Windows、UniFi 与 DoH 的 DNS 防泄露配置、风险及验证教程

本文以 Windows、UniFi 网关和 Clash Party / Mihomo TUN 组成的网络为例，说明如何阻止传统 TCP/UDP 53 端口的明文 DNS 查询，并验证 UniFi 的预定义 DoH 是否真正生效。

先看结论
固定使用自己管理的 UniFi 网络时，推荐在 UniFi 上阻止目标设备直连公网 53 端口，同时保留设备访问网关 DNS 的能力。不要再叠加 Windows 物理网卡 53 阻断，否则 TUN 关闭后可能连网关 DNS 也无法使用。

本文只讨论传统 DNS、DoH 与代理隧道之间的边界。阻止 53 端口不能阻止客户端自带 DoH、DoT 或 VPN 内部 DNS，也不等于隐藏全部网络行为。

一、适用环境#

本文以以下网络结构为例：

1
Windows 电脑：192.168.5.4
2
UniFi LAN 网关：192.168.5.1
3
UniFi WAN 地址：10.10.201.181
4
代理软件：Clash Party / Mihomo
5
代理模式：TUN + Fake-IP

实际使用时，需要将 IP 地址、设备名称和网卡名称替换为自己的配置。

本文目标是：

阻止电脑通过传统 TCP/UDP 53 端口直接向公网 DNS 发送明文查询；
让电脑把系统 DNS 交给 UniFi 网关；
让 UniFi 使用预定义的 DNSPod、AliDNS DoH 加密查询上游；
在 Clash TUN 开启时，让网页和应用流量进入代理隧道；
通过命令和抓包确认 DNS 是否真正泄露。

二、先选择一种 53 端口阻断方式#

传统 DNS 防泄露有两种方案。

方案 A：在 Windows 上阻止物理网卡的 53 端口#

工作方式：

1
Windows 应用
2
   ↓
3
Mihomo TUN
4
   ↓
5
物理网卡
6
   ↓
7
所有 TCP/UDP 目标端口 53 被 Windows 防火墙阻止

这种方案会同时阻止：

1
电脑 → 1.1.1.1:53
2
电脑 → 8.8.8.8:53
3
电脑 → 192.168.5.1:53

它适合无法管理路由器、经常连接陌生网络，并且可以接受 TUN 关闭后系统 DNS 失效的设备。

方案 B：在 UniFi 上阻止指定设备直连公网 DNS#

工作方式：

1
电脑 → 192.168.5.1:53             允许
2
电脑 → 公网任意地址:53            阻止
3
UniFi → DNSPod / AliDNS DoH:443   允许

这种方案保留电脑访问 UniFi 网关 DNS 的能力，只阻止电脑绕过网关访问公网传统 DNS。

它适合长期连接自己 UniFi 网络，并希望 TUN 关闭后仍能正常解析域名的设备。

两种方案应当二选一#

本文所述的 Windows 规则会阻止物理网卡上的所有远程 53 端口，包括 UniFi 网关 192.168.5.1:53。

因此同时开启两种方案会导致：

Windows 先把 DNS 查询拦住，UniFi 收不到查询；
UniFi 的加密 DNS 对这台电脑失去作用；
Clash TUN 关闭或崩溃后，电脑可能无法解析任何域名；
本地 DNS 记录和设备名称可能无法使用；
排查故障时无法判断流量是被 Windows、Mihomo 还是 UniFi 阻止；
两层规则都只阻止传统 53，并不会因此额外阻止 DoH 或代理内部 DNS。

对于固定使用 UniFi 的网络，推荐采用：

1
Windows 物理网卡 53 阻断：禁用或删除
2
UniFi 指定设备公网 53 阻断：开启
3
UniFi 预定义加密 DNS：开启

三、两种方案的区别#

项目	Windows 阻断	UniFi 阻断
阻断位置	数据包离开电脑之前	数据包到达网关之后
是否允许访问 `192.168.5.1:53`	否	是
是否能使用 UniFi DoH	通常不能	可以
TUN 关闭后的系统 DNS	可能完全失效	仍可经 UniFi 解析
保护范围	当前电脑的指定网卡	指定设备或整个网络
更换路由器后是否有效	有效	无效
更换电脑网卡后是否有效	需要重新检查	通常不受影响
是否阻止传统 TCP/UDP DNS	是	是
是否阻止客户端 DoH	否	否
适合固定 UniFi 网络	一般	推荐
适合酒店、热点等网络	较适合	不适用

