DNS 泄漏是什么，怎么自查

DNS 泄漏说的是：网页的实际内容走了加密隧道，但访问这个网页之前「这个域名对应哪个地址」的查询请求，走了隧道外的另一条路。结果是内容本身别人截获不到，但沿途能看到的人依然知道你查过哪些域名，等于隐私保护出现了一个具体的缺口，而不是整体失效。

这篇先给一个三十秒能做的自查方法，再按从最普遍到最少见的顺序讲清楚几种常见原因，最后说清楚查到以后具体该怎么处理，不需要一遇到就把系统重装一遍。原则不变：怀疑泄漏时先自查确认，再决定要不要动系统或路由器设置，不要没查清楚就把好几个地方一起改，改完也说不清到底是哪一处起了作用。

DNS 泄漏具体指什么

平时上网，设备要先把域名（比如某个网站的名字）转换成一串数字地址，这一步就是域名解析，日常说的「DNS」指的就是这一层。没有 VPN 的时候，这个查询请求直接发给运营商指定的解析服务器；连上 VPN 以后，正常情况下这个查询也应该经过隧道，发给隧道那一端的解析服务器。

「泄漏」指的就是这个查询请求没有跟着隧道走，而是继续发往本地或者运营商的解析服务器。网页、视频这些实际内容可能确实加密传输了，但域名查询这一条单独溜了出去，能看到这条请求的一方，还是能拼出一份你访问过哪些网站的记录，只是看不到网页里具体的内容。这也是为什么「连了 VPN」和「所有流量都在隧道里」不是同一件事，中间这一层解析很容易被忽略——它不像网页打不开那样明显，泄漏了通常什么异常都感觉不到，日常使用完全正常，只有专门去查才会发现。

这也是为什么这一层容易被忽视：出问题不会有任何提示，不会卡顿，不会报错，唯一的办法就是主动查一次。

三十秒自查

最简单的方法是搜索「DNS leak test」，打开任意一个这类检测页面，连接 VPN 之后跑一次检测。页面通常会列出它查到的解析服务器所在地区和运营商，拿这个结果和你实际的宽带或者手机运营商对比：如果显示的是隧道所在地区的解析服务器，说明没有泄漏；如果显示的还是本地运营商的名字，说明查询请求确实溜出去了。

测的时候有两个小细节容易被忽略：一是要在真正连上 VPN、状态稳定几秒之后再测，刚连上那一瞬间测到的可能还是切换前的结果；二是如果电脑和手机都在用，两边分开各测一次，不要测了一边就假设另一边情况相同，尤其是两边如果连的不是同一个网络。

如果更习惯用命令行确认，也可以直接查当前使用的解析服务器地址：

# macOS / Linux
scutil --dns | grep nameserver

# Windows
ipconfig /all | findstr /R "DNS"

输出里出现的地址如果是本地运营商常见的地址段，而不是隧道对应地区的地址，同样说明存在泄漏。两种方法选一种即可，不需要都做。

常见原因，从最普遍到最少见

不少人为了解决其他问题（比如加速某个网站），在系统或者路由器里手动填过一个固定的 DNS 地址。这个设置一旦存在，优先级通常比客户端想要接管的设置更高，于是查询请求就按手动填的地址走，绕开了隧道。

怎么确认：回想一下有没有在网络设置里手动填过 DNS 地址，或者路由器管理页面里有没有类似的自定义项。怎么处理：把这类手动设置改回自动获取，让客户端自己接管这一层，改完重新测一次。

有些工具只处理网页和应用的数据内容，没有把域名查询这一步也一起收进隧道，两者被当成了两件独立的事情来处理。这种情况下，数据内容看起来完全正常，但查询请求全程都在隧道外面，用户很难从表面现象上察觉到。

怎么确认：如果自定义 DNS 那一项排除了，自查结果依然显示泄漏，基本可以确认是这一层没有被正确接管。怎么处理：这属于客户端本身的处理方式问题，用户侧能做的有限，换一个会把 DNS 也纳入隧道的客户端是更直接的解法。

部分浏览器自带加密 DNS 功能，会绕开系统设置，直接把查询发给浏览器自己指定的服务器。这个功能本意是保护隐私，但如果浏览器指定的服务器和 VPN 的隧道没有关系，实际效果反而是又开出了一条新的泄漏路径。

怎么确认：在浏览器设置里找和「安全 DNS」「加密 DNS」相关的选项，看看是不是开着，指向的又是哪个服务商。怎么处理：不需要整体关掉这个功能，把它指向的服务器换成经隧道可达的地址，或者暂时关闭交给系统统一处理，测试后再决定。

IPv6 是另一个容易漏的口子

前面三种原因排除以后，还有一种情况值得单独留意：设备同时具备 IPv4 和 IPv6 两套网络能力，如果只有 IPv4 那一套被隧道接管，走 IPv6 的域名查询和实际连接都可能绕开隧道，表现和前面说的一样，是查询请求走了另一条路，只是这次连接本身也一起漏了出去。

这和连上 VPN 后 IP 还显示国内里提到的其实是同一个原因在两篇文章里的两种表现：那篇里看到的是查 IP 时结果没变，这篇里看到的是 DNS 检测显示泄漏，根源都是 IPv6 那一条路没被一起处理。移动网络和不少家用宽带这几年默认开启 IPv6 的比例都在上升，这类「部分泄漏」也比几年前更容易遇到，不算什么罕见的边缘情况。

如果自查结果显示泄漏，且怀疑和 IPv6 有关，可以在系统网络设置里暂时关闭 IPv6，重新测一次作为对照：关闭以后泄漏消失，基本能确认就是这个原因；关闭以后泄漏依然存在，说明问题在前面三种原因里，和 IPv6 没关系，不需要一直关着它。

查到泄漏以后怎么办

按上面三个原因的顺序排查一遍，多数泄漏都能定位到具体哪一层：先看是不是系统或路由器里有手动填的 DNS，再看客户端本身有没有把 DNS 收进隧道，最后看浏览器有没有自己开了加密 DNS。改完对应的设置，重新跑一次自查确认，而不是改完就假设一定好了。

如果几种原因都排除了，自查结果依然显示泄漏，把检测页面的截图、使用的设备型号和系统版本一起发给客服，比自己继续猜测更快找到原因，也方便对方判断是不是某个版本特有的问题。

总结

DNS 泄漏意味着域名查询走了隧道之外的另一条路，泄漏的是「访问过哪些网站」这类记录，不是网页具体内容。三十秒自查加上按常见程度排查三个原因，大多数情况能自己定位和解决，IPv6 是排查完常见原因之后还值得留意的一个角落。

不想每次换设备、换网络都重新自查一遍，方向就是让客户端自己把这一层管好。快橙的思路是把 DNS 也收进隧道自动处理，不需要手动配置系统或路由器。如果按上面的步骤查完还是无法确认，联系客服时带上检测结果，能更快判断问题出在哪一层。更多关于VPN 安全这块的内容，也可以一并了解。