IP 情报周报 #3：DNS 不一致率跳到 39%，但这个数字先别全信

情报周报第三期。口径不变：数据来自访客主动检测时产生的匿名聚合，只记录 IP 类型、归属国、IPv6 占比这类网络层特征，不涉及任何指纹信息。本期样本窗口 11 月 6 日至 12 日。

这期的数字有点反常识：DNS 不一致率从两周前的 17% 直接跳到 39%。翻了两倍多。先讲清楚这个数字是怎么来的、可能被什么污染，再谈你该不该紧张。

数字一：DNS 不一致率 39%，但至少有两种解释

我们的检测逻辑很简单：访客发起一次随机子域的权威解析，我们记录是哪个 IP 来问的，查它和访客 HTTP 出口 IP 的归属国是否一致。不一致就记为一次"DNS 不一致"。

从 14% → 17% → 39%，这个爬升速度值得停下来想一想。有三种可能，我们没有足够的证据在其中下唯一结论：

解释一：真实泄露变多了。 新访客里用代理但没接管系统 DNS 的比例上升。这和机房 IP 占比长期过半的结构是吻合的——大量用户是"挂了个代理就开始用"，压根没考虑过 DNS 走哪。

解释二：公共加密 DNS 的误判。 这是我们必须诚实说明的局限：如果访客在系统里设了 8.8.8.8 或 1.1.1.1 这类全球任播（anycast）解析器，这些 IP 的归属地多半显示在美国——哪怕访客人在上海、DNS 实际上由就近节点应答。这种情况下我们的判断会给出"不一致"，但严格说这不是泄露，只是解析器归属和用户位置天然对不上。用 DoH 的人越来越多，这类误判会系统性推高比例。

解释三：样本波动。 单周样本量有限，一个几百次检测的窗口里，某些天的访客来源结构剧变就能拉动整周数字。

所以本期的结论是：39% 这个绝对值先别当准数看，趋势才是重点。 写完这期我们就动手改了检测逻辑：公共任播解析器（8.8.8.8、1.1.1.1 这类）现在会被单独识别，只由它们引起的"不一致"不再计入泄露，而是单独统计为"公共 DNS 使用占比"。首页网络脉搏的两个数字都已按新口径更新，下周的周报会是第一批干净数据。

对你个人的意义倒是不受影响的：如果你的 DNS 出口和 HTTP 出口真的不在一个地方，你跑一次DNS 泄露检测就能看到具体是哪个解析器在应答——一眼分辨是"用错了本地 DNS"还是"只是设了公共 DoH"。原理细节在DNS 泄露那篇。

数字二：机房 IP 稳定在 56%，结构定型了

机房 IP 占比 56.0%，环比几乎没动（-0.4 个百分点）。住宅 41.2%，其他 2.8%。

连续三期在 53%–57% 之间震荡，可以说访客结构已经稳定：过半是数据中心出口，这批人基本是爬虫、自动化、多账号运营场景。移动网络占比则连续两周为 0.0%——真实消费级流量不会是这个形状，这个数字基本坐实了访客画像。

没有新建议可以给，只是重复那条最值钱的结论：机房 IP 的 ASN 归属公开可查，风控判定零门槛。做账号类业务，预算花在 IP 类型上比数量上划算得多，对比数据在这篇。

数字三：法国首次与新加坡并列第三

归属国前五：美国 33.7%、中国 17.8%、新加坡 5.3%、法国 5.3%、德国 4.0%。法国从两位数以外直接追平新加坡，是本期除 DNS 外的第二个变化点。

结合上期德国 5.5% 的数据看，欧洲来源已经连续两期在往上走。对读者的实际价值还是那条：选节点时别只测美国。欧洲线路在晚高峰的稳定性经常更好，用测速对比开 / 关代理的下载差值，再配 Ping 看抖动，比凭感觉换节点靠谱。

IPv6：5.7%，继续低位徘徊

5.7%，环比 -0.8。代理服务商住宅节点以 IPv4 为主的结构没变。老提醒：本机开着 IPv6 但代理只处理 v4，部分请求可能绕过代理直连，跑两次完整检测看出口会不会闪换。

本周行动建议

1. 跑一次DNS 泄露检测，看清应答的解析器是谁——是本地运营商还是公共 DoH，性质完全不同
2. 看到 39% 这类大幅跳变，养成先问"口径有没有变、样本有多大"的习惯，这个习惯比任何一个数字都有用
3. 欧洲节点值得试，别把美国当默认答案

数据每周更新，下周同一时间见。想查自己当前的出口类型和归属地，IPchase 首页打开即显示。