看了一下我用的发行版默认就是 full

@daisyfloor “客户端软件自己发起的那次 dns 查询”会泄露，主要原因还是 clash （非 meta ）的 dns 模块不支持远程解析 dns ，而不是 fake-ip ，fake-ip 只是恰好规避了这个问题。

总而言之，只要你的代理软件支持远程解析 dns ，并且正确配置了 dns 分流，对于非国内域名一律使用远程 dns （不能使用类似 clash 的 fallback 这样的功能），会不会 dns 泄露就和 fake-ip 没有关系。

@qbqbqbqb

补充一下，#18 里 v2ray 的“国外 dns”更正为“远程 dns”

而原版 clash （非 clash-meta ）会有 dns 泄露的一个原因也是它内置的接管 dns 模块不支持远程 dns 解析，国外 dns 也是本地解析的，后续向正确的地址建立连接就要依赖于 redir-host 或者 fake-ip 获得原始请求域名再重新进行二次远程解析（其中 redir-host 就是类似 v2ray 的“域名嗅探”的原理）。

而 clash-meta 内核（使用远程 dns 解析功能）或者 v2ray 内核就不存在这个问题，因为它们在第一步接管 dns 解析的时候就可以先进行远程解析，所以只要配置正确无论用不用 fake-ip 都不会泄露。

是不是用 fake-ip 和 dns 泄露无关。

主要是看代理内核接管 dns 解析后所使用的 dns 分流的工作原理。

例如：
1. clash 的 dns fallback 是会并发对国内国外 dns 发起请求然后过滤国内 dns 的无效结果，只要你用了这个 fallback 的功能实现国内外 dns 分流，就会有 dns 泄露，和用不用 fake-ip 无关。
2. v2ray 的 dns 分流是用 geosite 规则匹配国内国外域名分别用对应的 dns 解析，这样只要配置成没有匹配规则的域名一律走国外 dns ，就不会泄露，同样和用不用 fake-ip 无关。

fake-ip 不是用来解决 DNS 泄露问题的

它的实际作用是让 tun 模式的代理也能像传统 HTTP/SOCKS5 代理一样支持域名连接，减少不必要的 DNS 解析，并且充分利用代理软件的路由规则（分流）功能。

传统的 HTTP 或者 SOCKS5 代理都是可以直接用域名建立连接的（有的地方也称为“远程 DNS 解析”），应用发起请求的时候不需要先通过系统进行 dns 解析得到 ip ，直接用域名向代理发起连接请求，这样的话就可以充分利用代理软件的域名分流规则的功能。

但是 tun 模式不一样，因为 tun 是虚拟网卡的原理，其它程序并不知道自己使用了代理，是像平常一样需要先进行 dns 解析得到 IP ，再用 IP 建立 tcp 或者 udp 连接，这样相比传统代理会带来一些麻烦”
1. 代理软件就得分两步处理其它程序的请求，先是接管 dns 解析，再接管后续的真正的连接建立，比较耗时
2. 第二步建立连接的时候代理软件拿到的是 ip ，域名信息没有了，要实现域名分流规则的功能就很麻烦，现在的 v2ray 等代理内核解决这个问题的方法是“协议嗅探”，就是尝试通过应用层的 http/tls 里面的信息来获取域名，这种方法实现域名分流的准确性和普适性有限

而 fake-ip 就是用来解决这个问题的，fake-ip 模式下 tun 模式的代理软件接管了 dns 解析之后，对于被代理的程序的 dns 请求不会实际进行解析，而是给相应的域名关联一个假 ip ，后续程序拿到假 ip 建立实际连接的时候，代理软件就可以知晓这个请求对应的域名，从而像传统代理一样可以直接用域名建立连接（远程解析），或者进行更准确的域名分流等操作。

好处就是提高 tun 模式代理的效率，并且补全了原本 tun 模式相比传统代理反而不支持的一些功能。

缺点是假 ip 会进入系统 dns 缓存，如果关掉代理之后可能会上不了网，这时候需要清除一下系统的 dns 缓存。

@yankebupt vp8, vp9, av1 都是免专利费的吧

@zictos tar 有个 p 选项

@zictos TWRP 要用特定版本的，A11 12 13 14 的加密都有差异，没适配的 twrp 就不能解密 data

@qbqbqbqb 这个是链接里的问题的解释。但是看你的图里用的是有线网，有可能不是同一个问题。

本质上是因为 WiFi 客户端原理上是不支持桥接的（没有认证的客户端没法接入网络），VirtualBox 的 WiFi 桥接实际上是类似 ipvlan 的东西，然后对 IPv6 的支持又不完善。

@w568w 所谓“几百万次循环”应该指的是 pbkdf2 这种可以指定迭代次数的密钥派生算法，原理就是反复应用类似 SHA256 这样的密码学安全的 hash 算法，通过增加运算次数来减慢速度，抵抗暴力破解。OP 想问的应该就是这类算法为什么是安全的。

@hpc4you mobaxterm 的 sftp 是有这个坑点，ssh 的 motd 或者 shell 的配置都会影响它的正常使用。

我之前就遇到过服务器上设置的登录时打印的提示文本导致 mobaxterm 的 sftp 文件浏览器不能用的情况，另外还有 shell 使用 bash 或 zsh 能用，但是 fish 就会出问题等等。

如果要兼容性好的话可以在 mobaxterm 的会话设置里把文件浏览器的协议改成 scp ，兼容性可以好不少，但是传输效率也会下降不少（某内网环境实测 sftp 能跑 500Mbps ，scp 只能跑 50Mbps ）

不用 clash 解千愁

首先 wireguard 是纯三层 vpn ，没有虚拟二层接口，里面接入的客户端根本就没 mac 地址

mac 地址是二层的，通俗理解就是跟着网卡且只在同一个局域网生效，哪怕是 openvpn, zerotier 这种有虚拟二层的 vpn ，接入进来的也是虚拟网卡的 mac 地址。

其实用某些指纹识别器驱动自带的旧版设置 UI 程序（比如说 synaptics 的指纹驱动自带一个，是 Win7 用的，那时候没有 Windows hello 必须驱动自带一个录入指纹的 UI 程序），是可以绕过 Windows Hello 启动生物识别的，甚至可以不设置 PIN ，仅用密码+生物识别两种登录方式。

你可以去网上下个任意的指纹识别器的 Win7 驱动，然后把里面的设置 UI 的 exe 提取出来用。功能上应该都是通用的，通过调用 Windows 遗留的旧版生物识别 API 录入指纹。



如果是人脸的话没办法，这个一般都依赖 Windows Hello 。

@YGHMXFAL 硬件令牌和生物认证还是不一样的。

像 yubikey 这样的硬件令牌内部用的就是标准的签名/加密手段，再外加一个私钥不能导出的特性，事实上是最安全的，不仅能做 2FA 的第二因子，还可以做无密码账户的唯一因子，一步验证，照样不失安全性。
并且令牌可以设置 PIN （防止被他人捡走使用），可以要求认证时触摸实体按钮（防止被不知情使用），你说的几个问题基本都不存在。
就是丢了比较麻烦，需要提前准备备用手段，这个备用手段可能不如令牌本身安全。

生物认证恰好相反，基本没啥安全性可言（因为生物特征没法直接派生私钥，不能起到加密的功能，本质上只是一个较弱的认证手段），主要还是为了方便，只用于锁屏快速解锁（公共场合还可以防偷窥密码）/免密支付替代品（有了指纹支付日常使用就很方便了，不必开更不安全的免密支付了）。

TOTP 用开源的 Aegis ，可以导出加密备份