光速机场

DNS泄漏怎么检查？5步看懂检测结果并按设备排查

更新于 2026-11-03 · mfjc.shop

简答：检查 DNS 泄漏，先关闭 VPN 或代理做一次基线，再开启后用 DNS Leak Test 复测，重点看“实际回答查询的解析器”是否仍是本地运营商或未选择的解析器。解析器地区与出口地区不同不一定代表泄漏，还要结合 Anycast、企业 DNS、浏览器 DoH、IPv6 和分流设置判断。

定义：DNS 泄漏是 DNS 查询实际发送给了你没有选择、或本应由 VPN、代理和指定 DNS 接管之外的解析器。

先做这 5 步：最快确认 DNS 是否走错

  1. 建立基线：暂时关闭 VPN、代理或相关网络客户端，打开 DNS Leak Test，运行标准测试，记录解析器名称、网络运营商和大致地区。
  2. 开启实际连接方案：重新开启 VPN、代理或办公网络连接，保持同一设备、同一浏览器和同一网络，再运行一次测试。
  3. 看实际回答者：重点看测试显示的 resolver，而不是只看系统里填写了哪个 DNS 地址。该检测通过随机主机名观察“谁实际回答了查询”。DNS Leak Test 的说明
  4. 做扩展测试：如果工具支持 deeper、extended 或类似选项，再进行一次较长测试，用来发现只偶尔出现的解析器、IPv6 路径或浏览器 WebRTC 差异。
  5. 修复后复测：先检查客户端 DNS 接管、浏览器安全 DNS、系统 DNS、IPv6 和路由器 DHCP，再清理缓存或重启相关连接，最后重复第二步。

成功标准：开启连接方案后，解析器列表应与方案预期一致，且多次测试不再出现未选择的本地运营商解析器。停止条件：只看到“地区不同”或“检测失败”时，不要直接断言泄漏，应先继续核对解析器名称、ASN、IPv4/IPv6 和浏览器设置。

核验日期：2026-11-03；适用范围：适合普通浏览器在线检查，不等于对操作系统全部 DNS 流量进行抓包审计。

DNS 泄漏、劫持、污染和正常差异不是一回事

现象含义先怎么判断
DNS 泄漏查询绕过了原本应接管它的 VPN、代理、系统或指定 DNS，发给了未选择的解析器。看实际回答查询的解析器是否出现本地运营商、路由器或其他未预期网络。
DNS 劫持查询被网络设备或服务商截获、改写或转发到其他解析路径。对比不同网络、不同 DNS 方式下的解析结果；单靠地区差异不能定性。
DNS 污染解析响应本身出现错误、异常或被修改，导致域名解析到不符合预期的地址。用多个解析器或不同网络对比结果，并确认问题是否只发生在特定域名。
正常地区差异公共 DNS 的 Anycast、企业 DNS、跨区域网络或定位数据库误差，可能让解析器地区与出口地区不同。先看解析器名称、运营商和 ASN，不能只依据国家或城市判断。

DNS 的作用是把域名转换为 IP 地址，查询通常会交给递归解析器处理。Cloudflare DNS 基础说明 因此，检测时真正有价值的是“谁回答了查询、查询从哪条路径出去”，而不是简单比较两个国家名称。

如果页面显示“无法检测”，也不能把它当作“没有泄漏”。探针可能被浏览器扩展、代理规则、防火墙或网络拦截；应更换浏览器或网络重试，并把结果标记为“证据不足”。检测工具的结果说明

怎么看检测结果：解析器、出口 IP、IPv6 与浏览器 DoH

1. 解析器名称比地区更重要

优先记录解析器的名称、运营商、ASN、IPv4 或 IPv6 地址，以及是否同时出现多个解析器。若开启 VPN 或代理后仍稳定出现本地运营商解析器，才值得继续排查接管范围。公共 DNS 或企业 DNS 可能通过 Anycast 从邻近地区响应，因此“解析器国家与出口国家不一致”不是单独成立的泄漏证据。

2. 多个解析器不一定等于泄漏

多个解析器可能来自主 DNS、备用 DNS、IPv4 与 IPv6 两条路径，也可能是系统、浏览器和客户端分别发起查询。关键是确认这些解析器是否都在你的预期范围内，以及是否有查询偶尔回到本地网络。

