代理隐私安全与 DNS 泄漏防护指南

核心速览 (Quick Answer)

机场主能窃取我的密码吗？

不能。对于所有开启 HTTPS (TLS 1.2/1.3) 加密的网站，客户端与目标服务器之间建立了端到端强加密。机场节点服务器仅作为密文传输的中继管道，绝对无法解密你的账号密码、支付信息或聊天内容；机场主最多只能知道你访问了哪个域名（SNI）以及通信的数据包大小。

最大的隐私风险是什么？

DNS 泄漏 (DNS Leak)：在发起代理连接前，本地操作系统误将目标域名的 DNS 查询发送给了国内本地运营商（中国电信/联通/移动）的默认 DNS 服务器，导致访问轨迹被完整记录。

WebRTC 穿透：浏览器内置的 WebRTC 视频/音频组件绕过代理插件，直接通过 UDP 向网页服务器上报本地真实 IP。

极速防护三步法：

步骤一：在 Clash Verge Rev 中启用 Fake-IP 模式 与 TUN 虚拟网卡。

步骤二：在浏览器中安装插件禁用 WebRTC 本地 IP 广播。

步骤三：访问专业检测网站（dnsleaktest.com）核验 DNS 归属地是否与节点落地地一致。

1. 代理环境下的三大典型隐私风险剖析

在日常使用代理节点出海时，很多用户对“隐私安全”存在认知偏差。我们先理清真实的威胁边界：

graph TD
    subgraph 用户本地环境
    Browser[浏览器 / 终端应用]
    WebRTC[WebRTC 模块 (潜在泄露源)]
    LocalDNS[系统传统 DNS 查询]
    end

    subgraph 代理接管层
    Clash[Clash Verge / TUN 虚拟网卡]
    FakeIP[Fake-IP 映射引擎]
    DoH[加密 DoH / DoT 解析]
    end

    subgraph 远端中继与出口
    ISP_DNS[国内本地运营商 DNS (泄露风险)]
    Airport[机场节点 (中继密文)]
    Target[目标网站 (HTTPS 端到端解密)]
    end

    Browser -- HTTPS 密文流量 --> Clash --> Airport --> Target
    LocalDNS -- 未被代理接管 (传统模式) --> ISP_DNS
    FakeIP -- 拦截域名查询 (Fake-IP 模式) --> Clash
    WebRTC -- 穿透检测 --> ISP_DNS

1.1 风险一：DNS 泄漏（最容易被忽视的痕迹暴露）

现象：虽然你的 HTTP/TCP 流量走的是美国或香港节点，但你在浏览器中输入一个海外域名时，操作系统却先向 114.114.114.114 或本地电信 DNS 发送了明文解析请求。
后果：本地运营商的日志服务器可以精确记录你在几点几分查询了哪些敏感域名，完全失去了科学上网的隐蔽性。

1.2 风险二：WebRTC 穿透与 IP 暴露

现象：WebRTC 是一项允许网页浏览器进行实时语音/视频通信的技术。为了实现点对点直连（P2P），WebRTC 会通过 STUN/TURN 服务器主动刺探本地所有网卡接口的真实公网与局域网 IP。
后果：部分反作弊网站（如 Claude 3.5、金融风控系统）即使看到代理 IP，也能通过 WebRTC JS API 瞬间提取出你的真实大陆公网 IP，进而触发封号。

1.3 风险三：恶意证书注入与自签 CA 劫持

现象：某些不良软件或免费翻墙工具要求用户在系统中安装其提供的“根证书 (Root CA)”。
后果：一旦用户安装了未经验证的根证书，恶意软件便可在本地充当中间人（MITM），解密并查看所有的 HTTPS 加密流量。
安全铁律：任何正规机场与标准代理客户端（如 Clash Verge Rev, sing-box）绝对不需要安装任何系统根证书！凡是强制要求安装根证书的工具一律视为恶意木马！

2. 为什么 Fake-IP 模式是防御 DNS 泄漏的终极方案？

在代理客户端中，DNS 处理模式主要有 Fake-IP 与 Redir-Host 两种：

对比维度	传统 Redir-Host 模式	现代 Fake-IP 模式 (强烈推荐)
解析时机	必须在本地先将域名解析出真实 IP，再匹配分流规则	本地直接返回一个虚假的内网保留 IP (如 198.18.0.1)
首包延迟 (TTFB)	较慢（需等待远端 DNS 往返解析，延迟 +100~300ms）	极速（0 毫秒本地立即返回虚假 IP）
DNS 泄漏概率	较高（若本地 DNS 配置不当极易泄露给运营商）	极低（本地完全不发起真实公网 DNS 解析）
远端解析保障	依赖本地解析结果	域名直接打包发送至远端落地节点解析，彻底杜绝污染

