DNS 泄露怎么解决？检测方法与修复思路
梯子岛编辑部 · 更新于 DNS 泄露指域名查询没有跟着代理走，而是由本地网络的 DNS 服务器处理。先用两三个检测站交叉比对，再回到客户端检查 DNS 设置、代理模式和浏览器自带的安全 DNS，逐层修复，每改一项就复测一次。
你遇到的现象
用检测站看到 DNS 服务器还是本地运营商，或者地区不对。
在检测站里看到的 DNS 服务器还是你家宽带或手机运营商的，这种现象就叫 DNS 泄露：你的访问流量走了代理，域名查询却没有跟上。要不要处理、怎么处理，取决于你想让谁看不到这些查询。本文按“先确认、再定位、后修复”的顺序，教你自己动手比对和修正。
DNS 泄露到底泄露了什么
DNS 的作用是把网站名称换成可以连接的地址。你访问一个网站之前，设备会先问某个解析服务器“这个名字对应哪里”。关于这个流程的通俗讲解，可以看白名单里的 Cloudflare 科普页。
泄露的含义很窄：
- 被泄露的是“你查询了哪些网站名称”，不是网页内容本身。
- 看到这些查询的，是处理它们的解析服务器及其所在的网络。
- 它不等于你的访问来源 IP 暴露，那是出口检测的范围，可以到 IP 与 DNS 检测导航 里分开看。
所以先问自己一个问题：我在意的是查询记录，还是访问地区？答案不同，后面的处理重心也不同。术语层面的简短解释见词典里的 DNS 泄露。
怎么用检测站做 DNS泄露检测
一个检测站的结果不可靠，三步交叉比对才有参考价值。
- 先在不开客户端时打开检测站，记下显示的 DNS 服务器归属，作为“基线”。
- 开启客户端、选定节点后，换两个不同的检测站各测一次。
- 把三次结果放进下面这张表里对照。
| 对照项 | 基线（未开客户端） | 开启后第一个站 | 开启后第二个站 |
|---|---|---|---|
| DNS 服务器归属 | 本地运营商 | 填你看到的 | 填你看到的 |
| 显示的地区 | 本地 | 填你看到的 | 填你看到的 |
| 与基线是否一致 | 不适用 | 一致或不一致 | 一致或不一致 |
两个站都与基线一致，才算有泄露的迹象；只有一个站一致，更可能是该站的测试方式有出入。所谓 dns泄露测试，核心就是这种前后对比，而不是盯着某一个数字。
先排除三种“看起来像泄露”的情况
不少人修了半天，其实根本没有问题。下面几种情况先排除：
- 公共解析服务就近接入：显示的地区和节点地区不同，但归属是公共解析机构，这是正常的。
- 测试页缓存了旧结果：刚改完设置就复测，页面可能还用着上一次的结果。清掉缓存或换无痕窗口再测。
- 浏览器与系统走了不同通道：用命令行或别的程序测一遍，结果可能与浏览器里的不同，说明是浏览器层面的问题，而不是整机泄露。
客户端侧的修复思路：从外到里逐层查
按下面的顺序，每一层只改一处，改完就复测。
| 层级 | 检查什么 | 常见处理方向 |
|---|---|---|
| 代理方式 | 是只开了系统代理，还是进入了虚拟网卡 | 系统代理只覆盖会读取它的程序，其余程序的查询可能不经过客户端，可对照 系统代理不生效怎么办 |
| 客户端 DNS 开关 | 配置里 DNS 功能是否真的启用 | 启用客户端自带的 DNS 模块，细节见 Clash DNS 设置详解 |
| 解析方式 | 是否使用了 fake-ip 一类的映射方式 | 让需要走代理的域名由客户端接管解析 |
| 浏览器层 | 浏览器自带的安全 DNS 是否绕开了前面几层 | 改成跟随系统设置，选项名称以浏览器当前版本为准 |
| 操作系统层 | 网卡上手动写死的 DNS 是否抢先生效 | 恢复为自动获取，或交给客户端接管 |
为什么一定要逐层改
DNS 请求有好几条可能的出路。你一次改三处，复测通过了，也说不清到底是哪一处起了作用，下次换设备又得全部重来。逐层改、逐层记，才能积累出自己的经验。
修好以后怎么确认
修复不是点一下就结束，要确认它在日常使用里仍然有效。
- 退出所有浏览器窗口后重新打开，再跑一次检测。
- 切换一次代理模式，再切回来，确认结果没有反复。
