配置 GEOIP 类规则后所有走代理域名 dns 本地泄漏问题

[happy12322]

验证步骤

• 我已经阅读了 文档，了解所有我编写的配置文件项的含义，而不是大量堆砌看似有用的选项或默认值。
• 我仔细看过 文档 并未解决问题
• 我已在 Issue Tracker 中寻找过我要提出的问题，并且没有找到
• 我是中文用户，而非其他语言用户
• 我已经使用最新的 Alpha 分支版本测试过，问题依旧存在
• 我提供了可以在本地重现该问题的服务器、客户端配置文件与流程，而不是一个脱敏的复杂客户端配置文件。
• 我提供了可用于重现我报告的错误的最简配置，而不是依赖远程服务器或者堆砌大量对于复现无用的配置等。
• 我提供了完整的日志，而不是出于对自身智力的自信而仅提供了部分认为有用的部分。
• 我直接使用 Mihomo 命令行程序重现了错误，而不是使用其他工具或脚本。

操作系统

Linux

系统版本

openwrt 25.12.0

Mihomo 版本

mihomo 版本：

Mihomo Meta v1.19.23 linux amd64 with go1.23.12 Wed Apr  8 01:12:45 UTC 2026
Use tags: with_gvisor

配置文件

我能想到唯一影响到这个结果的就是 rules 了，路由规则如下。

rules:
  - GEOSITE,private,DIRECT
  - GEOSITE,cn,DIRECT
  - GEOIP,private,DIRECT,no-resolve
  - GEOIP,cn,DIRECT
  - MATCH,fallback-auto

描述

在 OPENWRT 路由器上安装了 mihomo, 只配置了一个 mixed 入口（没有配置 TUN），域名分流分两种，一种走 DIRECT, 一种走 PROXY,没有配置 DNS 块，我发现， 所有走 PROXY 的域名，都会先本地查询（用路由的 127.0.0.1:53 查询），然后再向代理查询。PROXY 的绝大多数域名从本地解析不但拿不到结果，还向运营商大规模造成了泄露。

重现方式

每次都是这样。

日志

Sun Apr 19 14:12:54 2026 daemon.info mihomo[28859]: time="2026-04-19T14:12:54.136502710+08:00" level=debug msg="[Rule] use default rules"
Sun Apr 19 14:12:54 2026 daemon.info mihomo[28859]: time="2026-04-19T14:12:54.136715366+08:00" level=debug msg="[DNS] resolve wiki.metacubex.one A from system(udp://127.0.0.1:53,udp://[::1]:53)"
Sun Apr 19 14:12:54 2026 daemon.info mihomo[28859]: time="2026-04-19T14:12:54.136768708+08:00" level=debug msg="[DNS] resolve wiki.metacubex.one A from udp://127.0.0.1:53"
Sun Apr 19 14:12:54 2026 daemon.info mihomo[28859]: time="2026-04-19T14:12:54.136878066+08:00" level=debug msg="[DNS] resolve wiki.metacubex.one A from udp://[::1]:53"
Sun Apr 19 14:12:54 2026 daemon.info mihomo[28859]: time="2026-04-19T14:12:54.137019770+08:00" level=debug msg="[DNS] resolve wiki.metacubex.one AAAA from system(udp://127.0.0.1:53,udp://[::1]:53)"
Sun Apr 19 14:12:54 2026 daemon.info mihomo[28859]: time="2026-04-19T14:12:54.137064536+08:00" level=debug msg="[DNS] resolve wiki.metacubex.one AAAA from udp://[::1]:53"
Sun Apr 19 14:12:54 2026 daemon.info mihomo[28859]: time="2026-04-19T14:12:54.138403705+08:00" level=debug msg="[DNS] resolve wiki.metacubex.one AAAA from udp://127.0.0.1:53"
Sun Apr 19 14:12:54 2026 daemon.info mihomo[28859]: time="2026-04-19T14:12:54.140712675+08:00" level=debug msg="[DNS] wiki.metacubex.one --> [] AAAA from udp://[::1]:53"
Sun Apr 19 14:12:54 2026 daemon.info mihomo[28859]: time="2026-04-19T14:12:54.140849651+08:00" level=debug msg="[DNS] wiki.metacubex.one --> [] AAAA from system(udp://127.0.0.1:53,udp://[::1]:53)"
Sun Apr 19 14:12:54 2026 daemon.info mihomo[28859]: time="2026-04-19T14:12:54.140900216+08:00" level=debug msg="[DNS] wiki.metacubex.one --> [] A from udp://[::1]:53"
Sun Apr 19 14:12:54 2026 daemon.info mihomo[28859]: time="2026-04-19T14:12:54.141669519+08:00" level=debug msg="[DNS] wiki.metacubex.one --> [] A from system(udp://127.0.0.1:53,udp://[::1]:53)"
Sun Apr 19 14:12:54 2026 daemon.info mihomo[28859]: time="2026-04-19T14:12:54.141756589+08:00" level=debug msg="[DNS] resolve wiki.metacubex.one error: couldn't find ip"
Sun Apr 19 14:12:54 2026 daemon.info mihomo[28859]: time="2026-04-19T14:12:54.143473635+08:00" level=info msg="[TCP] [fd3e:9055:e498::8af]:59940 --> wiki.metacubex.one:443 match Match using fallback-auto[USA]"

