EasyConnect 掐死 53 端口 DNS 导致 Clash 节点全挂 (EasyConnect Port 53 Hijack Kills DNS and Clash Nodes)

出现条件

装有深信服 EasyConnect 全家桶的 Windows 机器,即使 VPN 未连接,以下进程仍在后台运行:

其"DNS 防泄漏"机制会封锁本机所有 53 端口的 DNS 查询(UDP+TCP),不区分目的地。

测直连 IP 通不通:ping 223.5.5.5。通 → 不是网络问题。
测 53 端口 DNS:nslookup baidu.com 223.5.5.5。超时 → 53 被掐。
测加密 DNS(443 端口):curl "https://223.5.5.5/resolve?name=baidu.com&type=A"。成功 → 证实只有 53 被封,是本地软件干的。
找元凶:tasklist | grep -iE "sangfor|ecagent|easy",发现 ECAgent 在跑即实锤。

EasyConnect 的安全防护模块拦截所有明文 DNS(53 端口),防止 VPN 隧道内 DNS 泄漏。该拦截不依赖 VPN 是否连接,客户端进程活着就生效。Clash 依赖节点域名解析,53 一死节点域名全解析不了 → 表现为"全部节点超时"。

杀 ECAgent:taskkill //F //PID <pid>。Git Bash 下 /F 要写成 //F(会被解释成路径)。杀完 53 端口立即恢复。
- SangforUDProtectEx.exe 普通权限杀不动,不影响结果,可不管。
重启 Clash 内核:内核在 DNS 断网期间运行时,内部 DNS 缓存/状态已坏,不重启不恢复。最干净的方式是托盘退出 Clash Verge 再重开。仅重启服务需管理员权限且内核不一定被拉起。
验证:curl -x http://127.0.0.1:7890 https://www.google.com/generate_204 返回 204 即恢复。

EasyConnect 没有独立卸载入口,残留极深。完整清除顺序:

杀进程:ECAgent.exe、SangforUDProtectEx.exe(防护进程,普通权限杀不动,提权可杀)。
停+禁三服务:com.vortex.helper、SangforPWEx、SangforSP(提权 PowerShell Stop-Service + Set-Service -StartupType Disabled)。ECAgent 有守护复活机制,不先禁服务只杀进程会复活(实测新 PID 重生)。
删 5 个注册表服务键:HKLM\SYSTEM\CurrentControlSet\Services\ 下 SangforDnsDrv_7,5,0,1、SangforPWEx、SangforSP、SangforTcpDrv_7,5,0,1、SangforVnic。
删文件:C:\Program Files (x86)\Sangfor(主目录)、~\.config\com.vortex.helper。
内核锁死文件:SangforDnsDrv.sys、SangforTcpDrv.sys、SangforNsp*.dll、SangforUDProtectEx_*.dll 等被加载中的内核驱动锁住,takeown+icacls 后仍删不掉,属正常——驱动已从注册表摘除,重启后不再加载,届时手动删残壳目录即可。