很多大陆用户觉得，只要挂上代理、能打开外网，就已经安全了。但实际上还有两个更隐蔽的信息泄漏渠道，大部分人根本不知道去查：DNS 请求和浏览器的 WebRTC 功能。这两个东西都有可能绕开你的代理设置，把真实 IP、真实 ISP 直接暴露给对方网站。
DNS 泄漏是怎么回事
简单说，你在浏览器里输入一个网址后，系统要先把域名翻译成 IP 地址，这一步叫 DNS 解析。如果你的代理软件只转发了「网页内容」这部分流量，却让 DNS 查询走的还是本地运营商的 DNS 服务器，那对方（以及监控你网络的任何一方）就能从 DNS 请求记录里看到你到底访问了什么网站，你的代理形同虚设。
更麻烦的是，大陆的 DNS 服务器还存在「污染」问题——查询某些域名时会被返回错误的、甚至是恶意的 IP 地址，这跟泄漏是两个问题但经常一起发作。
WebRTC 泄漏又是什么
WebRTC 是浏览器原生支持的一套实时通信技术（视频通话、语音聊天这类功能背后都是它），为了让两台设备能直接建立连接，它会通过 STUN 协议主动打听你的真实公网 IP——这个过程完全独立于浏览器的代理设置之外，也就是说哪怕你已经在用代理上网，某些网站还是可以通过一段简单的 JavaScript 脚本，用 WebRTC 拿到你的真实 IP。这是很多科学上网新手完全没意识到的一个盲点。
厚道云怎么处理
DNS 泄漏这块，厚道云的订阅配置（不管是 Clash 还是 sing-box 格式）默认就是行业标准的 fake-ip 方案：国内域名走境内直连 DNS 保证访问速度，其他域名一律用一个假的占位 IP，真正的解析动作放到连接真正建立、流量已经进了代理隧道之后再做——相当于从源头上不给「偷看你查了什么域名」这件事留任何机会，这套东西已经内置在每一份订阅配置里，不需要你自己动手配置。
WebRTC 这块比较特殊，它本质上取决于你的客户端是不是开了「TUN 模式」（系统级接管全部流量，包括 UDP），而不是订阅配置能单方面控制的。如果客户端只是普通的 SOCKS/HTTP 代理模式，WebRTC 的探测流量会直接绕过去。解决办法很简单：在 Clash Verge Rev、Clash Meta 这类客户端的设置里找到「TUN 模式」开关手动打开就行，开启时系统会弹一次授权确认（这是操作系统本身要求的，不是我们能跳过的一步），确认之后包括 WebRTC 在内的所有流量都会走进隧道。
怎么自己测一下有没有泄漏
网上搜「dns leak test」「webrtc leak test」能找到很多免费的检测网站，挂着代理打开测一下，如果看到的 IP/DNS 服务器是国内运营商的信息而不是节点所在地，那就是没配对；如果连不上代理也能测出来东西，先检查客户端有没有真的连接成功。
有问题随时来 Telegram 交流群 @houdaoyun 找我们，也能第一时间看到节点动态和优惠活动。