什麼是 DNS 洩漏？IP 藏好了，你的瀏覽紀錄可能還是暴露了

不少人覺得，只要掛上代理或換掉 IP，自己上網就「隱身」了。但在安全測試裡經常出現一個被忽略的漏洞：即使 IP 已經變了，你的瀏覽紀錄仍可能悄悄暴露給網路服務供應商。這種現象就叫 DNS 洩漏。想真正做到上網隱私可控，就得先把它搞懂。

先說清楚：DNS 是做什麼的

DNS（網域名稱系統）可以理解為網路世界的「電話簿」。你在瀏覽器輸入 google.com 這樣的網域名稱時，電腦其實不認得這串字母，它得去問 DNS 伺服器：「這個網域名稱對應的 IP 是多少？」伺服器回答後，你才能真正存取到網站。

什麼是 DNS 洩漏

簡單說，DNS 洩漏就是：你用了加密工具（例如代理），本來應該在加密通道裡完成的網域名稱解析請求，卻不小心透過本機網路直接發給了網路服務供應商（ISP）的伺服器，把你造訪了哪些網站暴露出去。

打個比方：你寄了一封加密信件，可是信封上卻用大字寫著收件人地址。信件內容雖然安全，但網路服務供應商一眼就能看到你要去哪。DNS 請求的路徑一旦走偏，隱私防線就會在「看不見」的環節漏掉。

它通常是怎麼發生的

以下幾種情況最容易觸發 DNS 洩漏：

• 系統設定不當：部分系統為了提速，會同時向多個 DNS 伺服器發送查詢，誰的回應快就用誰的。本機網路服務供應商的伺服器往往更快，因此你的查詢就可能繞過加密通道。
• 網路環境切換：從家裡 Wi-Fi 切到手機熱點，或從辦公室到咖啡店時，裝置要重新取得 IP。若工具沒有「斷線保護」，重新連線的空檔裡，系統可能先連上網路服務供應商的 DNS。
• 軟體功能衝突：某些網路服務供應商會用「透明 DNS 代理」強制攔截並重新導向流量，即使你在軟體裡修改設定，也可能被拉回它的伺服器。
• 不支援 IPv6：網路正在從 IPv4 向 IPv6 過渡，不少工具仍只支援 IPv4。造訪一個 IPv6 網站時，IPv6 的 DNS 請求可能被推出加密隧道，改走未加密線路。

洩漏了會有什麼風險

別小看這個「解析環節」，它的影響是實實在在的：

1. 行蹤被追蹤：網域名稱解析紀錄能反映你造訪過哪些網站，拼出一張上網行為輪廓。
2. 網路環境和位置暴露：透過 DNS 伺服器的歸屬，可能反推出你的真實地區與網路服務供應商，讓「位置隱藏」失效。
3. 遭劫持或釣魚：本機網路服務供應商的 DNS 若防護較弱，解析結果可能被竄改，例如把銀行網址導向仿冒釣魚網站，很難用肉眼察覺。
4. 安全策略失效：在企業或高安全環境裡，DNS 洩漏可能繞過存取控制與合規策略。

怎麼檢測

最直接的方法是使用線上的 DNS 洩漏檢測工具。測試後若結果裡出現你真實網路服務供應商的名稱，就表示 DNS 請求已經漏出去了。這類檢測建議在連接代理後執行，作為例行檢查的一部分。

五招預防 DNS 洩漏

• 用防火牆限制 DNS 出口：只允許 DNS 請求發給指定伺服器，並攔截經本機介面的 53 連接埠流量。即使工具失效或網路切換，也能作為最後一道防線阻止外洩。
• 選可靠、支援斷線保護的加密服務：伺服器端設定私有的加密 DNS，並把網域名稱解析強制導回隧道；用戶端最好帶緊急停止（Kill Switch），連線波動時不至於把資料洩漏到公共網路。
• 按需停用 IPv6：IPv4 與 IPv6 的相容性問題經常是洩漏來源，在系統網路介面卡裡暫時關閉 IPv6，讓流量都走受保護的 IPv4。
• 開啟瀏覽器的 DNS over HTTPS（DoH）：主流瀏覽器都支援安全 DNS，開啟後 DNS 查詢會封裝進加密的 HTTPS 流量，網路服務供應商較難識別明文請求。
• 在多帳號情境下使用可設定的環境工具：如果你同時營運多個電商、社群媒體或廣告帳號，需要兼顧「防洩漏」和「帳號環境獨立」。此時可以在瀏覽器環境層面統一管理—PurpleMark 紫紋瀏覽器支援為每個帳號建立獨立瀏覽器環境，並按需設定網路參數，讓網域名稱解析、出口與 fingerprint 儘量落在相對一致、可控的空間裡，減少多帳號之間因環境互相干擾帶來的洩漏與關聯風險。

提醒：預防 DNS 與 WebRTC 洩漏是為了正當營運與隱私保護，不是用於規避平台規則或從事違規操作。

結語

DNS 洩漏發生在網域名稱解析這個容易被忽略的環節。即使流量已加密、IP 已隱藏，只要解析請求走錯了路，真實瀏覽行為依然可能被記錄和利用。多留意成因、定期檢測，並用防火牆限流、DoH、IPv6 管理與環境工具把各個洩漏點一起堵上，才能讓「上網隱身」不只是表面功夫。