四、方案 A：在 Windows 上阻止物理网卡的 53 端口#

1. 查找正确的物理网卡#

不要长期固定使用某个接口编号。安装 TUN、虚拟机、热点或 USB 网卡后，InterfaceIndex 可能发生变化。

以电脑局域网地址 192.168.5.4 为例，在管理员 PowerShell 中运行：

1
$pcIp = "192.168.5.4"
2

3
$nic = Get-NetIPConfiguration |
4
  Where-Object {
5
    $_.IPv4Address.IPAddress -contains $pcIp
6
  }
7

8
$nic |
9
  Format-List InterfaceAlias,
10
              InterfaceIndex,
11
              IPv4Address,
12
              IPv4DefaultGateway,
13
              DNSServer

保存物理网卡名称：

1
if (-not $nic) {
2
  throw "没有找到 IPv4 地址为 $pcIp 的物理网卡"
3
}
4

5
$interfaceAlias = $nic.InterfaceAlias
6
$interfaceAlias

输出可能是：

1
以太网 3

或者：

1
Wi-Fi

2. 创建 UDP 53 阻断规则#

1
New-NetFirewallRule `
2
  -DisplayName "DNS Leak Block UDP - $interfaceAlias" `
3
  -Direction Outbound `
4
  -Action Block `
5
  -Protocol UDP `
6
  -RemotePort 53 `
7
  -InterfaceAlias $interfaceAlias `
8
  -Profile Any

3. 创建 TCP 53 阻断规则#

1
New-NetFirewallRule `
2
  -DisplayName "DNS Leak Block TCP - $interfaceAlias" `
3
  -Direction Outbound `
4
  -Action Block `
5
  -Protocol TCP `
6
  -RemotePort 53 `
7
  -InterfaceAlias $interfaceAlias `
8
  -Profile Any

规则中必须使用：

1
本地端口：任意
2
远程端口：53

DNS 客户端通常使用随机高位源端口，DNS 服务器的目标端口才是 53。

4. 检查规则是否启用#

1
Get-NetFirewallRule |
2
  Where-Object DisplayName -Like "DNS Leak Block *" |
3
  Format-Table DisplayName,Enabled,Direction,Action,Profile -Auto

检查端口：

1
Get-NetFirewallRule |
2
  Where-Object DisplayName -Like "DNS Leak Block *" |
3
  Get-NetFirewallPortFilter |
4
  Format-Table Protocol,LocalPort,RemotePort -Auto

正常应显示：

1
UDP    Any    53
2
TCP    Any    53

5. 临时禁用规则#

1
Get-NetFirewallRule |
2
  Where-Object DisplayName -Like "DNS Leak Block *" |
3
  Disable-NetFirewallRule

重新启用：

1
Get-NetFirewallRule |
2
  Where-Object DisplayName -Like "DNS Leak Block *" |
3
  Enable-NetFirewallRule

永久删除：

1
Get-NetFirewallRule |
2
  Where-Object DisplayName -Like "DNS Leak Block *" |
3
  Remove-NetFirewallRule

删除前先检查匹配到的规则，避免误删其他规则。

6. Windows 方案可能造成的后果#

TUN 关闭后无法解析域名#

Windows 规则会同时阻止公网 DNS 和局域网网关 DNS。

当 Mihomo TUN 没有接管 DNS 时，电脑可能出现：

网卡显示已经连接；
可以 ping 通部分 IP；
已建立的连接暂时还能使用；
浏览器无法打开新的域名；
应用提示网络异常；
Windows 显示无 Internet；
直接访问 IP 可能仍然有效。

