流量嗅探做了什么，又没有做什么

问题边界

正确评估嗅探对 QUIC、IP 直连与隐私的影响。

机制与操作建议

1. 当应用只连接 IP 时，内核可从 TLS SNI 或 HTTP Host 等信息恢复目标域名。
2. 嗅探不是解密 HTTPS 内容，它只利用握手中可见的元信息。
3. 对兼容性有问题的目标可做排除，不要无差别扩大覆盖。
4. 结合日志观察嗅探得到的域名是否正确，再判断规则命中。

可观察指标

• 日志同时显示原始目标与恢复域名。
• 排除项只覆盖必要应用或地址。
• 关闭嗅探后对照结果可复现。

知识条目结论

嗅探提升域名可见性，但不替代正确的 DNS 与规则设计。