DNS 泄漏是什么？怎样判断解析是否符合预期
DNS 泄漏描述的是解析请求没有遵循你希望采用的隐私或网络路径。例如，企业要求业务域名通过指定通道解析，实际请求却交给了未经授权的解析服务。判断的起点是明确预期，再核对观察到的结果；某个国家标签、公共 DNS 名称或地址数量，都不能单独完成这个判断。
一、先认识查询经过的不同角色
浏览器需要把域名转换为可连接的地址。查询可能交给操作系统，再由配置的递归解析器继续查找；浏览器也可能采用自己的加密 DNS 服务。递归解析器会利用缓存，并在需要时向上游或权威服务器请求记录。权威服务器负责给出它所管理域名的记录，并不一定直接收到终端设备发来的数据包。
检测页面显示的“DNS 出口”通常是测试服务观察到的解析来源。它可能属于公共递归服务、运营商或转发链路的出口。这个地址不必与浏览器访问网页时的公网 IP 相同，也不必等于系统设置里填写的 DNS 地址。把这些角色区分开，才不会把正常转发误认为配置失效。
二、本站检测实际观察什么
DNS 检测页请求一组测试标识，再让浏览器访问相应测试域名，汇总检测服务记录到的解析出口。新的域名有助于减少旧记录缓存的影响，但请求仍可能被扩展、浏览器策略或网络规则拦截，也可能遇到探测服务超时。
结果表格记录的是这次测试发生时的观察。它不能完整代表设备上每个应用，更不是网络抓包。终端、容器、远程桌面和浏览器可能采用不同配置；只在浏览器里测试成功，不能据此宣称所有应用都走同一条路径。保存结果时，请同时写明设备、浏览器和测试时间。
三、为什么不能只对比国家
解析服务可能采用分布式部署、多个出站节点和上游转发。IP 归属数据库也有更新延迟和位置误差。网页出口标为一个国家、解析出口标为另一个国家，是值得核对的现象，却不能直接证明终端位置、完整路由或隐私设置是否失效。
反过来，两个地址都被标为同一国家，也不能证明解析已经进入指定通道。本地直连和通道内的解析服务可能获得相同国家标签。验收应看采用的服务是否经过授权、客户端规则如何命中，以及必要时管理员能提供的日志证据。
四、不同配置需要不同预期
- 普通家庭网络：没有要求采用其他解析服务时，看到运营商解析器可以符合正常设计。不要为了改变结果颜色而随意关闭功能。
- 浏览器加密 DNS：解析出口与系统默认解析器不同可能是有意配置。需要确认该服务及其连接路径符合隐私要求。
- 企业专用通道：公开域名与内部域名可能按不同规则解析。遵循管理员的分流方案，避免把内部名称发给公共服务。
- 代理或 VPN：确认产品覆盖哪些应用、协议和地址族，再检查 DNS 是否在该范围内。代理开关亮起不说明每类连接均已接管。
五、DoH、IPv6 和缓存各自影响什么
DoH 通过 HTTPS 传送 DNS 查询，保护的是客户端与解析服务之间的传输。它不自动决定应信任哪家服务，也不保证和网页请求采用相同出口。DoH 是否经过某个网络通道，需要结合应用配置与路由核对。[Cloudflare DoH 说明]
IPv6 是另一种 IP 地址体系，不是泄漏的同义词。出现意外直连时，检查客户端是否正确处理相应地址族。缓存则影响是否需要重新查询某个域名，与查询传输方式是两回事。不要只凭“刷新后少了一个地址”判断修复完成，也不必把全局禁用 IPv6 作为固定第一步。
六、怎样保存一次有用的排查记录
- 先写预期：希望由谁解析，哪些应用在测试范围内，内部域名是否另有规则。
- 记录网络名称、设备、浏览器、客户端版本，保存设置摘要与当前结果。
- 每次只改一项相关设置，保持其他条件不变，再运行同一种测试。
- 比较服务名称、出口集合和错误提示，不只比较国家、分数或颜色。
- 观察仍解释不通时，结合客户端日志或向管理员求证，注明不能确定的部分。
例如，假设系统按设计使用服务 A，而浏览器独立配置了服务 B。测试看到 B 后，应查看浏览器设置和 B 的用途。如果 B 已获授权，这可能是正常差异；如果组织要求统一采用 A，再在批准范围内修改浏览器设置并复测。这是帮助理解方法的假设示例，不代表真实读者反馈。
七、检测能说明哪些隐私信息
解析服务可能了解向它查询的域名，但域名记录不等于完整页面 URL、正文或一次实际访问。后台更新、预取和其他应用也会查询。有些解析链路还使用 EDNS Client Subnet 传递客户端网段信息，具体取决于相关服务，不能一概断言权威服务器永远看不到客户端线索。[RFC 7871]
如果目标是保护特定信息，先说明希望向谁减少披露，再选择配置和验证方式。本站参考分不能代替这种分析，也不能证明平台将怎样处理账号。继续阅读DNS 结果组合排查和DNS 配置修复流程，把观察、解释和下一步操作分别记录。