- 重启电脑或手机，看开机后自动启动的客户端是否带着正确的 DNS 设置。
- 在较长的使用后再测一次，因为某些系统更新会悄悄恢复网卡设置。
同时，别忘了浏览器还有另一类容易被忽略的暴露渠道，它和 DNS 无关，但同样会让检测站显示“不对劲”，处理思路见 WebRTC 泄露是什么。两项通常需要分别检查。
如果仍然泄露，该把问题交给谁
客户端和浏览器都排查完了，仍然看到本地运营商的 DNS，可以按下表判断是谁的问题：
| 现象 | 更可能的原因 | 谁能处理 |
|---|---|---|
| 所有设备、所有软件都一样 | 路由器或网络层强制了 DNS | 路由器管理员或网络管理员 |
| 只有某一个程序一样 | 该程序自己写了解析逻辑 | 查看该程序的设置，或换用能被接管的方式 |
| 只在某个网络出现 | 当前网络做了解析重定向 | 换网络验证，或联系网络提供方 |
这类情况超出了客户端能做的范围，不必反复折腾客户端。如果你关心的是隐私层面的取舍，可以顺着 安全与隐私导航 找到相关资料，自己判断风险是否在可接受范围内。
下一步怎么做
先用三步比对法确认泄露是否真实存在，再按“代理方式、客户端 DNS、解析方式、浏览器、系统”的顺序逐层修复。想了解 DNS 设置怎么写，读 Clash DNS 设置详解；想了解浏览器层面的另一种暴露，读 WebRTC 泄露；如果问题其实是连不上，回到 梯子连不上怎么办 先把连通性解决。
这篇没有覆盖的
- 梯子岛没有任何检测站的结果数据，本文只教比对和判断的方法，不替你的网络下结论。
- 本文只讲客户端与浏览器一侧的处理，路由器、公司网关层面的 DNS 劫持需要网络管理员处理。
- 检测站本身也依赖它自己的测试方式，单个站点的结论只能当线索，不能当判决。
本文引用的官方来源
- Cloudflare：What is DNS（www.cloudflare.com）
以上链接均为官方页面，梯子岛在 2026-10-10 核对过；个别网站会拦截自动化访问，用浏览器直接打开即可。平台规则可能随时调整，以官方页面当前内容为准。
DNS 泄露常见问题
DNS 泄露一定意味着我的真实 IP 暴露了吗？
不一定。DNS 泄露说的是域名查询走了本地网络的解析服务器，被查询的网站名称会被本地网络看到；它和网站看到的访问来源 IP 是两件事。访问来源 IP 是否正常，要看出口检测，而不是 DNS 检测。两项最好分开看，别混为一谈。
检测站显示的 DNS 服务器地区和节点地区不一致，算泄露吗？
不能只凭地区下结论。很多公共解析服务使用就近接入的方式，显示的位置可能和节点所在地不同。更可靠的做法是看解析服务器所属的机构：如果显示的是你本地网络运营商，才需要处理；如果是一个公共解析服务，通常说明查询确实走了代理一侧。
开了 TUN 模式就不会再有 DNS 泄露了吗？
不是绝对的。TUN 模式让系统流量进入客户端，但域名查询最终由哪一个解析服务器处理，取决于客户端 DNS 设置和规则。TUN 只解决“流量进不进客户端”，DNS 设置解决“查询由谁回答”，两者要一起看。
浏览器里的“安全 DNS”要不要关？
浏览器自带的安全 DNS 会绕开系统与客户端的 DNS 设置，直接向它自己选定的解析服务发请求，常常是检测站显示异常的原因。是否关闭取决于你的目的：想让浏览器的查询跟随客户端规则，就改成使用系统设置；具体选项名称以浏览器当前版本为准。
每次换节点都要重新做一次 DNS 泄露测试吗？
不必每次都测。DNS 取决于客户端设置而不是某个节点，设置没变的话结果通常一致。需要复测的时机是：改了 DNS 设置、换了代理模式、升级了客户端或浏览器，以及换了一个新的网络环境。
接着读
- 排查 · WebRTC 泄露是什么？浏览器暴露真实 IP 的检测与处理
- 教程 · Clash DNS 设置详解：fake-ip 与 redir-host 怎么选
- 排查 · 系统代理不生效怎么办？程序不走代理的排查
- 术语 · Fake-IP是什么意思
- 排查 · 梯子连不上怎么办？按现象分步排查
- 排查 · ChatGPT 打不开怎么办？先查官方状态，再查出口与 DNS