为什么仅靠VPN无法阻止ISP追踪你
许多人认为使用VPN就足以保护自己的上网活动隐私。虽然VPN确实能加密流量并向网站隐藏你的IP地址，但有一种更隐蔽的追踪机制往往被忽视：你的默认DNS设置。一份近期发布的隐私指南揭示了互联网服务提供商如何利用DNS记录你的浏览活动，以及为什么即使是VPN用户也应该考虑切换到加密DNS。
什么是DNS，为什么它很重要？
每次你在浏览器中输入网址，你的设备都会向域名系统（DNS）服务器发送请求，将人类可读的地址转换为计算机实际使用的IP地址。可以把它想象成一次在后台悄然发生的电话簿查询，每次访问网站时都会进行。
默认情况下，大多数设备被配置为使用互联网服务提供商（ISP）提供的DNS服务器。这意味着除非你更改了设置，否则你的ISP正在处理每一次域名查询。由于DNS查询传统上以明文形式发送，你的ISP能够清楚地看到你正在请求哪些域名，即便网站本身的内容已通过HTTPS加密。
HTTPS保护的是你的浏览器与网站之间交换的数据，但它并不能隐藏你访问过该网站这一事实本身。这一区别至关重要，而默认DNS设置正是在这一漏洞上留下了巨大缺口。
VPN的盲区：你的隧道并非总能全面覆盖
VPN通过加密隧道将你的网络流量路由至VPN服务商运营的服务器，再由该服务器代表你发出请求。对于大多数浏览活动而言，这能有效防止ISP看到你连接的内容以及你访问的具体页面。
然而，DNS可能是一个薄弱环节，这取决于VPN的配置方式。如果VPN没有在内部处理DNS请求，或者发生了所谓的"DNS泄漏"，这些查询请求可能仍会经过ISP的服务器。结果是，即使你认为自己的流量已受到全面保护，ISP仍然可以持续记录你所查询的域名。
这并非某个特定服务商独有的缺陷，而是一个结构性问题，它强调了为什么隐私保护最好采用多层次的方式，而不是依赖任何单一工具。
DNS-over-HTTPS：为"电话簿"加密
该隐私指南推荐的解决方案是切换到DNS-over-HTTPS，通常缩写为DoH。该协议对你的DNS查询进行加密，使其在任何观察你连接的人（包括你的ISP）看来都像是普通的HTTPS网络流量。
启用DoH后，你的ISP将无法轻易读取或记录你所查询的域名。查询请求会被发送至兼容DoH的DNS解析器，而非ISP自己的服务器，从而将ISP从你浏览过程的这一环节中移除。
许多主流浏览器现已原生支持DNS-over-HTTPS，允许你直接在设置中启用，无需安装任何额外软件。该指南还指出，调整浏览器性能设置有助于减少其他IP追踪和数据收集的途径，从而增添另一层渐进式防护。
值得注意的是，切换DNS服务商意味着将由另一家机构而非你的ISP来处理这些查询。选择一个拥有明确公开隐私政策且承诺不记录日志的解析器，是这一决策中不可或缺的重要环节。
这对你意味着什么
如果你目前使用VPN并认为自己的DNS流量已受到全面覆盖，有必要对此进行验证。许多VPN应用内置了DNS泄漏测试工具，独立测试网站也可以帮助你检查DNS查询是否通过VPN进行路由，还是完全绕过了它。
如果你不使用VPN，在浏览器中启用DNS-over-HTTPS是你现在就能做出的最直接的隐私改善之一。它无需付费订阅，在大多数现代浏览器上几分钟内即可激活。
对于想要全面保护的用户而言，将配置良好的VPN与加密DNS相结合，能够提供比单独使用任一方案都要强得多的隐私保护。这两种工具分别针对你浏览活动暴露方式中相互交叠但又各有侧重的不同部分。
可操作的建议
- 检查你的浏览器设置，查找DNS-over-HTTPS或"安全DNS"选项，如果尚未启用，请立即开启。
- 运行DNS泄漏测试（如果你使用VPN），以确认你的DNS查询是否在VPN隧道内处理。
- 审视你的DNS解析器选择，寻找拥有透明且公开可查的隐私政策和日志记录政策的服务商。
- 不要单独依赖HTTPS来保护你免受ISP追踪。加密DNS解决的是一种HTTPS从未被设计用来覆盖的追踪途径。
你的ISP对你浏览活动拥有大多数人并未意识到的结构性可见性。了解DNS在这一图景中的角色，是迈向弥合这一缺口的实用第一步。
