自建DNS + 蜜罐节点：双层防御架构
管局调查VPN厂商，走的是一条 阶梯式流程。 他们从最简单的一步开始，每一步"走通"了就停下来，不会继续往下挖。 理解这个逻辑，才能知道我们的防御为什么有效。
大多数VPN厂商的节点直接写真实IP，订阅一旦泄露，整条线路就彻底暴露。
传统做法的致命缺陷：真IP直接写在订阅里，拿到订阅就等于拿到真IP，一封就全毁。
核心思路：让管局在第一层就"成功"，他们满足了，自然不会继续挖到第二层。
真正的IEPL入口IP，从未出现在任何明文里。
管局拿到的订阅里，看到的是这些：
当有人查询 premium.example.net 这个域名时：
两个世界同时发生的事情：
我们防御的本质，是利用了对方的组织行为规律，而不是单纯的技术对抗。 下面三点解释了为什么这个设计在现实中行得通。
💡 简单说就是这个比喻： 管局查订阅，就像小偷想撬保险箱。我们在门口放了一个装着少量"假钱"的旧钱包（蜜罐节点）。 小偷看到钱包，拿走，满足了，就不再管里面真正的保险箱在哪里了。 让对方"提前满足"，才是最高效的防御。
了解这个背景，能帮助理解为什么管局的中间监听完全看不到我们的真实IP解析。
📌 术语简注
DoH (DNS-over-HTTPS) — DNS解析请求通过HTTPS加密传输，与普通网页请求完全相同，无法区分或过滤。
DoT (DNS-over-TLS) — DNS解析请求通过TLS加密连接传输，同样无法被中间人监听内容。
两者都能有效防止DNS解析结果被第三方截获。
自建DNS套在阿里云盾或腾讯云WAF后面，攻击者打过来，先打到大厂的防护层， 我们的DNS服务器和真实IEPL入口都在后面，完全安全。
我们的架构设计了两个平行的"现实"——管局看到的和客户体验到的，完全不同。
蜜罐节点是专门准备的"诱饵"，让调查流程在到达真IP之前就画上句号。
自建加密DNS是确保真IP永远不出现在明文里的技术保障。
两层配合，构成了稳健的防御体系。
架构全览