这类现象本质上是“网络通，但 DNS 不通”。

无法使用 UniFi 加密 DNS#

电脑无法访问：

1
192.168.5.1:53

因此不会形成：

1
电脑 → UniFi DNS → DNSPod/AliDNS DoH

该电脑只能依靠 Mihomo、浏览器内置 DoH 或其他非 53 端口的解析方式。

本地域名可能失效#

通过 UniFi 配置的本地 DNS 名称可能无法使用，例如：

1
nas.home
2
printer.lan
3
server.localdomain

mDNS 通常使用 5353，LLMNR 通常使用 5355，所以只阻止 53 不代表所有局域网名称发现都会失效。

公共网络认证页可能打不开#

酒店、机场、校园网和部分公司网络需要先通过网页认证。

在 TUN 尚未启动、物理网卡 53 已被阻止的情况下，认证域名无法解析，登录页面可能无法自动弹出。

更换网卡后可能失去保护#

规则绑定的是指定 InterfaceAlias。

改用以下连接后，应重新检查规则：

Wi-Fi；
USB 网卡；
手机 USB 共享网络；
新安装的有线网卡；
被系统重新命名的接口。

不能阻止 DoH、DoT 或 VPN 内部 DNS#

这两条规则只阻止：

1
TCP 53
2
UDP 53

它们不会阻止：

1
DoH：HTTPS 443
2
DoT：通常为 TCP 853
3
VPN 或代理隧道内部 DNS

7. 测试 Windows 阻断规则#

测试状态设置为：

1
Clash TUN：关闭
2
Windows 53 阻断：开启
3
UniFi 外部 53 阻断：关闭

刷新缓存：

1
ipconfig /flushdns

测试 UDP DNS：

1
Resolve-DnsName chatgpt.com -Server 1.1.1.1 -DnsOnly
2
Resolve-DnsName chatgpt.com -Server 8.8.8.8 -DnsOnly
3
Resolve-DnsName chatgpt.com -Server 114.114.114.114 -DnsOnly

测试 TCP DNS：

1
Resolve-DnsName chatgpt.com `
2
  -Server 1.1.1.1 `
3
  -DnsOnly `
4
  -TcpOnly

测试 UniFi 网关：

1
Resolve-DnsName chatgpt.com `
2
  -Server 192.168.5.1 `
3
  -DnsOnly

由于 Windows 规则阻止物理网卡上的所有目标端口 53，以上请求都应超时或连接失败。

使用 Wireshark 验证#

在电脑的物理网卡上开始抓包，使用过滤器：

1
udp.port == 53 || tcp.port == 53

成功标准是：

1
物理网卡上没有看到电脑发出的 TCP/UDP 53 数据包

若命令超时，但 Wireshark 仍能看到 53 数据包离开电脑，说明规则可能绑定到了错误网卡。

五、方案 B：在 UniFi 上阻止指定设备直连公网 DNS#

1. 禁用 Windows 本地阻断规则#

采用 UniFi 方案前，在管理员 PowerShell 中运行：

1
Get-NetFirewallRule |
2
  Where-Object DisplayName -Like "DNS Leak Block *" |
3
  Disable-NetFirewallRule

检查状态：

1
Get-NetFirewallRule |
2
  Where-Object DisplayName -Like "DNS Leak Block *" |
3
  Format-Table DisplayName,Enabled,Action -Auto

