DNS 泄露检测说明

了解 DNS 泄露的原理、随机探针检测方式、结果判读和防护建议。

DNS 泄漏是指网页流量已经通过代理、VPN 或其他隧道转发，但域名解析仍然由本地网络的默认解析器完成。网站看到的是代理出口，而运营商、路由器或公司网络可能仍能看到你请求过的域名。解析出口和网页出口不一致时，就需要检查代理的 DNS 接管方式。

什么是 DNS

DNS（Domain Name System，域名系统）把域名转换成设备可以连接的 IP 地址。浏览器或应用连接一个没有缓存的域名时，通常要先向递归解析器发起查询。递归解析器可能来自运营商、路由器、公司网络，也可能是手动配置的公共 DNS 或加密 DNS 服务。

DNS 查询不包含网页正文，但会暴露查询过的域名和时间顺序。对于流媒体、AI 服务、跨境电商和依赖代理环境的访问，这些信息可能影响隐私、可用性或风控判断。

浏览器代理通常只接管 HTTP(S)，部分 VPN 只改变路由而没有接管 DNS。系统在连接前仍可能使用网卡或路由器下发的解析器。为了按 IP 匹配分流规则而进行的本地解析、未接管的 IPv6 路径、浏览器独立的安全 DNS 设置，也可能让解析绕过代理。

FakeIP 模式会向本机返回占位地址，由代理端完成真实解析；这能减少本地解析暴露，但仍要检查代理规则和备用解析路径是否正确。

浏览器不能直接读取本机 DNS 配置。本页生成 12 位随机 token，为每轮创建一次性子域名，并通过 browserleaks 的 IPv4 和 IPv6 探针发起请求。这些域名没有缓存，递归解析器必须向权威探针查询。探针返回它实际看到的解析器 IP、位置和提供方，页面合并重复记录后展示结果。

结果中的“疑似运营商解析器”按提供方名称启发式识别，只是需要进一步检查的提示。它不等于已经确认泄漏；同样，Google、Cloudflare 等公共解析器也不代表绝对安全。检测结果只说明本轮探针观测到的路径，不能替代系统级抓包或代理配置检查。

很多浏览器代理和部分 VPN 只接管网页连接，DNS 仍按网卡或路由器设置发送。只有完整隧道同时接管 DNS，解析和网页出口才更可能一致。

不一定。探针看到的是递归解析器向权威服务发起查询时的出口地址，可能与设备配置的入口 IP 不同。公共 DNS 可以减少对本地运营商的依赖，但服务商仍能看到查询，且实际路由仍需符合预期。

需要。DoH 和 DoT 主要加密设备到解析服务商之间的连接，不能保证代理执行解析，也不能隐藏域名查询的最终接收方。

不是。无结果只表示本轮没有观测到响应，可能由网络阻断、扩展、探针故障或超时造成。

不会。随机探针和结果聚合在浏览器中完成，IPDO 不读取本机 DNS 配置，也不上传查询历史。探针服务本身可能看到发起解析的网络出口，具体留存方式以该服务商政策为准。