DNS泄露是什么？开了代理为什么还会泄露？
DNS泄露指你的网页流量走了代理/VPN，但域名解析请求没走代理、直接发给了本地运营商的 DNS 服务器，导致"你在访问什么网站"以及你的真实位置被暴露。开了代理仍会泄露，是因为很多客户端只接管了 TCP/HTTP 流量，DNS 查询走的是另一条路。用 DNS 泄露检测 一分钟就能确认。
DNS泄露到底是什么意思？
一句话定义：DNS泄露是指在使用代理或 VPN 时，域名解析请求绕过了加密隧道，直接发给了本地网络（通常是运营商）的 DNS 服务器。你每打开一个网站，浏览器都要先问 DNS"这个域名对应哪个 IP"。如果这一步没走代理，运营商的 DNS 服务器就能看到你访问的每一个域名——即使网页内容本身是加密传输的。更麻烦的是，对方网站和风控系统也能通过 DNS 出口位置推断你的真实所在地：网页流量显示你在美国，DNS 出口却在本地运营商，这个矛盾本身就是问题。
开了代理为什么还会泄露？
结论：代理接管的是"连接"，而 DNS 查询往往不在接管范围内，任何一个环节漏了都会泄露。常见成因有四类：
- 系统 DNS 没有跟随代理：分流规则只覆盖了网页流量，操作系统层面的 DNS 查询仍然发给运营商分配的 DNS 服务器。这是最常见的一类。
- 浏览器 DoH 绕过代理：浏览器自带的"安全 DNS"（DNS over HTTPS）有自己独立的解析通道，配置不当时会绕开代理客户端的接管规则。
- IPv6 DNS 走了直连：不少代理客户端只处理 IPv4，网络同时下发了 IPv6 DNS 地址时，系统会优先用 IPv6 直连解析。
- "绕过大陆"规则把 DNS 也绕过了：部分客户端的分流规则把本地 DNS 服务器地址判定为"国内直连"，于是所有解析请求都直接出去了。
怎么检测我有没有DNS泄露？
最可靠的方法是让浏览器实际发起解析，看解析请求最终从哪里发出，而不是"查询我的 DNS 设置是什么"。本站 DNS 泄露检测 的原理是：页面向你的浏览器下发一组一次性的唯一子域名，浏览器解析这些域名时，请求会最终到达我们的权威 DNS 服务器——谁来解析这些唯一域名，谁就是你真实在用的 DNS 出口。因为子域名是随机生成、全网唯一的，不存在缓存干扰，测出来的就是当下真实的解析路径。检测后对照一个简单标准：DNS 出口应与你的网页访问出口在同一国家/地区。如果网页出口在美国、DNS 出口显示本地运营商，就是典型泄露。
常见泄露场景和修复方法
先说结论：绝大多数泄露都能在代理客户端里通过开启 DNS 接管或关闭冲突设置解决。对照下表定位你的情况：
| 场景 | 检测时的表现 | 修复方法 |
|---|---|---|
| HTTP/SOCKS 代理，系统 DNS 直连 | DNS 出口显示本地运营商 | 在代理客户端开启 DNS 接管（TUN/增强模式），让 DNS 也走代理 |
| 浏览器开启了 DoH"安全 DNS" | DNS 出口显示某公共 DNS 服务商，与代理出口地区不一致 | 关闭浏览器的安全 DNS，或将其指向与代理出口一致的服务 |
| 网络下发了 IPv6 DNS，客户端只管 IPv4 | 部分解析请求从本地 IPv6 出口发出 | 在客户端启用 IPv6 支持，或在系统网络设置中暂时关闭 IPv6 |
| 分流规则把本地 DNS 判为直连 | 网页流量走代理，DNS 全部直连 | 调整分流规则，把 DNS 查询强制走代理或使用远端解析 |
| 切换网络（Wi-Fi ↔ 热点）后 DNS 配置残留 | 时好时坏，换网络后突然泄露 | 切换网络后重启代理客户端，重新检测确认 |
DNS泄露有什么后果？
直接后果是环境矛盾被风控看穿。风控系统看到"网页出口在美国、DNS 出口在本地运营商"时，会直接判定你的网络环境自相矛盾——这比单纯用一个普通 IP 更扎眼。本站首页的封号风险系数（0-100，越高越危险，84-100 为极度危险）会把"DNS 出口是否异国/高风险地区"作为定性因子之一计入评估；它和 IP 类型、是否原生 IP、WebRTC 泄露、时区一致性一起构成整体判断。另一层后果是隐私：本地 DNS 服务器能持续记录你解析过的每个域名，相当于一份完整的浏览清单。
常见问答
DNS泄露会暴露我的真实IP吗？
不直接暴露你的 IP 本身，但会暴露你的真实位置和网络归属。DNS 查询从哪个网络发出，对方就知道你真实接入的是哪家运营商、在哪个地区——对风控来说这和知道真实 IP 差别不大。
用了公共DNS（如 8.8.8.8）还算泄露吗？
要看出口位置，不看服务商名字。判断标准只有一条：DNS 解析请求的出口是否与你的网页访问出口在同一国家/地区。如果你的代理出口在美国，DNS 查询却从本地网络发给公共 DNS，解析请求的来源仍然暴露了你的真实位置，同样算泄露。
没开代理时检测出"本地运营商DNS"是泄露吗？
不是。不用代理时，流量和 DNS 都走本地网络，两者一致，不存在"泄露"。DNS 泄露这个概念只在你希望隐藏真实位置（用了代理/VPN）时才成立。
修好一次就一劳永逸了吗？
不是，建议在关键操作前重测。切换网络、更新代理客户端、浏览器升级后自动开启安全 DNS，都可能让泄露复发。在注册账号、登录风控敏感的服务之前，花一分钟跑一次 DNS 泄露检测 是成本最低的保险。
真实使用场景
一位做跨境电商的读者反馈：店铺后台频繁触发二次验证，但他确认自己一直用同一个美国住宅 IP 登录，百思不得其解。在本站首页查了一下，封号风险系数落在"风险较高"档，明显高于预期。顺着提示到 DNS 泄露检测 一测，网页出口确实在美国，但下发的唯一子域名全部由本地运营商的 DNS 服务器解析——原来他前段时间换了代理客户端，新客户端默认没有开启 DNS 接管。在客户端设置里打开 TUN 模式后重测，DNS 出口回到了与网页出口一致的地区，风险系数随之回落，后台的二次验证也不再频繁弹出。