长期使用 UniFi 方案时，也可以删除 Windows 规则：

1
Get-NetFirewallRule |
2
  Where-Object DisplayName -Like "DNS Leak Block *" |
3
  Remove-NetFirewallRule

2. 打开 UniFi 区域防火墙#

进入 UniFi Network：

1
设置
2
→ 策略引擎
3
→ 策略表
4
→ 创建策略

旧版页面顶部显示“升级到新的基于区域的防火墙”时，先点击：

1
点击升级

迁移完成后创建防火墙策略。

3. 创建 DNS 阻断策略#

按照以下内容填写：

1
策略类型：防火墙
2
名称：阻止 PC 直连公网 DNS

源区域：

1
源区域：内部
2
来源：设备
3
设备：目标电脑，例如 192.168.5.4
4
源端口：任何

操作：

1
操作：阻止

目标区域：

1
目标区域：外部
2
目标：任何
3
目标端口：特定
4
端口：53

其他选项：

1
IP 版本：两者
2
协议：TCP/UDP
3
连接状态：全部
4
计划：始终
5
Syslog 日志：建议开启

保存策略。

完整规则含义是：

1
目标电脑
2
   ↓
3
外部任意 IPv4 或 IPv6 地址
4
   ↓
5
TCP/UDP 目标端口 53
6
   ↓
7
阻止

4. 为什么不会阻止 UniFi 网关 DNS#

电脑查询 UniFi 网关：

1
192.168.5.4 → 192.168.5.1:53

属于：

1
内部 → 网关

创建的规则只匹配：

1
内部 → 外部

因此电脑仍然可以访问：

1
192.168.5.1:53

但不能直连：

1
1.1.1.1:53
2
8.8.8.8:53
3
114.114.114.114:53

六、在 UniFi 中配置预定义 DoH#

1. 打开加密 DNS 设置#

进入 UniFi Network 设置，在设置搜索框中搜索：

1
加密 DNS

打开对应的设置项。

界面通常会显示：

1
关
2
自动
3
预定义
4
自定义

选择：

1
预定义

2. 添加预定义提供商#

在提供商输入框中添加：

1
Dnspod
2
Alidns-doh

最终设置应为：

1
加密 DNS：预定义
2
提供商 1：Dnspod
3
提供商 2：Alidns-doh

保存或应用设置。

选择预定义模式后，UniFi 会使用内置的提供商配置，不需要手动填写服务器地址、路径或 DNS Stamp。

3. 为什么同时配置两个提供商#

同时添加：

1
Dnspod
2
Alidns-doh

可以减少只依赖一家解析服务带来的单点问题。

但两个预设同时存在，不代表 UniFi 必然：

将每个查询同时发给两家；
始终平均分配查询；
第一家故障后立即切换；
永远不会回退到普通 DNS。

实际选择、故障切换和回退行为应通过 WAN 抓包验证。

4. WAN DNS 与加密 DNS 不是同一个设置#

WAN 页面中设置的：

1
114.114.114.114
2
223.5.5.5
3
1.1.1.1

属于普通 DNS 服务器。

只修改 WAN DNS 地址，不等于开启 DoH。

真正负责加密的是：

1
加密 DNS
2
→ 预定义
3
→ Dnspod
4
→ Alidns-doh

WAN 普通 DNS 仍可能被路由器用于：

启动阶段；
解析 DoH 服务主机名；
UniFi 自身部分服务；
健康检查；
加密 DNS 故障后的潜在回退。

是否发生明文回退，需要通过 WAN 抓包判断。

七、DoH 能保护什么#

典型 DNS 路径是：

1
Windows 电脑
2
   ↓ 普通局域网 DNS
3
192.168.5.1:53
4
   ↓ HTTPS 加密 DNS
5
DNSPod / AliDNS:443

电脑与自己的 UniFi 网关之间仍然可能使用普通 DNS，但这一段只存在于私人局域网内。

UniFi 向上级网络发送查询时，通过 HTTPS 加密。

上级网络通常可以看到：

UniFi 连接了某个 DoH 服务 IP；
使用 443 端口；
连接时间；
上传和下载流量；
通信持续时间。

上级网络通常不能直接读取：

查询的具体域名；
DNS 请求内容；
DNS 响应内容；
NXDOMAIN 查询名称。

DoH 不能代替 VPN 或 TUN#

仅开启 DoH、关闭 Clash TUN 后浏览网站，上级网络仍可能看到：

网站或 CDN 的目标 IP；
TLS 连接元数据；
流量大小；
连接时间；
未加密协议内容。

因此两者作用不同：

1
DoH：保护 DNS 查询
2
Clash TUN / VPN：保护网页和其他应用流量

DNSPod、AliDNS 和 UniFi 网关仍然需要处理 DNS 查询，所以 DNS 并不是“无人可见”，而是避免被上级接入网络直接读取。

八、UniFi 方案可能造成的后果#

1. 直连公共传统 DNS 会失败#

配置完成后，以下命令超时属于正常现象：

1
Resolve-DnsName example.com -Server 1.1.1.1 -DnsOnly
2
Resolve-DnsName example.com -Server 8.8.8.8 -DnsOnly
3
Resolve-DnsName example.com -Server 114.114.114.114 -DnsOnly

