V2Ray DNS 泄漏检测方法与 dns 模块防泄漏配置实操

DNS 泄漏发生在哪一段

Xray 配置中的顶层 dns 模块主要负责内核自身的域名解析与匹配需求，例如解析节点服务器域名、为路由规则取得目标 IP。它不会仅凭存在于配置文件中，就接管操作系统的全部查询。要处理应用提交给系统的 DNS，还需要监听入口、系统 DNS 指向以及对应出站三部分同时成立。

浏览器自带的加密 DNS 是另一条路径。它通常通过 HTTPS 连接解析服务，不再访问本机端口 53。若浏览器流量受系统代理接管，这条连接可能经过代理；若应用绕过系统代理，它也可能直接出站。因此排查时应先暂时关闭浏览器的安全 DNS，再检测系统解析路径，最后单独恢复并验证浏览器设置。

建立可重复的 DNS 泄漏检测基线

1. 记录网卡 DNS

   打开 PowerShell，执行 Get-DnsClientServerAddress -AddressFamily IPv4。记录正在使用的网卡名称与 ServerAddresses；家庭网络常见结果是路由器地址，公共网络也可能直接下发两个解析器地址。

2. 关闭测试干扰

   暂时关闭浏览器安全 DNS，退出其他会修改网络栈的程序。随后执行 ipconfig /flushdns 清除 Windows DNS 缓存，并关闭已经打开的检测页面。

3. 记录直连结果

   断开 v2rayN 系统代理，重新进入 DNS 检测页面并连续测试两次。记录解析器数量、网络归属和地区，这组数据是本地路径基线，不要只保存页面上的国家或地区名称。

4. 连接后复测

   连接目标节点，确认 v2rayN 本地 SOCKS 端口 10808 与 HTTP 端口 10809 正在监听，再次清除缓存并测试。若结果与直连基线完全一致，系统 DNS 大概率没有被接管。

5. 验证指定入口

   配置本地 DNS 入口后运行 nslookup example.com 127.0.0.1。返回地址且 Xray 日志出现 dns-in、dns-out，才说明查询进入了预定链路。

用 dns 入口与出站收进代理链路

下面的配置片段采用本机 127.0.0.1:53 作为 DNS 入口，把 TCP 与 UDP 查询交给标签为 dns-out 的出站，再通过已有的 proxy 出站转发。应用前应先在当前有效配置中确认选中节点的出站标签；如果实际标签不是 proxy，需要把 proxySettings.tag 改成现有标签。

{
  "dns": {
    "servers": [
      {
        "address": "1.1.1.1",
        "domains": [
          "geosite:geolocation-!cn"
        ]
      },
      {
        "address": "223.5.5.5",
        "domains": [
          "geosite:cn"
        ]
      }
    ],
    "queryStrategy": "UseIPv4",
    "disableCache": false
  },
  "inbounds": [
    {
      "tag": "dns-in",
      "listen": "127.0.0.1",
      "port": 53,
      "protocol": "dokodemo-door",
      "settings": {
        "address": "1.1.1.1",
        "port": 53,
        "network": "tcp,udp"
      }
    }
  ],
  "outbounds": [
    {
      "tag": "dns-out",
      "protocol": "dns",
      "settings": {
        "address": "1.1.1.1",
        "port": 53,
        "network": "tcp",
        "nonIPQuery": "drop"
      },
      "proxySettings": {
        "tag": "proxy"
      }
    }
  ],
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      {
        "type": "field",
        "inboundTag": [
          "dns-in"
        ],
        "outboundTag": "dns-out"
      }
    ]
  }
}

domainStrategy 不是 DNS 防泄漏开关

常见配置选择是 IPIfNonMatch：域名规则先工作，未命中时再为 geoip 或明确 IP 规则解析。这样可以避免所有请求都提前触发解析，同时保留 IP 分流能力。若路由列表把 IP 规则放在很靠前的位置，IPOnDemand 可能显著增加内核 DNS 查询数量，应配合日志观察，而不是只根据名称选择。

顶层 dns.servers 的域名分流与 routing.rules 是两套逻辑。前者决定某类域名交给哪个解析器，后者决定连接走 direct、proxy 或 block。若让 geosite:cn 使用近端解析器，同时又要求所有 DNS 查询必须经远端节点转发，需要明确这两个目标是否冲突；解析器地址与传输路径应分别设计。

• 只想让域名规则优先工作，可使用 AsIs，并单独处理系统 DNS。
• 域名未命中后还要使用 geoip 分流，可使用 IPIfNonMatch。
• 不要把修改 domainStrategy 当作检测完成的证据，仍要检查端口 53 与日志。
• 节点服务器地址本身是域名时，应保证启动阶段存在可用的引导解析路径，否则代理尚未建立就无法解析节点。

在 v2rayN 中应用配置并避免被覆盖

1. 确认内核类型

   进入「设置」→「参数设置」→「Core 类型」，确认当前服务器使用 Xray 内核。保存后重启内核，避免配置语法由另一内核解释。

2. 检查出站标签

   打开当前运行配置，找到所选节点对应的 outbounds.tag。本文示例使用 proxy，实际文件若为其他名称，DNS 出站的代理标签必须保持一致。

3. 添加自定义配置

   在「服务器」→「添加自定义配置服务器」中选择准备好的 JSON 文件。先保留本地 DNS 入口端口 1053 做启动测试，确认语法和路由日志正常。

4. 释放端口 53

   执行 Get-NetUDPEndpoint -LocalPort 53 与 Get-NetTCPConnection -LocalPort 53 检查占用。处理冲突后，把配置端口改回 53，并以管理员权限重启 v2rayN。

5. 修改活动网卡

   把当前活动网卡的 IPv4 DNS 服务器设为 127.0.0.1。不要同时保留本地运营商 DNS 作为备用项，否则本地服务暂时无响应时，系统可能自动转向备用解析器。

6. 清缓存再验证

   执行 ipconfig /flushdns，用 nslookup example.com 127.0.0.1 验证入口，再运行三轮检测。完成后检查日志是否由 dns-in 命中 dns-out。

常见报错与定位顺序