使用 VPN 時的 DNS 外洩

所有 Proton VPN 應用程式皆包含 DNS 外洩防護，旨在防止您在網際網路上造訪的網站等識別您的真實 DNS 位址。然而，在某些有限的情況下，您的電腦可能會繞過這些防護，從而導致第三方能夠看到您實際使用的 DNS 伺服器的 IP 位址。

在本文中，我們將說明什麼是 DNS、它是如何運作的，以及為何手動設定您的 DNS 設定可能會使我們的 DNS 外洩防護無法正常運作。

什麼是 DNS？

每次連線至網際網路時，都會被分配一個稱為網際網路協定（IP）位址的唯一數字識別碼。人類的大腦並非設計用來記憶長串的數字，因此我們使用更易於人類理解的文字字串（稱為網域名稱）來識別網際網路資源（例如網站和遊戲伺服器）。

網域名稱系統 (DNS) 就像一個全球電話簿，將易於人類理解的網址翻譯成電腦所使用的 IP 位址。

例如，若網址 example.com 的 IP 位址為 123.456.789.012，在瀏覽器的網頁網址列中輸入 123.456.789.012 就會帶您前往 example.com。（在實際應用中，一個 IP 位址可以對應到多個網站，而單一網域也可以對應到多個 IP 位址。但在本質上，這就是 DNS 的作用。）

DNS 與隱私

DNS 解析是將網域翻譯成其對應 IP 位址的過程。此解析是由 DNS 伺服器執行，預設情況下，這些伺服器是由您的網際網路服務供應商 (ISP) 所營運。

世界上幾乎所有的 ISPs 都會保留客戶所進行之 DNS 查詢的日誌，從而使他們能夠得知您的瀏覽記錄。雖然 ISPs 也可以透過其他方式追蹤您的網際網路活動，但大多數僅限於簡單地保留 DNS 日誌。

雖然預設情況下通常不會這樣做，但您造訪的網站仍有可能看到用於解析引導您造訪其網站之 DNS 查詢的 DNS 伺服器 IP 位址。有了這項資訊，他們（或任何其他監視該網站的人）就可以聯絡您的 ISP，要求其透露提出該 DNS 查詢之任何客戶的 IP 位址。

由於 DNS 解析是由您的 ISP 執行，因此得知您所使用的 DNS 伺服器 IP 位址可讓網站識別您所在的國家。如果您使用 VPN(新視窗) 或 代理伺服器 來隱藏您的真實 IP 位址，但您 ISP 的 DNS 伺服器 IP 位址卻被曝光，那麼這種不匹配可能會讓網站得知您正試圖遮罩您的真實身分。

DNS、Proton VPN 和 DNS 外洩防護

Proton VPN 藉由運行我們自己的 DNS 伺服器來應對這一威脅。與所有其他網際網路流量一樣，DNS 查詢會透過 VPN 通道進行路由，並在我們的伺服器上進行解析。

對外界而言，您的 DNS 位址會與您的 VPN 伺服器的 IP 位址不同，但它將屬於同一個資料中心。因此，它會與 VPN 伺服器的實際位置高度匹配。（請注意，IPv6 連線目前僅會被阻擋，這對您的網際網路體驗不會產生任何影響。）

Proton VPN 不會記錄 DNS 查詢，且根據瑞士法律，不能強迫我們開始記錄這些日誌。我們也不會記錄使用者的 IP 位址。

進一步瞭解 Proton VPN 的威脅模式

我們所有的應用程式皆實施 DNS 外洩防護，使用防火牆規則和其他特定平台的技術，以確保沒有任何網際網路流量（包括 DNS 查詢）可以在 VPN 介面之外進入或離開您的裝置。

然而，在少數情況下，DNS 查詢可能會被路由至 VPN 通道之外。

第三方 DNS 服務

手動設定您裝置的通用 DNS 設定以使用第三方 DNS 服務（例如 Google Public DNS、Cloudflare 或 OpenNIC），會增加發生錯誤的機率，因為自訂設定可能會覆蓋我們的 DNS 外洩防護措施。

因此，我們強烈建議不要搭配 Proton VPN 使用第三方 DNS 服務。以下是在所有主要平台上停用自訂 DNS 組態的指南。

Windows 10

1. 前往 開始 → 設定 → 網路和網際網路 → 您的網路介面（例如 WiFi 或 乙太網路）→ 相關設定 → 變更介面卡選項。

2.右鍵按一下您的網路介面 → 內容 → 網際網路協定版本 4 (TCP/IPv4) → 內容。

3. 確保已選取 自動取得 DNS 伺服器位址，然後按一下 確定。

4. 如果您有 IPv6 連線（或者您不確定是否有），請針對 網際網路協定版本 6 (TCP/IPv6) 重複步驟 2 和 3。

macOS

開啟 設定 應用程式並前往 網路 → 選取您的網路介面（例如 WiFi 或 乙太網路）→ 詳細資料… → DNS 索引標籤。選取任何第三方 DNS 伺服器（如果有的話），然後按一下 – 按鈕將其移除。完成後按一下 確定。