目标是强制设备使用：

1
192.168.5.1:53

而不是自行指定公网 DNS。

2. 写死公共 DNS 的软件可能变慢或异常#

部分软件、游戏、电视或旧设备会直接查询固定 DNS，例如：

1
8.8.8.8:53
2
1.1.1.1:53

这些请求被阻止后，可能出现：

DNS 多次重试；
首次连接延迟增加；
回退到系统 DNS；
个别功能无法使用；
日志中出现 DNS timeout。

3. UniFi 或 DoH 故障可能影响解析#

DNS 链路变为：

1
电脑
2
 ↓
3
UniFi DNS
4
 ↓
5
预定义 DoH
6
 ↓
7
DNSPod / AliDNS

以下情况可能导致解析变慢或失败：

UniFi DNS 服务异常；
加密 DNS 功能异常；
两个预设提供商均不可达；
上级网络阻止 DoH；
DoH 服务名无法完成引导解析；
UniFi 发生固件兼容性问题。

是否会回退到普通 DNS，必须通过 WAN 抓包确认。

4. 指定设备规则不会保护其他设备#

规则来源只选择一台电脑时，以下设备不会自动受保护：

手机；
iPad；
NAS；
电视；
游戏机；
其他电脑。

需要保护其他设备时，可以：

1
将其他设备加入规则来源

或者：

1
将规则应用到整个内部网络或 VLAN

5. 路由器自身仍可能产生普通 DNS#

当前规则限制的是：

1
目标电脑 → 外部 53

不会限制：

1
UniFi 网关自身 → 外部 53

因此 WAN 抓包中仍可能出现：

1
ui.com

或其他 UniFi 系统服务产生的普通 DNS。

判断电脑是否泄露时，应检查：

1
目标电脑访问的网站域名是否以明文出现在 WAN

而不是要求整个 WAN 中绝对没有任何 53 流量。

6. 客户端 DoH 可以绕过 UniFi DNS#

53 阻断无法阻止客户端自行使用：

1
DoH：HTTPS 443
2
DoT：通常为 TCP 853
3
VPN 内部 DNS
4
代理内部 DNS

这类流量不一定属于明文 DNS 泄露，但会绕过 UniFi 的：

DNS 日志；
本地 DNS；
内容过滤；
广告过滤；
预定义 DNS 提供商。

7. IPv6 可能成为绕过路径#

UniFi 策略应选择：

1
IP 版本：两者

若只匹配 IPv4，而网络已经启用 IPv6，设备可能通过 IPv6 DNS 绕过 IPv4 规则。

尚未测试 IPv6 时，可以先保持 WAN IPv6 关闭。

8. DNS 解析结果可能发生变化#

改用 DNSPod 或 AliDNS 后，网站可能解析到与原来不同的 CDN 地址。

可能表现为：

某些网站延迟降低；
某些网站延迟增加；
国内外 CDN 调度发生变化；
下载节点发生变化；
DNS TTL 和缓存时间变化。

九、测试 UniFi 的公网 53 阻断策略#

测试状态：

1
Clash TUN：关闭
2
Windows 53 阻断：禁用
3
UniFi 外部 53 阻断：开启
4
UniFi 预定义 DoH：开启

关闭 TUN 是为了避免 Mihomo 的 DNS 劫持和 Fake-IP 干扰测试。

刷新缓存：

1
ipconfig /flushdns

1. 测试 UniFi 网关 DNS#

1
Resolve-DnsName chatgpt.com `
2
  -Server 192.168.5.1 `
3
  -DnsOnly

应正常返回地址。

2. 测试直连公共 DNS#

1
Resolve-DnsName chatgpt.com -Server 1.1.1.1 -DnsOnly
2
Resolve-DnsName chatgpt.com -Server 8.8.8.8 -DnsOnly
3
Resolve-DnsName chatgpt.com -Server 114.114.114.114 -DnsOnly

