危险🦊自己又不会搭建。难受

[@M大哈]

能不能请不良林出一期软路由里的PASSWALL的配置或者ssp+的配置？

[@GhjvcYyh]

我这边是把手机root用的是AFwall+控制软件联网，v2ray按照大佬的设置。然后把手机两个DNS设置成0.0.0.0。手机开飞行模式。只用WiFi

[@GhjvcYyh]

还有把路由器IPV6关了

[@刘大大-o3t]

真不错，感谢分享

[@loongandrew503]

特别感谢。。。期待软路由设置，N1总有一个吧。。。

[@stevenrop1952]

支持讲讲这个

[@fengniandu]

这才是最有用的精华

[@morrowr4493]

那必须得给你安排一个OPENWRT软路由了 然后好好讲讲

[@PanDaWolf_PDW]

小板凳！瓜子花生矿泉水已经准备好了~~

[@yuzongli6936]

不良林大佬能不能讲讲各个平台如何设置DoT、DoH

[@wangwillis8991]

openwrt中的luci-app-openclash与passwall怎么设置呢？

[@linfeng8985]

虽然看不懂，技术性太强，但还是看完了

[@35wangfeng]

视频演示中，带分流组的配置文件是在ruleset=DIRECT,[]GEOIP,CN,no-resolve这一行下面添加其余分流组是不是就可以了

[@backtrack6758]

我有一半的科学上网知识都是在你这里学的

[@dms2034]

请问冲浪板要怎么设置，好像有个自动修复DNS污染的功能，打开后是不是不用设置了

[@冇点点]

up没素材了可以讲解一篇关于各类BBR的视频，我之前用bbr+fq，现在用bbrplus+fq，感觉快了不少

[@林夕-q1m]

UP主能讲下QuantumultX 怎么配置吗?

[@sakuzero6984]

很好的教程，大佬 有个问题就是设置了组策略之后，cfw有些域名用tun就匹配不到规则了怎么办，比如b站港澳台，开全局都没用，还是在走直连。系统代理是正常的

[@fixDish]

改规则就可以解决这个问题，有的.cn域名都要走代理，有的海外网站不走代理也很快（没有被墙，也没有必要墙）

[@yohanceqin7135]

提问！我用了clash远程配置文件以后发现规则不太够，能自己添加规则和策略组吗，这是否会对dns泄露造成影响

[@lvshizhang0729]

学习了，感谢大佬

[@山涛-p7l]

手机的已经按您的方法改好了,但我的软路由R68S,软路由的 版本是iStoreOS的不会改动.希望给讲讲软路由怎样改动.(您的视频我已经收藏了)

[@dion8905]

希望大佬可以在讲解一期关于openwrt代理工具比如passwall ssrplus的dns设置

[@bulianglin]

下期讲完分流就可以自行设置了

[@sanzang8872]

手机电脑客户端都没有问题了，但是软路由openwrt passwall dns不会设置，还是有泄露，期待出一期 openwrt passwall防泄漏

[@mikustay8570]

开启禁用智能多宿主名称解析后，clash的tun虚拟网卡将会无法接管ipv6流量，表现为log里不显示ipv6的连接，检测ip的网站再检测ipv6时也会显示出本地的ipv6而不是vps的v6地址

[@mikustay8570]

这样一来除非禁用ipv6连接，否则不管是否禁用智能多宿主名称解析都会出现dns泄露，禁用的话反而后果更严重

[@iXavierLiu]

我觉得讲的有问题，clash的作用应该是在两个对端传输数据，而不会负责具体DNS请求。至于请求由谁发送，取决于你是否在配置中设置了需要代理DNS流量，如果DNS流量被梯子所代理，那么自然查不到你头上。

[@bulianglin]

请看：kzbin.info/www/bejne/ioDLd2iImLl6n68

[@Borbby]

每天学点小知识~

[@TG-----ethport]

用雷电模拟器多开 使用v2ray或者calsh 同样的设置 有的窗口会泄露WEBRTC 有的不会 这是为什么 窗口都是一样的

[@TG-----ethport]

安卓端怎么解决WEBREC的泄露问题

[@stevenrop1952]

讲讲用n1做软路由的openwr系统怎么设置一下，谢谢

[@dirkknife5251]

请问openclash怎么配置才能避免呢？

[@Killer-i1x]

又长知识了，还好看了下规则，在最后ip匹配之前有一个域名规则可以匹配到大多数需要翻墙的网站，泄漏的不多

[@panpanxi]

感谢up主

[@siddhix]

赶紧出一期关于软路由的吧，感谢了

[@Kaixinguoyingshi]

总结下，想再次请教下up主，按照上面的教学，我尝试了显示下载失败，后来换了边缘在线转换下载节点成功后显示所有节点都超时，所以想请教下up主视频里讲的将远程配置网址进行url编码的这种方法怎么弄不懂，可以指教下吗 或者还有没有其他方式了，谢谢您

[@何森-p5x]

有没有surfboard的修改方式啊，虽然说这软件用的人实在不多

[@pinkman1321]

蹲一下。小米的CLASH经常崩。。受不了啦

[@ttaa8986]

太干货了

[@luciusxu8355]

跪求大佬补充一个MeilinClash的修改教学，感谢感谢~

[@星星同学会]

一直追更新，越来越皮了

[@Kaixinguoyingshi]

up主能出一期clash verge防止dns泄露的教程吗？