Fake-IP 核心工作流程：

浏览器请求 google.com。
Mihomo 内核在 0 毫秒内向浏览器伪造一个保留地址 198.18.0.23，并在本地建立映射字典表。
浏览器向 198.18.0.23 发起 TCP 连接。
内核拦截该连接，根据字典还原出真实域名 google.com，并将域名直接封装在加密隧道中发送至海外节点服务器。
由海外节点在落地机房完成真正的 DNS 解析并建立连接。本地运营商全程只能看到与机场入口的加密数据包，对真实域名一无所知。

3. 实战配置：打造零泄漏的终极安全客户端

在 Clash Verge Rev 中，通过以下配置即可彻底封死所有 DNS 泄漏通道：

# 终极防泄漏 DNS 与 TUN 强化配置
dns:
  enable: true
  listen: 127.0.0.1:1053
  ipv6: false # 建议关闭 IPv6 以免发生双栈泄漏
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  fake-ip-filter:
    - "*.lan"
    - "*.local"
    - "localhost.ptlogin2.qq.com"
  nameserver:
    - https://223.5.5.5/dns-query # 阿里加密 DoH (仅用于解析国内直连域名)
    - https://doh.pub/dns-query   # 腾讯加密 DoH
  fallback:
    - https://1.1.1.1/dns-query   # Cloudflare 加密 DoH (用于海外兜底)
    - https://8.8.8.8/dns-query   # Google 加密 DoH

tun:
  enable: true
  stack: mixed
  dns-hijack:
    - "any:53"
    - "tcp://any:53"
  auto-route: true
  strict-route: true # 启用严格路由表控制，阻止未经允许的旁路出站

4. 全流程实测：验证你的网络是否存在泄露

配置完成后，请按照以下步骤进行严谨的泄露检测：

步骤一：DNS 泄漏测试 (DNS Leak Test)

打开权威测试网站：https://www.dnsleaktest.com
点击 「Extended Test」 (扩展测试)。
合格判定标准：
- 页面列出的所有 DNS 服务器 IP，其所属国家与 ISP 必须与你当前连接的代理节点完全一致（例如连了美国专线，DNS 必须全部显示为美国 Google / Cloudflare 等）。
- 若列表中出现了“China Telecom”、“China Unicom”或国内城市的服务器，说明存在严重的 DNS 泄漏！

步骤二：WebRTC 真实 IP 泄漏测试

打开测试网站：https://browserleaks.com/webrtc
查看 Public IP Address 与 Local IP Address：
- 若检测结果显示你的国内真实公网 IP，请在 Chrome 中安装 WebRTC Control 插件并设置为 Disable 状态。

5. 高频 FAQ（常见问题解答）

Q1: 使用机场专线节点，公安或网警能查到我看了什么吗？

只要目标网站是标准的 HTTPS 加密网站，任何中间监管机构都无法查看到你的网页内容与交互细节。但若访问了违规违法网站，监管部门可以通过入口服务器的连接元数据（你在几点几分向该 IP 传输了多少流量）进行溯源。因此，严禁使用代理工具从事任何违法犯罪活动。

Q2: 为什么有些用户建议关闭浏览器的 IPv6 功能？

因为很多家庭宽带虽然分配了 IPv6 地址，但部分机场节点并未完整配置 IPv6 代理路由。当浏览器尝试通过 IPv6 访问支持双栈的网站时，流量可能直接绕过代理走本地直连，从而无意间泄露了本地 IPv6 地址。在客户端中禁用 IPv6 可以有效杜绝此类隐患。

Q3: 免费开源的公共代理和付费专线机场在安全性上有什么本质区别？

很多网上公开的免费 HTTP/SOCKS5 代理充斥着“恶意嗅探节点”和中间人攻击陷阱；而正规付费专线机场（如光速云或 AmyTelecom）采用专有企业专线与全密文传输协议，拥有商业信誉背书，杜绝了公网嗅探与节点劫持风险。

6. 总结

构筑网络出海的隐私安全屏障，核心在于**“消除本地明文 DNS 查询 + 阻断浏览器 WebRTC 穿透 + 坚持全链路端到端加密”**。

更多安全与网络进阶指南：