应全部超时。

3. 测试 TCP 53#

1
Resolve-DnsName chatgpt.com `
2
  -Server 1.1.1.1 `
3
  -DnsOnly `
4
  -TcpOnly

也可以运行：

1
Test-NetConnection 1.1.1.1 -Port 53

预期：

1
TcpTestSucceeded : False

完整的正确结果是：

1
192.168.5.1          可以解析
2
1.1.1.1              超时
3
8.8.8.8              超时
4
114.114.114.114      超时
5
TCP 53               失败

十、测试 UniFi 预定义 DoH#

1. 设置测试状态#

1
Clash TUN：关闭
2
Windows 53 阻断：禁用
3
UniFi 外部 53 阻断：开启
4
加密 DNS：预定义
5
提供商：Dnspod + Alidns-doh

2. 开始 WAN 抓包#

在 UniFi 中进入：

1
数据包捕获
2
→ 互联网 1
3
→ 开始捕获

WAN 抓包文件通常类似：

1
eth3.pcap

LAN 桥接抓包通常类似：

1
br0.pcap

验证上级网络能看到什么，必须抓 WAN，而不是 LAN。

3. 生成唯一测试域名#

确认抓包已经开始后运行：

1
ipconfig /flushdns
2

3
$test = "dns-test-$([DateTimeOffset]::Now.ToUnixTimeSeconds()).example.com"
4

5
Write-Host "本次测试域名：$test"
6

7
Resolve-DnsName $test `
8
  -Server 192.168.5.1 `
9
  -DnsOnly
10

11
Resolve-DnsName example.org `
12
  -Server 192.168.5.1 `
13
  -DnsOnly
14

15
Resolve-DnsName chatgpt.com `
16
  -Server 1.1.1.1 `
17
  -DnsOnly

随机 example.com 子域名一般会返回：

1
DNS 名称不存在

这是正常的 NXDOMAIN 响应，说明查询已经完成，而不是网络超时。

4. 判断 DoH 是否成功#

同时满足以下条件，才说明配置基本正常：

随机测试域名返回 NXDOMAIN；
example.org 经 192.168.5.1 正常解析；
直连 1.1.1.1 超时；
WAN 抓包中搜索不到随机测试域名明文；
WAN 抓包中没有该测试产生的 1.1.1.1:53；
WAN 中可以看到 UniFi 与 DNSPod、AliDNS 或相关服务地址的 443 通信；
目标测试域名没有通过普通 TCP/UDP 53 出现在 WAN。

不要只凭看到一个 443 连接就认定是 DoH。

应结合：

1
网关 DNS 有响应
2
+
3
测试域名未在 WAN 明文出现
4
+
5
公网 53 被阻止
6
+
7
存在与预定义解析器相关的 443 流量

十一、测试 Clash TUN 的日常隐私效果#

这项测试需要开启 TUN。

测试状态：

1
Clash TUN：开启
2
Windows 53 阻断：禁用
3
UniFi 外部 53 阻断：开启
4
UniFi 预定义 DoH：开启

在 UniFi WAN 开始抓包，然后正常访问测试网站。

页面加载完成后停止抓包，检查：

WAN 中是否出现访问域名的明文；
是否出现电脑直连公网 DNS 的 53 流量；
是否直接连接网站源站 IP；
是否主要表现为与代理节点之间的长连接；
普通 DNS 是否只有 UniFi 自身服务产生的少量查询。

