DNS leak怎么检查？一次对比判断 DNS 是否泄漏
简答：DNS leak 最可靠的检查方式是先断开网络代理或 VPN 测试一次，再连接后复测并对比实际响应的 DNS 解析器。若开启后仍出现本地运营商或路由器解析器，继续检查 IPv6、浏览器 DoH、分流和 Kill Switch；修复后必须重新测试。
定义：DNS leak（DNS 泄漏）是指域名查询没有按预期经过指定的连接通道，而是被系统、路由器、浏览器或其他应用交给了未预期的 DNS 解析器。
先看结论：DNS leak怎么检查最快
如果你只想快速判断，按下面顺序操作：先断开代理或 VPN，打开 DNS 检测页面并记录解析器；再连接代理或 VPN，重新运行标准测试；最后使用深度测试或重复测试确认是否存在间歇性泄漏。检测重点不是只看设备里填写了哪个 DNS，而是看实际响应查询的解析器是谁。
| 测试状态 | 重点记录 | 如何判断 |
|---|---|---|
| 连接关闭 | 解析器名称、网络归属、IPv4 与 IPv6 | 作为基线，不单独代表泄漏 |
| 连接开启 | 实际响应查询的解析器 | 应与当前连接方案的预期一致，不能只看 DNS 地址是否变化 |
| 深度或重复测试 | 是否出现额外解析器、IPv6 或间歇性结果 | 只出现部分请求走向另一解析器时，需要继续排查 |
可使用 DNS Leak 实际解析器检测工具查看谁真正响应了随机域名查询。该工具说明，设备只能显示配置了哪个解析器，不能单独证明最终是谁回答了 DNS 请求；深度测试会在更长时间内发送更多查询，用于发现偶发结果。
DNS leak、IP 泄漏、IPv6 泄漏和 WebRTC 泄漏有什么区别
这几个概念经常被混在一起，但检查对象不同。DNS leak 关注域名解析请求交给了谁；IP 泄漏关注网页或服务看到的公网地址是否仍是本地网络地址；IPv6 泄漏关注 IPv6 流量或 IPv6 DNS 是否绕过了预期通道；WebRTC 泄漏则是浏览器功能可能向网页暴露额外网络地址。
| 问题 | 检查对象 | 看到异常时先查什么 |
|---|---|---|
| DNS leak | 实际响应 DNS 查询的解析器 | 连接客户端的 DNS 防护、系统 DNS、路由器和浏览器 DoH |
| IP 泄漏 | 网页看到的公网 IPv4 或 IPv6 | 连接是否生效、IPv6 是否单独直连 |
| WebRTC 泄漏 | 浏览器 WebRTC 暴露的地址 | 浏览器权限、扩展和 WebRTC 设置 |
因此，DNS 检测页面显示的解析器异常，并不等于网页一定看到了你的真实公网 IP；反过来，公网 IP 已变化，也不能证明所有 DNS 查询都经过了预期通道。应分别测试、分别修复。
标准检查流程：关闭一次、开启一次、再做深度复测
- 准备基线。暂时断开代理或 VPN，关闭不必要的网络加速、分流和浏览器隐私扩展。打开检测页面，运行一次标准测试，记录解析器名称、网络归属以及是否有 IPv4、IPv6、WebRTC 项目。
- 连接后复测。重新连接客户端，确认客户端状态显示已连接，再用同一浏览器、同一网络运行测试。不要只比较解析器数量，也要看解析器所属网络是否符合当前连接方案。
- 运行深度测试。如果标准测试正常但仍怀疑偶发泄漏，运行页面提供的深度测试，或间隔一段时间重复两到三次。DNS Leak 页面说明，部分查询走向另一解析器时可能属于部分泄漏，不能只因第一次结果正常就结束。
- 保存结果但不要暴露敏感信息。记录测试时间、系统、客户端模式和解析器归属即可。不要把账号、订阅内容、Cookie、访问令牌或工作系统域名提交给检测页面。
“看到 ISP”不等于在任何场景下都能直接定性为泄漏：如果测试是在连接关闭时进行，ISP 解析器通常只是基线；如果连接开启后仍出现本地 ISP 或路由器解析器，才值得重点排查。另一方面，看到第三方解析器也不自动代表异常，关键是它是否符合你的连接方案和配置预期。
Windows 命令行怎么辅助检查 DNS
Windows 自带的 nslookup 命令可以显示 DNS 查询使用的默认服务器，并支持指定解析器进行对照。它适合检查系统当前配置，不足以替代网页端的实际解析器检测。
在 Windows 命令提示符中执行下面的命令，查询一个公开域名：
nslookup example.com
输出中的 Server 和 Address 是本机当前选择的 DNS 服务器。连接关闭和开启各执行一次，比较默认服务器是否改变。也可以明确指定某个 DNS 服务器做对照：
nslookup example.com 1.1.1.1
如果只是想检查 IPv6 记录，可执行：
nslookup -type=AAAA example.com
请注意：nslookup显示的是客户端配置和查询路径中的信息，不能单独确认所有应用的请求都走同一条路径。浏览器可能启用自己的 DNS over HTTPS，路由器也可能覆盖终端设置，所以命令行结果正常时仍应在实际使用的浏览器中复测。
发现 DNS leak 后，按这个顺序修复
- 先检查客户端的 DNS 防护。确认客户端没有启用会绕过连接隧道的自定义 DNS、分流 DNS 或单独的直连模式。不同客户端菜单名称不完全相同，应优先查看 DNS、路由、分流、TUN 或 Kill Switch 相关设置。
