DNS 洩漏是什麼：檢測方法與 V2Ray 客戶端防洩漏設定實作

DNS 洩漏的判斷標準

DNS 負責將網域名稱轉換為可連線的 IP 位址。瀏覽器開啟網站時，通常會先查詢網域名稱，再連線至查詢結果對應的位址。代理節點能轉送網頁流量，不代表系統中的 DNS 查詢必然經過相同路徑；兩者由不同元件處理，也可能分別走直連與代理。

所謂 DNS 洩漏，不是檢測頁面出現多個解析器就一定有問題，而是原本應交由指定解析器或代理路徑處理的查詢，繞過了預期通道。常見情況是網頁出口位址已經改變，DNS 檢測結果卻持續出現目前網路電信業者或路由器下發的解析器，或者測試網域直接由本地網路的 53 埠完成解析。

如何進行線上檢測與本地基準測試

正式修改設定前，先在客戶端完全中斷時測試一次，再連線至節點測試一次。每輪使用相同的瀏覽器、網路與檢測模式，避免將瀏覽器差異誤判為客戶端故障。建議選擇支援標準檢測與擴充檢測的 DNS 測試頁面；擴充檢測通常會發起更多隨機子網域查詢，更容易找出備用解析器。

1. 記錄直連結果

   退出 v2rayN 或停止 Android 端 VPN 服務，關閉瀏覽器安全 DNS，開啟檢測頁面執行一次擴充檢測。記錄出口網路歸屬、解析器數量與解析器所屬網路，不必記錄暫時性的測試網域。

2. 連線至目標節點

   在客戶端選取可用設定。v2rayN 開啟系統代理或 TUN 模式；v2rayNG、v2flyNG 點選連線，並確認系統狀態列顯示 VPN 服務正在執行。

3. 清除舊快取

   桌面版執行 DNS 快取重新整理，接著徹底關閉並重新開啟瀏覽器。Android 端可先中斷再重新連線客戶端；若瀏覽器仍沿用舊結果，再結束瀏覽器程序。

4. 連續檢測三輪

   每輪間隔至少 30 秒，並重新載入檢測頁面。三輪都只出現預期解析器，比單次結果更能排除快取、備用 DNS 與短暫網路切換的影響。

5. 比對出口變化

   如果網頁出口位址沒有變化，先處理代理接管問題；如果出口已變化但解析器仍維持直連基準，則進入客戶端 DNS 設定進行排查。

Windows 本機檢查指令

以下指令可用來查看系統目前的 DNS、清除快取，並檢查本機是否有程式監聽 53 埠。這些指令無法單獨證明查詢經過哪條出站路徑，但能協助定位錯誤的網路介面卡設定與埠號衝突。

ipconfig /all
ipconfig /flushdns
nslookup example.com
powershell -NoProfile -Command "Get-NetUDPEndpoint -LocalPort 53 -ErrorAction SilentlyContinue"

v2rayN 桌面版防洩漏設定

以下操作以 v2rayN 7.x 搭配 Xray Core 為基準。小版本更新可能會調整標籤位置，但排查邏輯不變：先確認 Core 類型，再設定 DNS，最後決定使用系統代理或 TUN。系統代理主要接管支援 HTTP 或 SOCKS 代理的應用程式，通常不會自動接管所有程式發出的 UDP 53 查詢；需要涵蓋更多系統流量時，應優先檢查 TUN 模式。

1. 確認核心

   開啟「設定」→「參數設定」→「Core 類型」，確認目前設定使用 Xray。儲存後重新啟動核心，避免舊程序繼續使用先前產生的設定。

2. 設定 DNS

   進入「設定」→「DNS 設定」→「Xray DNS」，先選擇隨版本提供的基礎範本，再依分流需求設定直連 DNS 與代理 DNS。直連網域應使用本地網路可連線的解析器，代理網域則交由可透過代理存取的解析器處理。

3. 核對分流

   在「設定」→「路由設定」中檢查目前規則。網域若先被解析為 IP，後續可能只符合 IP 規則；需要依網域分流時，應確保查詢策略與路由規則相互配合，不要只修改 DNS 位址。