Linux

每個 Linux 發行版和桌面環境都提供不同的（雖然通常非常相似）使用者介面來變更 DNS 設定。例如，在 Ubuntu GNOME 中：

1. 前往 顯示應用程式 → 全部 → 設定 → 網路，然後按一下網路介面旁邊的 選項圖示。

2. 前往 IPv4 和 IPv6 索引標籤。在 DNS 下，確保 自動 開關已切換至 開啟，並刪除您看到的任何 DNS 項目。完成後按一下 套用。

Android 9+

Android 9+ 提供 私有 DNS，這是一項系統級功能，可使用 DoT 自動保護與您 ISP 之 DNS 伺服器的連線（如果您的 ISP 支援此功能 – 請參閱下方以取得更多詳細資料），或者允許您指定自訂 DNS 供應商。若要停用私有 DNS：

1. 開啟 設定 應用程式並前往 連線 → 更多連線設定 → 私有 DNS → 關閉。

Chrome OS

前往 設定 → 選取您的網路介面（例如 WiFi 或 乙太網路。如果使用 WiFi ，您還需要選取 已知網路） → 進階 → 名稱伺服器 並確保已選取 自動名稱伺服器。

iOS 與較舊版本的 Android

在 iOS/iPadOS 以及早於 Android 9 Pie 的 Android 版本中，變更全域 DNS 設定的唯一方法是使用會建立虛擬 VPN 介面才能運作的第三方應用程式。

由於一次只能有一個 VPN 連線，因此您無論如何都無法在執行 Proton VPN 的同時執行這些應用程式。

DNS over HTTPS

DNS over HTTPS(新視窗) (DoH) 是一種加密標準，用於加密傳送至 DNS 伺服器的 DNS 查詢。DoH 只有在 DNS 提供商支援該標準的情況下才能運作，但現在已有越來越多的第三方 DNS 服務提供此功能（雖然 ISP 很少提供）。

不幸的是，這加劇了使用第三方 DNS 服務的問題，因為加密會使我們的軟體無法查看 DNS 查詢。這導致我們非常難以封鎖或重新路由這些查詢。

因此，我們強烈建議不要在 Proton VPN 中使用 DoH（以及類似的 DNS over TLS 標準）。使用我們的應用程式時，所有 DNS 查詢都會透過 VPN 連線傳送至我們的伺服器，因此已安全加密，不需要使用 DoH 或 DoT。

在桌上型電腦系統上，DoH 通常是在您的瀏覽器中實作，且大多數現代瀏覽器（Safari 除外）都支援。在行動裝置上，可透過 Android 私有 DNS 或獨立應用程式（如上所述）來支援 DoH 和 DoT。

如何在您的桌上型電腦瀏覽器中停用 DoH

Firefox

前往 ≡ → 設定 → 隱私權與安全性 → DNS over HTTPS → 啟用安全 DNS 使用：並選取關閉。

Chrome

按一下直向三點的垂直省略號圖示 → 設定 → 隱私權和安全性 → 隱私權和安全性 → 安全性 → 進階 → 選取 DNS 提供商 並確保從下拉式選單中選取了 作業系統預設（如有）。

（在 Chromebook 上，前往 設定 → 隱私權和安全性 → 進階）

Edge Chromium

按一下橫向三點的水平省略號圖示 → 設定 → ≡ → 隱私權、搜尋與服務 → 安全性，並確保將 使用安全 DNS 指定如何尋找網站的網路位址 設為 關閉。

Brave

前往 ≡ → 設定 → 隱私權和安全性→ → 安全性→ 進階，並確保將 使用安全 DNS 設為 關閉。

您與 VPN 伺服器的連線已中斷

如果您裝置與 VPN 伺服器之間的連線中斷，您可能會在沒有 VPN 保護的情況下存取網際網路。除此以外，這意味著 DNS 查詢可能會傳送至您系統的預設 DNS 伺服器（通常由您的 ISP 運作）。

此問題很容易解決，只需啟用緊急終止開關功能即可，該功能目前已可在我們所有的應用程式中使用。

如何檢查 DNS 外洩

1. 開啟我們的應用程式並連線至我們的其中一個伺服器。為了進行 DNS 外洩測試，連線至不同國家的 VPN 會使 DNS 外洩更容易被發現。

2. 在您的瀏覽器中造訪 DNSleaktest.com(新視窗)。您應該會看到您已連線的 VPN 伺服器的 IP 位址。選擇 標準 測試 或 延伸 測試。在此指南中，我們將選擇延伸測試。

3. 等待測試完成並查看結果。如果顯示的 IP 位址是您真實的 ISP 的位址，則代表您有 DNS 外洩。請參閱上文以取得解決方案。

請注意，Proton VPN 與全球的基礎設施提供商合作，因此 ISP 可能是第三方提供商。只要該 IP 位址不屬於您真實的 ISP，您就沒有 DNS 外洩。