权威 DNS 日志能揭示代理用户的原始 IP 吗？

权威 DNS 服务器通常从递归解析器收到网站查询。因此其查询日志中的来源 IP 往往标识的是那个解析器，而网站的 HTTP 连接则来自正向代理。

与一次访问绑定的唯一主机名可以把 DNS 查询和网页请求关联起来。但它并不改变究竟是哪台机器把查询真正发给了权威服务器。

那个解析器可能属于访客的运营商、公共 DNS 服务、代理网络或另一个转发解析器。看到与 HTTP 出口不同的地址，说明那是另一个观测点，并不自动证明访客精确的原始 IP。

也有例外。访客可以自己运行递归解析器，而 EDNS Client Subnet 可能暴露客户端网络的信息。精确程度取决于实际发送的内容，包括前缀长度；一个子网未必就是某个用户的地址。

检查代理隐私测试时，请把各项观测分别标注：HTTP 来源、DNS 查询来源以及任何客户端子网数据。本地与代理侧的目标解析会改变这条 DNS 路径，但结果需要先具备这些区分，才能支撑关于身份的结论。