TUN 开启时不要用公共 DNS 命令测试 UniFi 规则#

例如：

1
Resolve-DnsName chatgpt.com -Server 1.1.1.1 -DnsOnly

在 Mihomo TUN 和 Fake-IP 开启时，可能返回：

1
198.18.0.x

这通常说明查询已经被 Mihomo 接管，并不代表数据真的发送到了 1.1.1.1。

因此应区分：

1
验证 UniFi 防火墙：关闭 TUN
2
验证实际日常隐私：开启 TUN

十二、LAN 抓包与 WAN 抓包的区别#

LAN 抓包#

LAN 桥接接口可能显示为：

1
br0

LAN 中可能看到：

1
192.168.5.4 → 192.168.5.1:53
2
192.168.5.4 → 1.1.1.1:53

第一条是电脑查询 UniFi 网关，属于正常流量。

第二条可能只是电脑尝试绕过网关。数据包到达 UniFi LAN 后被防火墙丢弃，所以它仍可能出现在 LAN 抓包中。

WAN 抓包#

WAN 接口可能显示为：

1
eth3

只有 WAN 抓包才能确认数据是否真的进入上级网络。

正确判断逻辑是：

1
LAN 中看到电脑尝试访问 1.1.1.1:53
2
+
3
PowerShell 查询超时
4
+
5
WAN 中没有对应的 1.1.1.1:53
6
=
7
UniFi 已在网关处成功阻止

十三、常见测试结果#

指定 `1.1.1.1` 却返回 `198.18.x.x`#

原因：

1
Mihomo Fake-IP 或 DNS 劫持

处理方法：

1
关闭 TUN，重新测试 UniFi 策略

`192.168.5.1` 可以解析，公共 DNS 超时#

说明：

1
内部 → 网关 DNS 正常
2
内部 → 外部 53 已阻止

这是 UniFi 方案的预期状态。

LAN 看到公网 53，WAN 看不到#

说明请求已经到达路由器，但在网关处被阻止，不属于成功泄露。

WAN 中能搜索到测试域名明文#

检查以下问题：

加密 DNS 是否已经选择“预定义”；
是否已经添加 Dnspod 和 Alidns-doh；
设置是否已保存；
是否抓取了 WAN 接口；
抓包时间是否覆盖测试命令；
是否有其他设备查询了同一域名；
UniFi 是否发生普通 DNS 回退；
应用是否使用了不同的解析路径。

使用带时间戳的随机域名可以减少误判。

WAN 中出现 `ui.com` 普通 DNS#

这通常可能来自 UniFi 自身的管理、更新或健康检查。

不能仅凭 ui.com 的普通 DNS 查询，就认定电脑访问的网站域名已经泄露。

TUN 关闭后浏览器仍能打开网页#

可能原因包括：

浏览器启用了自己的 DoH；
浏览器或系统仍有 DNS 缓存；
已有连接没有关闭；
浏览器正在复用已有 HTTPS 或 HTTP/3 连接。

应以 PowerShell 测试和 WAN 抓包为准。

十四、推荐的日常配置#

固定使用 UniFi 网络时，建议长期保持：

1
Clash Party / Mihomo TUN：开启
2
Windows 物理网卡 53 阻断：禁用或删除
3
UniFi 指定设备外部 53 阻断：开启
4
UniFi 加密 DNS：预定义
5
预定义提供商：Dnspod + Alidns-doh
6
UniFi 规则 IP 版本：IPv4 和 IPv6
7
未验证 IPv6 前：WAN IPv6 保持关闭

系统普通 DNS 路径：

1
Windows
2
   ↓
3
192.168.5.1:53
4
   ↓
5
UniFi 预定义加密 DNS
6
   ↓
7
DNSPod / AliDNS
8
   ↓
9
HTTPS 加密传输

TUN 开启后的网页和应用流量：

1
浏览器 / 应用
2
   ↓
3
Mihomo TUN
4
   ↓
5
加密代理连接
6
   ↓
7
代理出口

这种组合可以做到：

TUN 开启时，DNS 和应用流量主要由代理接管；
TUN 关闭时，Windows 仍能使用 UniFi DNS；
电脑不能绕过 UniFi 直连传统公网 DNS；
UniFi 使用内置预设加密上游 DNS；
不需要维护自定义 DNS Stamp；
DNSPod 与 AliDNS 提供两个预定义解析选项；
不会因为 Windows 全面阻止物理网卡 53，导致关闭 TUN 后立即失去系统 DNS。