- 检查系统 DNS 是否被手动固定。Windows 可在“设置 → 网络和 Internet → 当前网络适配器 → DNS 服务器分配”查看；macOS 可在“系统设置 → 网络 → 当前接口 → 详细信息 → DNS”查看。若配置与客户端要求冲突，先记录原值，再恢复自动获取或按客户端文档设置。
- 检查 IPv6。如果检测结果只在 IPv6 项目中出现本地解析器，说明 IPv4 正常不能代表 IPv6 也正常。检查客户端是否支持 IPv6 保护；不支持时，按网络环境和客户端说明选择关闭 IPv6 或完成 IPv6 路由配置，不要只更换 DNS 地址。
- 检查浏览器 DoH。Firefox 的路径是“菜单 → 设置 → 隐私与安全 → DNS over HTTPS → 高级设置”。Mozilla 说明，Firefox 的 DoH 可以使用默认、增强、最大、自定义或关闭等保护级别；启用后，浏览器可能不再使用系统 DNS。若你要检查系统级连接是否泄漏，先暂时统一浏览器和客户端的 DNS 策略，再测试。
- 检查路由器和分流应用。如果电脑命令行、浏览器和其他应用结果不一致，可能是路由器、应用内 DNS、代理规则或网络管理软件分别接管了解析请求。逐个退出分流应用，只保留一个连接入口，再复测。
- 连接中断时检查 Kill Switch。如果连接短暂中断后网页仍能打开，DNS 请求可能回落到系统默认解析器。启用客户端提供的 Kill Switch 或阻断断线直连功能，然后在手动断开和自动重连场景下分别测试。
不要把“换成另一个公共 DNS”当作通用修复。DNS Leak 检测说明指出，更换解析器只是改变了由谁接收查询；如果请求仍被客户端、操作系统、路由器或浏览器转移，问题本身并没有解决。
浏览器 DoH 为什么会让结果看起来不一致
DNS over HTTPS 会把浏览器的 DNS 查询通过 HTTPS 发送给 DoH 服务商。Mozilla 的官方说明显示，Firefox 可以根据保护级别选择默认解析器、指定服务商，或在网络条件不满足时回退到默认解析器。这样会出现一种常见情况：Windows 的 nslookup显示系统 DNS，Firefox 页面却使用另一套解析路径。
排查时建议固定变量：使用同一台设备、同一网络、同一浏览器，先查看浏览器 DoH 状态，再分别测试连接关闭和连接开启。若目的是确认客户端是否接管所有 DNS，可暂时关闭浏览器自定义 DoH 后复测；若目的是确认浏览器自身隐私设置，则应单独记录 DoH 使用的解析器，不能把两类结果混为一谈。
Firefox 的设置路径和保护级别可参考 Mozilla Firefox DNS over HTTPS 设置说明。企业网络、家长控制、网络策略或连接状态都可能影响 DoH 是否启用，因此看到“未启用”不一定就是故障，需要结合页面显示的原因判断。
最后核对：测试结果的边界
- 检测页面主要观察 DNS 查询和部分浏览器网络信息，不能证明所有应用、后台服务和其他设备都使用同一路径。
- 浏览器测试正常，不代表路由器、命令行工具或移动应用没有单独配置 DNS。
- 多个解析器不一定等于泄漏；要结合连接关闭时的基线、连接方案预期和是否出现本地解析器判断。
- DNS leak 通常说明域名查询路径与预期不一致，不等于完整浏览记录、账号内容或所有流量都已暴露。
- 最后核对：2026-10-26。页面是网络排查资料，本站为第三方使用指南站，不是任何客户端或检测工具的官方页面。
常见问题
DNS leak怎么检查，必须连接 VPN 吗？
不必须。没有连接时可以先做基线测试；连接代理或 VPN 后再复测，重点比较实际响应的解析器是否按预期变化。没有连接时看到本地 ISP DNS，不能单独判定为泄漏。
看到 ISP 的 DNS 就一定是 DNS 泄漏吗？
不一定。要先确认测试是在连接关闭还是连接开启状态。连接关闭时它可能只是正常基线；连接开启后仍出现本地 ISP 或路由器解析器，才需要重点检查客户端、IPv6、路由器和浏览器 DoH。
换一个公共 DNS 能修复 DNS leak 吗？
通常不能直接修复。更换 DNS 只改变了接收查询的解析器，如果请求仍被路由器、系统、浏览器或分流应用绕过预期通道，泄漏路径仍然存在。应先定位是谁接管了 DNS。
DNS leak 检测正常，但某个应用仍然连接异常怎么办？
网页检测主要反映当前浏览器会话，不能覆盖所有应用。检查该应用是否有独立 DNS、代理、TUN、IPv6 或分流设置，并在关闭其他网络工具后单独复测。
DNS leak 修复后为什么还要重新测试？
因为修改 DNS、IPv6、浏览器 DoH 或 Kill Switch 后，实际查询路径可能发生变化。修复完成后要在相同网络、相同客户端和相同浏览器条件下重复标准测试，必要时再做深度测试。
相关阅读
参考资料
- DNS Leak 实际解析器检测与测试说明（dnsleak.dev）
- Proton VPN：DNS 泄漏原理、检查与常见原因（protonvpn.com）
- Microsoft Learn：nslookup 命令
- Mozilla Support：Firefox DNS over HTTPS 设置与保护级别