一、为什么说加密隧道是公共网络中的“防弹衣”？
当您在机场、高铁站、酒店或咖啡馆连接公共开放 Wi-Fi 时，任何处于同一局域网内的攻击者，只需使用开源的抓包工具（如 Wireshark），就能捕获所有未经高强度隧道封装的数据帧，甚至发起 ARP 欺骗与虚假 DNS 重定向。
而当您开启宝贝云网络代理时：
- 所有从您设备发出的网络流量均在本地被强行包裹在工业级对称/非对称加密载荷（如 AES-256-GCM 或 ChaCha20-Poly1305）之中；
- 对公共路由器和中间人攻击者而言，只能看到一串完全随机、不可破解的加密密文流，根本无法获知您正在访问什么域名、传输什么文件或提交什么密码；
- 彻底杜绝了公共 Wi-Fi 环境下的凭证劫持与钓鱼篡改风险。
二、警惕常见的三大网络隐私泄漏隐患
1. DNS 泄漏（DNS Leak）
现象：虽然网页数据包经过了海外节点，但域名解析请求（DNS Query）依然直接发送给了本地运营商的递归服务器。这样运营商或监管设备依然能够精准记录您的完整域名访问历史。
防范方案：在 Clash / ClashParty 设置中，启用 DoH（DNS over HTTPS）或 DoT（DNS over TLS），配置如 Cloudflare (1.1.1.1) 或 Google (8.8.8.8) 的安全加密解析，确保域名请求随代理隧道远端解析。
2. WebRTC 真实 IP 泄漏
现象：WebRTC 是一项用于浏览器端点对点音视频通信的现代标准。部分海外网站或安全检测系统会利用 WebRTC 的 STUN 穿透机制，绕过代理软件直接嗅探出您电脑的本地真实内网与外网 IP。
防范方案：在 Chrome / Edge 等浏览器中，安装 WebRTC Control 扩展插件，或在 Firefox 的 about:config 中将 media.peerconnection.enabled 设为 false。
3. IPv6 旁路泄漏
现象：当前许多家庭宽带和手机 5G 已默认分配双栈 IPv6 地址。如果代理客户端仅配置了 IPv4 规则，而操作系统优先走 IPv6 直连，就会导致部分流量完全绕过代理，直接裸连公网。
防范方案：在 Clash 配置文件中确保开启 ipv6: true 支持，或在本地网络连接属性中临时取消勾选“Internet 协议版本 6 (TCP/IPv6)”。
三、账号与订阅链接保护原则
您的宝贝云订阅链接（Subscription URL）是访问 130+ 节点及 500 Gib 高速流量的唯一通行密钥，请务必遵守以下安全规范：
- 严禁在公共平台分享：绝不要将订阅完整链接或二维码截图发送到微信群、QQ群、贴吧、B站或公开 GitHub 仓库；
- 注意第三方客户端来源：务必只从 GitHub 官方 Release 页面或宝贝云推荐的合规开源仓库下载客户端安装包，严防被植入木马的二道贩子“去广告版”或“破解版”；
- 定期重置订阅：若怀疑订阅链接在他人设备上泄露，可登录宝贝云控制台一键点击【重置订阅链接】，旧地址将立即全部失效。