十五、隐私边界#

完成这些配置后，上级网络仍然可以看到：

UniFi WAN 地址；
代理节点 IP；
DoH 服务器 IP；
连接时间；
上传和下载流量；
通信持续时间；
正在使用 VPN、代理或加密 DNS 的特征。

正常情况下，上级网络不应直接看到：

通过 DoH 发送的具体 DNS 查询；
进入代理隧道后的网页正文；
HTTPS 中的账号、密码和消息内容；
TUN 内部的具体请求路径；
代理隧道内部的完整访问内容。

需要明确：

1
阻止 53 ≠ 隐藏所有网络行为
2
DoH ≠ VPN
3
TUN/VPN ≠ 完全匿名
4
选择两个 DoH 提供商 ≠ 保证永不回退

这套方案的主要作用，是防止目标电脑的传统明文 DNS 查询直接进入上级网络，并降低上级网络直接获取访问域名和内容的可能性。

Windows、UniFi 与 DoH 的 DNS 防泄露配置、风险及验证教程

一、适用环境#

二、先选择一种 53 端口阻断方式#

方案 A：在 Windows 上阻止物理网卡的 53 端口#

方案 B：在 UniFi 上阻止指定设备直连公网 DNS#

两种方案应当二选一#

三、两种方案的区别#

四、方案 A：在 Windows 上阻止物理网卡的 53 端口#

1. 查找正确的物理网卡#

2. 创建 UDP 53 阻断规则#

3. 创建 TCP 53 阻断规则#

4. 检查规则是否启用#

5. 临时禁用规则#

6. Windows 方案可能造成的后果#

TUN 关闭后无法解析域名#

无法使用 UniFi 加密 DNS#

本地域名可能失效#

公共网络认证页可能打不开#

更换网卡后可能失去保护#

不能阻止 DoH、DoT 或 VPN 内部 DNS#

7. 测试 Windows 阻断规则#

使用 Wireshark 验证#

五、方案 B：在 UniFi 上阻止指定设备直连公网 DNS#

1. 禁用 Windows 本地阻断规则#

2. 打开 UniFi 区域防火墙#

3. 创建 DNS 阻断策略#

4. 为什么不会阻止 UniFi 网关 DNS#

六、在 UniFi 中配置预定义 DoH#

1. 打开加密 DNS 设置#

2. 添加预定义提供商#

3. 为什么同时配置两个提供商#

4. WAN DNS 与加密 DNS 不是同一个设置#

七、DoH 能保护什么#

DoH 不能代替 VPN 或 TUN#

八、UniFi 方案可能造成的后果#

1. 直连公共传统 DNS 会失败#

2. 写死公共 DNS 的软件可能变慢或异常#

3. UniFi 或 DoH 故障可能影响解析#

4. 指定设备规则不会保护其他设备#

5. 路由器自身仍可能产生普通 DNS#

6. 客户端 DoH 可以绕过 UniFi DNS#

7. IPv6 可能成为绕过路径#

8. DNS 解析结果可能发生变化#

九、测试 UniFi 的公网 53 阻断策略#

1. 测试 UniFi 网关 DNS#

2. 测试直连公共 DNS#

3. 测试 TCP 53#

十、测试 UniFi 预定义 DoH#

1. 设置测试状态#

2. 开始 WAN 抓包#

3. 生成唯一测试域名#

4. 判断 DoH 是否成功#

十一、测试 Clash TUN 的日常隐私效果#

TUN 开启时不要用公共 DNS 命令测试 UniFi 规则#

十二、LAN 抓包与 WAN 抓包的区别#

LAN 抓包#

WAN 抓包#

十三、常见测试结果#

指定 1.1.1.1 却返回 198.18.x.x#

192.168.5.1 可以解析，公共 DNS 超时#

LAN 看到公网 53，WAN 看不到#

WAN 中能搜索到测试域名明文#

WAN 中出现 ui.com 普通 DNS#

TUN 关闭后浏览器仍能打开网页#

十四、推荐的日常配置#

十五、隐私边界#

指定 `1.1.1.1` 却返回 `198.18.x.x`#

`192.168.5.1` 可以解析，公共 DNS 超时#

WAN 中出现 `ui.com` 普通 DNS#