DNS 泄露检测：如何检查和修复 DNS 泄露

什么是 DNS 泄露？

每次打开网站，都要先做一次 DNS 查询，把 example.com 这样的域名换成 IP 地址。平时由你运营商的 DNS 服务器来回答。开着 VPN 时，这些查询应该走加密隧道，交给 VPN 自己的 DNS 服务器。

DNS 泄露是指这些查询没走隧道，直接发给了运营商的 DNS 服务器。网站看到的仍是 VPN 的 IP，但运营商能看到你访问的每一个域名，它的 DNS 过滤或屏蔽也照样生效。

浏览器没法直接告诉网页它用的是哪个 DNS 服务器。所以检测时会让你的浏览器去查询几个唯一的随机域名，这些域名的 DNS 服务器由检测方自己运行，它会记下是哪些解析服务器来查询的。如果开着 VPN 时，这些解析服务器属于你的运营商，就说明 DNS 泄露了。

上面的检测就是这样做的：它会列出每个解析服务器的运营商、网络和国家，并和网站看到的 IP 做对比。测试域名和解析器 IP 会在 10 分钟后删除。

在终端（macOS、Linux）或命令提示符（Windows，只能用 nslookup）里运行下面任意一条命令。它们会让一个公共服务告诉你：是哪个 DNS 解析服务器的 IP 来查询了它。

nslookup -type=txt o-o.myaddr.l.google.com
dig +short TXT o-o.myaddr.l.google.com
dig +short whoami.akamai.net

打开 VPN 客户端的 DNS 防泄露功能（有时叫“使用 VPN 的 DNS”）和断网保护（Kill Switch）。
确认 VPN 也能处理 IPv6，或者在网卡上关闭 IPv6。IPv6 的查询可能会绕过只支持 IPv4 的 VPN。
开启加密 DNS：在 Chrome、Edge、Brave 里打开“安全 DNS”，或在 Firefox 里打开“基于 HTTPS 的 DNS”，选择 VPN 的解析服务或你信任的服务商。
检查路由器或手动设置的 DNS 有没有覆盖 VPN 的设置，然后再测一次。

常见问题

›为什么会检测到好几个 DNS 服务器？

Google、Cloudflare 和大多数运营商的 DNS 服务都由一组服务器组成，不同的查询可能来自不同的地址。关键是看它们属于哪个网络。

›DNS 泄露和 IP 泄露一样吗？

不一样。DNS 泄露时，网站看到的仍是 VPN 的 IP，但你的运营商（或泄露出去的解析服务器的运营方）能看到你查询了哪些域名。

›HTTPS 能防止 DNS 泄露吗？

不能。HTTPS 加密的是网页内容，而传统 DNS 查询在建立连接之前就以明文发出。加密 DNS（DNS over HTTPS 或 TLS）才能解决这部分问题。

›没用 VPN 也会有 DNS 泄露吗？

没用 VPN 时，查询本来就该交给运营商或你选的 DNS 服务器，这不算泄露。只有用 VPN 或代理时这个说法才有意义。

›无痕模式能防止 DNS 泄露吗？

不能。无痕窗口和普通窗口用的是同一套 DNS 设置。

›检测没找到任何 DNS 服务器，为什么？

广告或内容拦截插件可能在浏览器查询之前就拦下了随机测试请求。请对本站暂停拦截插件，然后重新检测。