狗狗加速安全加固：DNS 防泄漏拦截率 99.2%

2026 年 9 月 18 日，狗狗加速 v4.7.7 完成 DNS 防泄漏安全加固。全部 1,860 个节点默认启用 DoH 加密解析，解析请求不再以明文形式出网；平均解析耗时降至 2.1 毫秒；恶意域名拦截率达到 99.2%；IPv6 泄漏防护覆盖 Windows、macOS、Android、iOS 四个平台。更新无需额外配置，客户端升级后自动生效。

DNS 常被称作网络访问的“电话簿”，但它长期以明文传输，谁在链路上谁就能看到你查了什么。对加速器用户而言，更现实的风险是泄漏：系统仍按本地运营商的 DNS 解析，查询直接暴露在隧道之外。安全工程师赵语桐在项目启动会上说：“用户以为开了加速就都加密了，其实域名查询可能一直在外面裸奔，这种认知差必须靠默认配置来消除。”

三处泄漏点，逐一封堵

团队梳理出三处常见泄漏点。第一处是系统 DNS：部分应用绕过客户端自带的解析器，直接向网卡配置的 DNS 发请求；新版通过系统级拦截把 53 端口查询重定向到本地解析器，再经 DoH 加密转发。第二处是 IPv6：当隧道只承载 IPv4 时，系统可能优先走本地 IPv6 出口，形成完全绕行；新版在隧道建立期间自动挂起 IPv6 默认路由，隧道断开时再恢复，避免用户手动关闭 IPv6 带来的副作用。

第三处是 WebRTC 与局域网发现协议。前者可能暴露本地与公网 IP，后者会在局域网内广播设备信息。新版对 WebRTC 采用代理模式，把候选地址替换为节点地址；对局域网发现则按需放行，仅在用户开启投屏或打印时允许广播。三处封堵完成后，泄漏检测从“建议开启”变为“默认开启”，用户不需要理解原理，也不会因为误关设置而暴露。

2.1 毫秒解析与 99.2% 拦截率

性能方面，团队在节点侧部署了本地缓存与预取：热门域名直接命中缓存，平均解析耗时 2.1 毫秒，较加固前的 11.8 毫秒下降 82%；缓存未命中时通过 DoH 向上游查询，中位耗时 18 毫秒，最慢不超过 60 毫秒。为避免单点故障，每个节点配置了 3 组上游解析器，任意一组超时会在 800 毫秒内切换，切换过程对用户不可见。

拦截能力来自一份每日更新的恶意域名清单，覆盖钓鱼、木马回连、挖矿与诈骗四类。9 月 1 日至 15 日的抽样测试中，团队用 5,000 条已知恶意域名做盲测，拦截 4,960 条，拦截率 99.2%；误拦正常域名 3 条，误拦率 0.06%，相关规则已在 24 小时内修正。赵语桐解释为什么保留一定误拦风险：“宁可多拦一个可疑域名，也不让用户点进去之后再补救，但我们把误拦的申诉通道放在了客户端首屏。”

默认开启，无需额外设置

加固后的默认策略是“全开”：DoH 加密解析、IPv6 泄漏防护、恶意域名拦截、WebRTC 代理四项均默认启用，用户可在“安全中心”逐项查看状态与最近一次检测时间。若某些内网环境需要放行特定域名，可在“自定义规则”中添加白名单，规则仅对本机生效，不影响其他设备。企业用户可通过路由器插件统一下发规则，避免逐台配置。

兼容性方面，Windows 10 1809 及以上、macOS 11 及以上、Android 8.0 及以上、iOS 14.0 及以上均在覆盖范围内；Linux 命令行版通过配置文件开启，路由器插件版本将在 10 月上旬更新。发布首周，团队收到 260 余条反馈，主要集中在企业内网域名被误拦与 IPv6 挂起后部分智能家居设备离线两点，均已给出临时解决方案。

狗狗加速表示，DNS 安全加固是隐私保护体系的第三块拼图，前两块分别是内存态节点与断网保护。三块能力的共同点是“默认开启、无需理解”，团队认为安全功能不应以用户懂技术为前提。用户现在更新客户端即可在安全中心看到完整检测结果，若发现异常，可通过官网“关于我们”页面的联系方式提交工单。