DNS 污染、WebRTC 泄漏与 IP 封锁排查

导读：在网络代理环境中，最隐蔽也最棘手的故障莫过于 DNS 污染 与 隐私 IP 泄漏。它不仅会导致你无法打开网页，更可能让你的真实身份与地理位置在访问海外受限网站时暴露无遗。本文提供一套全方位的排查与防御指南。

---

一、三大高频故障表象与自查方法

在展开修复前，请先使用浏览器打开专业的检测工具 ipleak.net 或 browserleaks.com，查看以下三项指标：

graph TD
    Test["打开 ipleak.net 检测"] --> T1{"检测项一：Your IP Address<br/>是否显示为国内运营商 IP？"}
    Test --> T2{"检测项二：DNS Addresses<br/>是否出现电信/联通/移动的 DNS？"}
    Test --> T3{"检测项三：WebRTC IP Detection<br/>是否泄露出局域网或公网真实 IP？"}
    
    T1 -->|是| R1["系统代理未成功挂载 / 规则模式误将流量直连"]
    T2 -->|是| R2["遭遇严重的 DNS 泄漏与运营商反向追踪"]
    T3 -->|是| R3["浏览器 WebRTC 协议绕过系统代理直接暴露物理 IP"]

---

二、DNS 污染与投毒排查及针对性修复

1. 现象：海外网站打不开，报错 DNS_PROBE_FINISHED_NXDOMAIN

• 根因：客户端向本地运营商 DNS 发送了明文查询请求，GFW 主动抢答了虚假 IP，导致浏览器无法连接；
• 解决动作一：刷新本地系统 DNS 缓存 在 Windows 中按 Win + X 打开终端（管理员），执行：

  ipconfig /flushdns

• 解决动作二：启用 Fake-IP 模式与 DoH 加密查询 在 Clash Verge Rev 或 Mihomo Party 设置中：
  1. 将 DNS 运行模式设置为 Fake-IP；
  2. 在 DNS 配置中配置内外加密 DoH 分流：
     • 国内 (Nameserver)：https://223.5.5.5/dns-query 与 https://doh.pub/dns-query
     • 海外 (Fallback)：https://cloudflare-dns.com/dns-query 与 https://dns.google/dns-query

2. 现象：打开国内网站极其缓慢，微信/QQ 提示异地登录

• 根因：国内域名被送往海外 DNS 服务器解析，CDN 调度器错误地将你分配到了香港或美国的 CDN 节点；
• 解决动作：
  • 检查客户端是否误开成了 全局模式 (Global)。如果开成了全局，请立即切回 规则模式 (Rule)；
  • 确保分流规则中 GEOIP,CN,DIRECT 正常生效。

---

三、WebRTC 穿透泄漏彻底封堵指南

1. 为什么系统代理防不住 WebRTC？

WebRTC（网页即时通信）是浏览器内置用于音视频通话的底层协议（采用 STUN 穿透技术）。绝大多数常规的系统代理（HTTP/Socks5）完全不拦截 WebRTC 的 UDP 数据包。很多网站（如金融风控、ChatGPT、Google）正是通过 WebRTC 直接抓取你电脑的真实家庭公网 IP。

2. 各主流浏览器封堵方案：

方案 A：Chrome / Edge 用户（推荐安装扩展）

• 打开 Chrome 应用商店，搜索并安装扩展：WebRTC Leak Prevent 或 WebRTC Control；
• 在扩展设置中，将模式设置为：Disable non-proxied UDP (force proxy)，强制 WebRTC 流量走代理。

方案 B：Firefox 用户（内置开关彻底禁用）

• 在地址栏输入 about:config 并按回车；
• 搜索参数：media.peerconnection.enabled；
• 将其值双击切换为 false 即可彻底关闭 WebRTC。

方案 C：直接开启客户端 TUN 虚拟网卡模式

• 如果开启了 TUN 模式，由于虚拟网卡接管了操作系统全栈网络（包括 UDP），WebRTC 的 STUN 嗅探包也会被强制抓进 TUN 隧道，从海外节点出站，自然不会泄露真实国内 IP。

---

四、目标网站 IP 封锁（Cloudflare 盾循环 / Access Denied）排查

如果你能正常打开 Google 和 YouTube，但访问某个特定网站（如 ChatGPT、Claude、Ticketmaster）时一直弹验证码或提示拒绝访问：

1. 确定是不是 IP 被拉黑：说明当前节点使用的是机房广播 IP (Datacenter IP)，且该网段已被滥用拉黑；
2. 切换为原生住宅 IP：进入客户端节点列表，优先选择带有 原生 (Residential) 或 家宽 标签的节点；
3. 清除网站 Cookie 与缓存：按 Ctrl + Shift + Delete 清理浏览器对应站点的缓存与 LocalStorage，避免网站残留的旧风控标记。