DNS 泄露检测

什么是 DNS 泄漏？

DNS 泄漏（DNS Leak）是指你已经通过代理、VPN 或其他通道访问网络，但域名解析仍由本地网络的默认解析器完成。这样一来，网站流量看到的是代理出口，而运营商、路由器或网络管理员仍可能看到你请求过哪些域名，访问出口与解析出口也可能出现不一致。

DNS 泄漏检测是网络隐私和 IP 纯净度检测的补充。跨境电商、AI 应用、流媒体和代理用户可以把 DNS、WebRTC 与 IP 出口结果放在一起比较，排查是否有某一类请求绕过了代理。解析器与出口不同并不必然代表泄漏，还需要结合你的代理配置和预期解析路径判断。

什么是 DNS？

DNS（Domain Name System，域名系统）负责把域名转换成设备可以连接的 IP 地址，例如把 baidu.com 解析成一个 IPv4 或 IPv6 地址。浏览器打开网站、应用连接服务，或系统访问一个此前没有缓存的域名时，通常都要先完成 DNS 查询。负责递归查询的服务器可能是运营商下发的解析器，也可能是你手动配置的公共 DNS、企业 DNS 或加密 DNS 服务。

DNS 泄漏为什么会发生？

网页代理通常只接管 HTTP(S) 流量，部分 VPN 或代理客户端也只改变路由而没有接管 DNS。系统在建立连接前仍可能向网卡配置的解析器发起查询；某些分流规则为了按 IP 匹配域名，还会触发额外解析。此时网页请求走代理，DNS 请求却走本地运营商，就形成了典型的 DNS 泄漏。FakeIP、域名分流、IPv6 旁路和浏览器独立的安全 DNS 设置，也可能让实际解析路径与预期不同。

为什么要关注 DNS 泄漏？

DNS 查询本身不包含网页内容，但会暴露你想访问的域名和时间顺序。运营商、公司或学校网络可能据此建立访问记录；流媒体、AI 服务和风控严格的网站也可能发现解析位置与访问出口不一致，从而影响可用性或触发额外验证。对普通网站而言影响可能有限，对隐私敏感或依赖代理环境的访问则更值得检查。

这次检测做了什么？

浏览器不能直接读取本机的 DNS 配置，因此本页使用一次性随机域名观察递归解析器最终从哪里访问权威探针。探针结果只能说明本次请求被哪些解析器看到，不能替代系统级抓包或配置检查。

1. 生成 12 位随机 token，并为每次检测创建互不相同的一次性子域名，避免读取缓存结果。
2. 将请求分散到 browserleaks 的 IPv4 与 IPv6 探针端点，让当前递归解析器主动解析这些新域名。
3. 读取探针返回的解析器 IP、国家/地区、位置和网络提供方，并合并重复记录。
4. 根据提供方名称标记可能的运营商解析器。这个标记是启发式提示，不等于已经确认泄漏，也不代表公共 DNS 就绝对安全。

如何理解检测结果？

• 解析器与网页出口属于同一网络或同一预期路径：通常说明解析没有明显绕行，但仍要结合代理的 DNS 接管方式判断。
• 出现运营商或本地宽带解析器，而网页出口在其他地区：这是需要重点关注的 DNS 泄漏信号，建议检查代理是否接管 DNS。
• 只看到 Google、Cloudflare、Quad9 等公共解析器：说明请求交给了公共服务商，但服务商仍能看到你的域名查询；它不自动等于安全或泄漏。
• 没有观察到任何解析器：可能是网络阻断、浏览器扩展、探针故障或请求尚未完成。无结果不能证明没有 DNS 泄漏，建议更换网络后重测。

如何降低 DNS 泄漏风险？

优先让代理或 VPN 接管完整的 DNS 路径，再根据使用场景选择加密解析和分流规则。修改配置后，请刷新页面重新检测；不同客户端的名称可能不同，但目标都是让域名解析与实际流量走同一条预期路径。

• 优先使用 VPN 的 TUN 模式，或代理客户端的 Tun + FakeIP 模式，让本地只接触占位地址、真实解析在代理端完成。
• 路由规则尽量按域名匹配；需要按 IP 匹配时使用 no-resolve，避免为了匹配规则在本地提前解析。
• 可以启用 DoH 或 DoT 加密 DNS，减少传输途中被旁观或篡改的机会，但加密不会让最终解析服务商失去查询记录。
• 检查 nameserver-policy、IPv6、浏览器安全 DNS 和路由器 DHCP 配置，避免某一条备用路径绕过代理。

常见问题