圈小蛙
根据Mullvad的最新文章，安卓（Android）系统上存在多个潜在的DNS泄漏问题。 它们源于Android系统本身的漏洞，并且只影响某些应用程序。
4月22日星期一，Mullvad注意到Reddit上的一份关于DNS泄漏的用户报告。 该报告详细介绍了用户如何在禁用和启用VPN的同时开启“阻止无VPN的连接”，从而泄露 DNS 查询。 Mullvad立即开始内部调查，确认了这一问题。调查还发现了更多可能导致 Android系统上DNS泄露的情况。
调查结果
确定了Android操作系统可能泄漏DNS流量的情况：
- 如果VPN处于活动状态且未配置任何DNS服务器。
- 当VPN应用程序重新配置隧道或被强制停止/崩溃时的一小段时间内。
泄漏似乎仅限于直接调用C函数getaddrinfo。 使用这种方式解析域名的应用程序会在上述场景中造成泄漏。 Mullvad尚未发现仅使用Android API的应用程序（例如DnsResolver）存在任何泄漏。 Chrome浏览器是可以直接使用getaddrinfo的应用程序例子。
无论是否启用“始终开启 VPN ”和“阻止没有 VPN 的连接”，上述情况都会出现，这不是预期的操作系统行为，因此应在操作系统上游进行修复。
Mullvad已经能够确认这些DNS泄漏发生在多个Android版本中，包括最新版本（Android 14）。
改进
Mullvad的应用程序目前不会在阻塞状态下设置任何DNS服务器。 当Mullvad的应用程序无法以不可恢复的方式建立隧道时，它就会进入阻塞状态。 在此状态下，它会阻止流量离开设备。 但是，在此状态下它不会设置任何DNS服务器，因此可能会发生上述DNS泄漏。 Mullvad现在将通过设置一个伪造的DNS服务器来解决操作系统错误。 用户很快就会收到包含此修复程序的版本。
Mullvad更难在应用程序中缓解隧道重新连接期间的泄漏， Mullvad仍在寻找解决方案。 Mullvad可以最大程度地减少隧道重新配置发生的次数，但Mullvad目前认为无法完全防止这种泄漏。
应该明确的是，任何VPN应用程序都不需要这些解决方法，应用程序使用getaddrinfo来解析域名也没有错。 相反，这些问题应该在操作系统中得到解决，以保护所有Android用户，无论他们使用哪些应用程序。
Mullvad已向Google报告了这些问题并提出了改进建议，希望他们能够尽快解决此问题。
重现步骤
以下步骤重现了上述第二种情况，即VPN用户更改隧道配置，例如切换到另一个服务器或更改DNS服务器。
这里Mullvad使用WireGuard应用程序，因为它已成为Android VPN实现的参考。应该指出的是，任何其他Android VPN应用程序也可能会重现泄漏。 Mullvad使用Chrome来触发泄漏，因为Mullvad已确认它是使用getaddrinfo的应用程序之一。
下载 spam_get_requests.html
安装 WireGuard 应用程序和 Chrome 浏览器
将 wg1.conf、wg2.conf 导入 WireGuard
在 WireGuard 应用程序中启用 wg1 隧道并允许 VPN 权限
在 Android VPN 设置中为 WireGuard 启用 “始终开启 VPN ”和 "阻止无 VPN 的连接
使用tcpdump等工具开始捕获路由器上的数据$ tcpdump -i host <安卓设备的 IP 地址
分割屏幕，并排显示 WireGuard 和 Chrome 浏览器
用 Chrome 浏览器打开 spam_get_requests.html，然后按 “开始”。
在 WireGuard 应用程序中的 wg1 和 wg2 之间来回切换，直到看到下一步中的泄漏。
在路由器上观察与此类似的 DNS 流量：
11:50:27.816359 IP Pixel-Tablet.lan.53353 > OpenWrt.lan.53: 11200+ A? 307lf5rgn6-19282-11-50-27-519z.mullvad.test.lan. (65)
11:50:27.816359 IP Pixel-Tablet.lan.48267 > OpenWrt.lan.53: 44347+ A? 307lf5rgn6-19284-11-50-27-579z.mullvad.test.lan. (65)
11:50:27.816396 IP Pixel-Tablet.lan.16747 > OpenWrt.lan.53: 44584+ A? 307lf5rgn6-19289-11-50-27-729z.mullvad.test. (61)
11:50:27.816458 IP OpenWrt.lan.53 > Pixel-Tablet.lan.53353: 11200 NXDomain 0/0/0 (65)
11:50:27.816476 IP Pixel-Tablet.lan.45727 > OpenWrt.lan.53: 40503+ A? 307lf5rgn6-19290-11-50-27-759z.mullvad.test. (61)
11:50:27.816542 IP OpenWrt.lan.53 > Pixel-Tablet.lan.48267: 44347 NXDomain 0/0/0 (65)
11:50:27.816588 IP Pixel-Tablet.lan.43821 > OpenWrt.lan.53: 36295+ A? 307lf5rgn6-19291-11-50-27-789z.mullvad.test. (61)
11:50:27.816625 IP OpenWrt.lan.53 > Pixel-Tablet.lan.16747: 44584 NXDomain 0/0/0 (61)由于“阻止没有 VPN 的连接”处于活动状态，因此除了加密的WireGuard流量外，不应该有任何流量离开设备，但在这里可以看到明文DNS离开设备。
结论和建议
DNS泄露可能会严重影响用户的隐私，可用于推算用户的大致位置或找出用户使用的网站和服务。
这些发现也再次表明，“在没有 VPN 的情况下阻止连接 ”名不副实，它存在多个缺陷。在上述情况下，应用程序仍可能泄露DNS流量，而且正如之前所报告的，它仍会泄露连接检查流量。
根据您的威胁模型，这可能意味着您应该完全避免使用安卓系统处理任何敏感信息，或采用其他缓解措施来防止泄漏。