[xishang0128]

域名匹配ip规则必须解析,这不是bug

[happy12322]

域名匹配ip规则必须解析,这不是bug

谢谢回复，个人浊见，如果进来的是域名，1. 域名属于 geosite 中的 DIRECT, 就本地解析。2. 域名属于 PROXY, 就代理远程解析。这样可以吗？

[HaoTian22]

你要分类解析就去写dns/nameserver-policy去，和rule没关系

[happy12322]

你要分类解析就去写dns/nameserver-policy去，和rule没关系

明白，我去试试

[xishang0128]

域名匹配ip规则必须解析,这不是bug

谢谢回复，个人浊见，如果进来的是域名，1. 域名属于 geosite 中的 DIRECT, 就本地解析。2. 域名属于 PROXY, 就代理远程解析。这样可以吗？

不解析怎么知道是不是proxy?

[happy12322]

域名匹配ip规则必须解析,这不是bug

谢谢回复，个人浊见，如果进来的是域名，1. 域名属于 geosite 中的 DIRECT, 就本地解析。2. 域名属于 PROXY, 就代理远程解析。这样可以吗？

不解析怎么知道是不是proxy?

我之前是这么想的，已经配了域名规则，从 mixed 口进来的是域名，就域名匹配优先，域名匹配成功就知道是不是 proxy，然后把域名送出去到 proxy 连接了。

[happy12322]

我原先想的是：

如果进来的是 IP, 就 IP 规则优先:

1. 有 IP 规则并且匹配成功，按规则分流。
2. 没有 IP 规则或者规则匹配失败， MATCH 兜低

如果进来的是 域名，就 域名 规则优先，

1. 有 域名 规则
   1.1 域名匹配成功，按规则分流。
   1.2 域名匹配失败
   1.2.1 有 ip 规则，解析，ip匹配成功就按规则分流，失败就 MATCH 兜低
   1.2.2 没有 ip 规则，直接 MATCH 兜低
2. 没有 域名 规则
   2.1 有 ip 规则，解析，ip匹配成功就按规则分流，失败就 MATCH 兜低
   2.2 没有 ip 规则，直接 MATCH 兜低

[HaoTian22]

因为你一个geoip:cn没有写no-resolve，会强制resolve才能通过这条规则继续往下

[happy12322]

是的，你说的对，我问完问题后就在找解决方法，加上就可以了。而且要强调一点，必需所有 geoip 类规则都加 no-resolve,否则就泄漏

[happy12322]

现在是只要满足这两个条件时，就一定会泄漏

1. 没有显式 正确的 配 dns 块
2. 哪怕存在一条 IP 类规则（比如 GEOIP）没有加 no-resolve，并且系统 DNS 指向运营商（如 /etc/resolv.conf， 大概率）

此时所有通过代理访问的域名都会传回国内服务器，就裸奔啦。