AsIs域名策略是否引起DNS泄漏问题，客户端模式内置DNS服务配置不生效

[TrajanBenn]

客户端配置示例

{
    "log": {
        "loglevel": "info",
        "dnsLog": true
    },
    "dns": {
        "hosts": {
            "example.vps": [
                "127.0.0.1",
                "192.168.1.100",
                "fd80::1"
            ]
        },
        "servers": [
            {
                "address": "https://cloudflare-dns.com/dns-query",
                "skipFallback": true
            },
            {
                "address": "https://dns.google.com/dns-query",
                "skipFallback": true
            },
            {
                "address": "https://dns.pub/dns-query",
                "domains": [
                    "geosite:cn"
                ],
                "skipFallback": true
            },
            {
                "address": "https://dns.alidns.com/dns-query",
                "domains": [
                    "geosite:cn"
                ],
                "skipFallback": true
            },
            {
                "address": "119.29.29.29",
                "domains": [
                    "domain:cloudflare-dns.com",
                    "domain:dns.google.com",
                    "domain:dns.pub",
                    "domain:dns.alidns.com"
                ],
                "skipFallback": true
            }
        ],
        "queryStrategy": "UseIP",
        "disableCache": false,
        "disableFallback": false,
        "disableFallbackIfMatch": false
    },
    "inbounds": [
        {
            "listen": "127.0.0.1",
            "port": 10808,
            "protocol": "socks",
            "settings": {
                "udp": true,
                "ip": "127.0.0.1"
            },
            "sniffing": {
                "enabled": true,
                "destOverride": [
                    "http",
                    "tls"
                ]
            },
            "tag": "socks-in"
        },
        {
            "listen": "127.0.0.1",
            "port": 10809,
            "protocol": "http",
            "settings": {},
            "sniffing": {
                "enabled": true,
                "destOverride": [
                    "http",
                    "tls"
                ]
            },
            "tag": "http-in"
        }
    ],
    "outbounds": [
        {
            "sendThrough": "0.0.0.0",
            "protocol": "vmess",
            "settings": {
                "vnext": [
                    {
                        "address": "example.vps",
                        "port": 443,
                        "users": [
                            {
                                "id": "00000000-0000-0000-0000-000000000000",
                                "security": "aes-128-gcm"
                            }
                        ]
                    }
                ]
            },
            "streamSettings": {
                "network": "ws",
                "security": "tls",
                "wsSettings": {
                    "path": "/some-path"
                },
                "tlsSettings": {
                    "fingerprint": "chrome"
                }
            },
            "tag": "proxy"
        },
        {
            "sendThrough": "0.0.0.0",
            "protocol": "freedom",
            "settings": {},
            "tag": "direct"
        },
        {
            "sendThrough": "0.0.0.0",
            "protocol": "blackhole",
            "settings": {},
            "tag": "blocked"
        }
    ],
    "routing": {
        "domainStrategy": "AsIs",
        "domainMatcher": "hybrid",
        "rules": [
            {
                "type": "field",
                "domain": [
                    "geosite:category-ads-all"
                ],
                "outboundTag": "blocked"
            },
            {
                "type": "field",
                "domains": [
                    "domain:example.vps",
                    "geosite:cn"
                ],
                "outboundTag": "direct"
            },
            {
                "type": "field",
                "ip": [
                    "geoip:cn",
                    "geoip:private",
                    "119.29.29.29"
                ],
                "outboundTag": "direct"
            }
        ],
        "balancers": []
    }
}

运行模式

客户端模式运行，socks和http入站分别监听10808和10809端口，浏览器手动配置代理，整体策略为ws+tls+cdn

观察到的现象

1. 路由策略设置为AsIs模式，通过Wireshark抓包发现客户端通过系统DNS解析外网地址(UDP裸连)，有DNS泄漏
2. 路由策略设置为IPIfNonMatch或IPOnDemand模式，Xray通过VPS访问CF DOH解析DNS，Wireshark抓包无额外DNS访问记录，无DNS泄漏
3. DNS Host模块手动指定CF优选IP客户端模式不生效(VPS域名走的系统的DNS解析)，需要手动修改Host文件，但是透明代理生效，估计是因为DNS请求被重定向到Xray的原因

问题

使用AsIs模式是否存在DNS泄漏问题，如果存在如何修改AsIs的配置

[flowerinsnowdh]

路由系统中的 AsIs 模式不会进行 DNS 查询，自然不会出现 DNS 泄露问题

但是 xray 不会进行 DNS 查询 ≠ 发起连接的程序不会进行 DNS 查询

目前使用代理的进程有两种模式

1. 将域名直接交给代理服务器，由代理服务器解析
2. 在本地先进行 DNS 解析，然后再将解析结果交由代理服务器

这些行为通常由程序自己决定，如果是后者，DNS 解析很有可能在进入 xray 前就已经进行了，xray 无法约束其行为

解决方法

1. 规范程序行为，例如 Firefox 就可以设置 “使用 SOCKS v4 时代理 DNS 查询” “使用 SOCKS v5 时代理 DNS 查询”。有些程序没有该设定，一切由底层代码决定，使用 HTTP 代理会比使用 SOCKS 代理更有可能会将 DNS 解析交由代理服务器
2. 给操作系统也配置一个 DoH 解析服务器，如果不支持，可以尝试在本地开一个 DNS 服务器，监听 53 端口，并把 DNS 请求转发到 DoH 解析服务器，并在操作系统中将 DNS 服务器设为 127.0.0.1 或 ::1
3. 使用 Tun、透明代理等技术接管程序的 DNS 解析行为

[TrajanBenn]

实际情况确实如此，非常感谢