GFW又有昇級：被疑通過DNS追踪中國VPN用戶
GFW最近被觀測到又有新的技術昇級，新的昇級可能被應用在追踪中國境內VPN用戶。
＝＝＝＝
GFW最近被發現將中國境內的一些基礎互聯網服務的DNS地址解析結果境內境外作了區分。（行為異於互聯網普遍應用的策略DNS優化技術。）
（假定）以百度廣告為例，其幾乎被所入嵌入中文網站。
如果是中國境內用戶，解析百度廣告，僅會得到中國境內用戶使用的地址。
如果是中國VPN用戶，解析百度廣告，僅會得到留給境外用戶的中國境內地址。（這種反常的行為引起了GFW研究小組的與趣。應該是GFW試驗新技術不小心露出的馬脚。）
使用過VPN的用戶，如果接著關閉VPN，接著直接使用中國境內的網路訪問中國網站，因為之前使用過VPN，電腦中的通常會留有使用VPN時的DNS緩存，中國VPN用戶會因此將自己使用VPN的行為曝露給中國政府。
＝＝＝＝
GFW最近被發現將中國境內的一些基礎互聯網服務的DNS地址解析結果境內境外作了區分。（行為異於互聯網普遍應用的策略DNS優化技術。）
（假定）以百度廣告為例，其幾乎被所入嵌入中文網站。
如果是中國境內用戶，解析百度廣告，僅會得到中國境內用戶使用的地址。
如果是中國VPN用戶，解析百度廣告，僅會得到留給境外用戶的中國境內地址。（這種反常的行為引起了GFW研究小組的與趣。應該是GFW試驗新技術不小心露出的馬脚。）
使用過VPN的用戶，如果接著關閉VPN，接著直接使用中國境內的網路訪問中國網站，因為之前使用過VPN，電腦中的通常會留有使用VPN時的DNS緩存，中國VPN用戶會因此將自己使用VPN的行為曝露給中國政府。
9 个评论
你这是从哪看到的路边消息。
从技术上来讲， DNS服务器根据请求IP的地址，自动应答最为临近请求IP的目标服务器地址，这不是什么新鲜事。 由于CDN的广泛应用，只有配合DNS的这项“区分地区应答”功能，才能实现在所有服务器覆盖区域，以最小延迟和最大速度进行目标访问 。 以腾讯为例，腾讯在全国各个地区都有自己的分发服务器，你在北京请求登录qq.com，DNS服务器就会自动返回腾讯的北京服务器IP；你在上海请求登录qq.com，DNS服务器就会自动返回腾讯的上海服务器IP; 你在美国请求登录qq.com，DNS服务器就会自动返回腾讯香港的服务器（腾讯没有在亚洲以外部署服务器）。
如果在开启VPN的时候，你尽管人在国内，但是从流量上来看，已经与一个外国人无异。
至于在关闭VPN后，如果用的是真正的全局VPN，那么都会自动dns flush，一般也没什么问题。 如果是用的浏览器代理，如果断开代理后不重启浏览器，可能会缓存前面的DNS信息。 不过即使如此，也没什么大不了，还是以前面登录qq.com为例， 开代理的时候DNS解析出了香港服务器IP，关代理，直接访问，除了速度慢点，也没大问题，除了腾讯能知道你访问了哪个服务器，政府是不知道的， 而这种解析地址和IP所在地不匹配也不能当作判罚依据，因为有很多技术问题都会导致DNS解析不出最优结果： 比如IP信息库错误或者使用了非常规的DNS服务器等等。
总结一下就是，在使用代理的时候，如果发生dns leak，那么中国政府是可以追踪你的上网轨迹的，但是现在一般VPN软件都默认有防止dns leak的功能。 除此之外，通过dns追踪用户上网轨迹，既不现实，也无意义。
从技术上来讲， DNS服务器根据请求IP的地址，自动应答最为临近请求IP的目标服务器地址，这不是什么新鲜事。 由于CDN的广泛应用，只有配合DNS的这项“区分地区应答”功能，才能实现在所有服务器覆盖区域，以最小延迟和最大速度进行目标访问 。 以腾讯为例，腾讯在全国各个地区都有自己的分发服务器，你在北京请求登录qq.com，DNS服务器就会自动返回腾讯的北京服务器IP；你在上海请求登录qq.com，DNS服务器就会自动返回腾讯的上海服务器IP; 你在美国请求登录qq.com，DNS服务器就会自动返回腾讯香港的服务器（腾讯没有在亚洲以外部署服务器）。
如果在开启VPN的时候，你尽管人在国内，但是从流量上来看，已经与一个外国人无异。
至于在关闭VPN后，如果用的是真正的全局VPN，那么都会自动dns flush，一般也没什么问题。 如果是用的浏览器代理，如果断开代理后不重启浏览器，可能会缓存前面的DNS信息。 不过即使如此，也没什么大不了，还是以前面登录qq.com为例， 开代理的时候DNS解析出了香港服务器IP，关代理，直接访问，除了速度慢点，也没大问题，除了腾讯能知道你访问了哪个服务器，政府是不知道的， 而这种解析地址和IP所在地不匹配也不能当作判罚依据，因为有很多技术问题都会导致DNS解析不出最优结果： 比如IP信息库错误或者使用了非常规的DNS服务器等等。
总结一下就是，在使用代理的时候，如果发生dns leak，那么中国政府是可以追踪你的上网轨迹的，但是现在一般VPN软件都默认有防止dns leak的功能。 除此之外，通过dns追踪用户上网轨迹，既不现实，也无意义。