什么是 DNS 泄漏
当 VPN 处于连接状态时，如果 DNS 查询没有通过加密隧道，而是直接发送到系统默认 DNS 服务器（通常是 ISP 提供的），就会产生 DNS 泄漏。此时即使数据传输是加密的，观察者仍然能通过 DNS 请求得知用户访问了哪些域名。
DNS 泄漏的常见成因
- 操作系统的 DNS 解析器优先级高于 VPN 虚拟网卡
- 应用程序（如浏览器）绕过系统 DNS，直接使用硬编码的 DoH 服务
- VPN 断线时 kill switch 未触发，系统恢复使用明文 DNS
- IPv6 DNS 请求未被 VPN 拦截（只做了 IPv4 路由）
如何检测和修复
使用 dnsleaktest.com 或 ipleak.net 可以快速检测。修复方向：
- 在 VPN 连接时强制覆盖系统 DNS 配置
- 启用 DNS over HTTPS (DoH) 或 DNS over TLS (DoT)，并通过隧道路由
- 配置 iptables 拦截非隧道出口的 53 端口流量
流量特征识别
即使数据包内容已加密，流量的时序、长度分布和连接模式仍可能暴露用户行为。例如，VoIP 流量有固定的包长和间隔；视频流有周期性的带宽突增；即时通讯有明显的请求-响应配对。
对抗流量特征分析的主要手段包括：流量填充（Padding）、流量整形（Shaping）和流量混合（Mixing），这也是现代混淆协议的核心设计目标。