4. 啟用 TUN

   需要接管不遵循系統代理的程式時，進入「設定」→「參數設定」→「Tun 模式設定」，核對 DNS 劫持與自動路由選項，再從主介面啟用 TUN。首次啟用後，依系統提示完成必要的權限操作。

5. 重新啟動並複測

   關閉舊核心，執行 ipconfig /flushdns，重新啟動 v2rayN。先開啟一般網頁確認連線，再執行三輪 DNS 擴充檢測。

系統代理與 TUN 的差異

• 系統代理：適合瀏覽器及主動讀取系統代理的桌面程式。若應用程式直接傳送 DNS 封包，查詢可能仍會經由實體網路介面卡傳送。
• TUN 模式：透過虛擬網路介面卡接管更廣泛的 IP 流量，適合需要統一處理 UDP、獨立更新程式，以及不讀取系統代理的程式。
• 混合使用：切換模式後，請檢查舊的手動代理是否仍指向本地埠。v2rayN 常見的 HTTP 埠為 10809，SOCKS 埠為 10808，實際值以「設定」→「參數設定」中的本地監聽設定為準。
• 路由優先：DNS 伺服器本身也會符合路由規則。如果它被錯誤分配至阻斷出站，通常會表現為所有網頁都無法解析，而不只是檢測結果異常。

v2rayNG 與 v2flyNG Android 端設定

Android 端通常透過系統 VPN 服務接管流量，DNS 是否經過客戶端取決於本地 DNS、虛擬 DNS 與路由設定。v2rayNG 使用 Xray 核心，v2flyNG 使用 v2fly 核心，兩款客戶端的設定名稱與可用選項可能因核心能力不同而有所差異。操作時不要直接照搬另一款客戶端的進階 JSON，先使用目前版本內建的 DNS 選項建立可正常運作的基準。

1. 更新客戶端

   先確認使用目前下載頁提供的穩定版本。升級後重新開啟應用程式，讓客戶端完成設定移轉，再選取已確認可連線的節點。

2. 啟用本地 DNS

   在 v2rayNG 進入「設定」→「本地 DNS」，啟用由客戶端處理 DNS 的選項，並檢查監聽埠未與其他本地服務衝突。常見的 DNS 監聽埠為 53 或客戶端分配的高位埠，請以介面顯示為準。

3. 檢查虛擬 DNS

   進入「設定」→「VPN 設定」查看 FakeDNS 或相應的虛擬 DNS 選項。需要依網域路由，且一般解析會過早暴露目標網域時，可以啟用此功能；若區域網路裝置或個別應用程式連線異常，先關閉該選項進行對照測試。

4. 確認依應用程式規則

   如果啟用了依應用程式代理，請確認執行檢測的瀏覽器已包含在代理範圍內。瀏覽器被排除時，其網頁請求與 DNS 查詢都會依直連路徑處理。

5. 中斷後重新連線

   儲存設定後不要只返回首頁，應先停止目前連線，等待 5 秒後再重新連線。接著結束瀏覽器程序，重新開啟檢測頁面並執行三輪測試。

複測失敗時依結果定位

完成設定後仍看到本地解析器，不要反覆更換節點與 DNS 位址。一次只變更一個變數：先固定節點與瀏覽器，再分別檢查瀏覽器安全 DNS、客戶端接管模式、系統快取與路由規則。變數同時改變時，即使結果暫時正常，也無法確認是哪一項生效。

合格的複測紀錄應包含哪些內容

1. 客戶端名稱、版本系列與核心類型，例如 v2rayN 7.x 搭配 Xray，而不是只寫「V2Ray 已連線」。
2. 使用系統代理、TUN 或 Android VPN 服務中的哪一種接管方式。
3. 檢測瀏覽器是否啟用獨立安全 DNS，以及是否位於依應用程式代理範圍內。
4. 直連基準與連線後結果的解析器歸屬變化，以及三輪測試是否一致。
5. 複測時間、目前網路類型，以及是否曾發生 Wi-Fi 切換，方便排除網路環境變化。