DNS 洩漏測試：如何檢查和修復 DNS 洩漏

什麼是 DNS 洩漏？

每次開啟網站，都要先做一次 DNS 查詢，把 example.com 這樣的網域換成 IP 位址。平時由你電信業者的 DNS 伺服器來回答。開著 VPN 時，這些查詢應該走加密通道，交給 VPN 自己的 DNS 伺服器。

DNS 洩漏是指這些查詢沒走通道，直接發給了電信業者的 DNS 伺服器。網站看到的仍是 VPN 的 IP，但電信業者能看到你造訪的每一個網域，它的 DNS 過濾或遮蔽也照樣生效。

瀏覽器沒法直接告訴網頁它用的是哪個 DNS 伺服器。所以檢測時會讓你的瀏覽器去查詢幾個唯一的隨機網域，這些網域的 DNS 伺服器由檢測方自己執行，它會記下是哪些解析伺服器來查詢的。如果開著 VPN 時，這些解析伺服器屬於你的電信業者，就說明 DNS 洩漏了。

上面的檢測就是這樣做的：它會列出每個解析伺服器的電信業者、網路和國家，並和網站看到的 IP 做對比。測試網域和解析器 IP 會在 10 分鐘後刪除。

在終端機（macOS、Linux）或命令提示字元（Windows，只能用 nslookup）裡執行下面任意一條指令。它們會讓一個公共服務告訴你：是哪個 DNS 解析伺服器的 IP 來查詢了它。

nslookup -type=txt o-o.myaddr.l.google.com
dig +short TXT o-o.myaddr.l.google.com
dig +short whoami.akamai.net

開啟 VPN App的 DNS 防洩漏功能（有時叫「使用 VPN 的 DNS」）和斷網保護（Kill Switch）。
確認 VPN 也能處理 IPv6，或者在網路介面卡上關閉 IPv6。IPv6 的查詢可能會繞過只支援 IPv4 的 VPN。
開啟加密 DNS：在 Chrome、Edge、Brave 裡開啟「安全 DNS」，或在 Firefox 裡開啟「DNS over HTTPS」，選擇 VPN 的解析服務或你信任的業者。
檢查路由器或手動設定的 DNS 有沒有覆蓋 VPN 的設定，然後再測一次。

常見問題

›為什麼會檢測到好幾個 DNS 伺服器？

Google、Cloudflare 和大多數電信業者的 DNS 服務都由一組伺服器組成，不同的查詢可能來自不同的位址。關鍵是看它們屬於哪個網路。

›DNS 洩漏和 IP 洩漏一樣嗎？

不一樣。DNS 洩漏時，網站看到的仍是 VPN 的 IP，但你的電信業者（或洩漏出去的解析伺服器的營運者）能看到你查詢了哪些網域。

›HTTPS 能防止 DNS 洩漏嗎？

不能。HTTPS 加密的是網頁內容，而傳統 DNS 查詢在建立連線之前就以明文發出。加密 DNS（DNS over HTTPS 或 TLS）才能解決這部分問題。

›沒用 VPN 也會有 DNS 洩漏嗎？

沒用 VPN 時，查詢本來就該交給電信業者或你選的 DNS 伺服器，這不算洩漏。只有用 VPN 或代理時這個說法才有意義。

›無痕模式能防止 DNS 洩漏嗎？

不能。無痕視窗和普通視窗用的是同一套 DNS 設定。

›檢測沒找到任何 DNS 伺服器，為什麼？

廣告或內容封鎖擴充功能可能在瀏覽器查詢之前就攔下了隨機測試請求。請對本站暫停封鎖擴充功能，然後重新檢測。