3. 浏览器 DoH 可能绕过系统设置

DNS over HTTPS 会把 DNS 查询封装在 HTTPS 中，Firefox 官方说明中也明确区分了浏览器自己的 DoH 与系统默认解析器；在默认保护模式下，浏览器还可能因网络、企业策略或 VPN 状态而回退到系统 DNS。Mozilla Firefox 的 DoH 说明

排查时应在浏览器设置中查看“DNS over HTTPS”或“安全 DNS”，确认它是关闭、自动、指定服务商还是强制启用。不要一边让代理客户端接管 DNS，一边让浏览器固定使用另一套 DoH，再根据地区差异直接下结论。

4. IPv6 要单独确认

如果连接方案只处理 IPv4，而系统或路由器仍提供 IPv6，DNS 查询和访问连接可能走不同路径。测试时应记录结果中是否出现 IPv6 解析器；如果关闭 IPv6 后结果改变，只能说明 IPv6 是需要继续定位的变量，并不自动证明泄漏。

按设备排查：Windows、macOS、Android 和 iPhone

Windows

  1. 前置条件：记录当前连接方案和测试结果，使用命令提示符检查系统配置。
  2. 操作步骤：运行 ipconfig /all 查看各网络适配器的 DNS 配置；需要清理本机 DNS 缓存时运行 ipconfig /flushdns。
  3. 验证现象：刷新缓存后重新打开测试页面，并观察解析器列表是否变化。Microsoft 说明中，/flushdns 用于清空并重置 DNS 客户端缓存，不能单独改变 DNS 接管路径。Microsoft ipconfig 文档
  4. 回退方式：如果清缓存后连接异常，先恢复原来的 DNS、代理和 IPv6 设置，再重启浏览器或网络适配器。

macOS

  1. 前置条件：确认当前使用的是 Wi-Fi、以太网还是虚拟网络服务。
  2. 操作步骤：打开“系统设置”→“网络”，选择当前服务→“详细信息”→“DNS”，检查 DNS 服务器列表；Apple 官方路径支持查看、添加和移除 IPv4 或 IPv6 DNS 地址。Apple macOS DNS 设置
  3. 验证现象：关闭浏览器自定义 DoH 后重新测试，再恢复设置进行对照，判断问题来自浏览器还是系统网络服务。
  4. 回退方式：不要直接删除企业或办公网络下发的 DNS；先记录原值，测试结束后恢复。必要时可使用 macOS 的网络位置功能建立临时配置进行排查。Apple macOS 网络位置说明

Android

  1. 前置条件：确认设备系统是否提供“私人 DNS”选项，且当前连接的 VPN 或网络客户端没有单独的 DNS 设置。
  2. 操作步骤：打开“设置”→“网络和互联网”→“私人 DNS”，查看当前是关闭、自动还是指定提供商主机名。Google 的设备帮助页列出了这三种选项。Google Pixel 网络设置说明
  3. 验证现象：每次只改一个变量，例如先保持私人 DNS 不变、暂时关闭浏览器安全 DNS，再测试；不要同时更换 DNS、VPN 和 Wi-Fi。
  4. 回退方式：恢复为原来的“自动”或设备管理者要求的选项。若只在某个 Wi-Fi 下异常，还要检查路由器 DHCP 下发的 DNS。

iPhone

  1. 前置条件：连接到需要检查的 Wi-Fi，并确认蜂窝数据辅助功能不会改变测试网络。
  2. 操作步骤：打开“设置”→“Wi-Fi”→当前网络右侧信息按钮，在网络详情中查看可配置的 DNS、HTTP 代理等选项。Apple iPhone Wi-Fi 设置
  3. 验证现象：在同一 Wi-Fi 下关闭并重新连接相关 VPN 或代理，再进行基线与复测；如果只在蜂窝网络正常，说明 Wi-Fi、路由器或其 DNS 下发仍需排查。
  4. 回退方式：恢复原 DNS 和代理设置，不要在不了解配置来源时直接重置网络设置，因为这会删除已保存的 Wi-Fi、VPN 和 APN 信息。

修复顺序：先找出是哪一层绕过了 DNS

  1. 先查浏览器：暂时关闭或调整安全 DNS/DoH，重新测试。如果结果恢复，说明浏览器可能使用了独立解析路径；Firefox 官方也说明 DoH 可在默认解析器、指定解析器和回退模式之间切换。Mozilla 网络与 DoH 说明
  2. 再查客户端：在 VPN 或代理客户端中寻找 DNS 接管、远程 DNS、代理 DNS、Fake-IP、TUN 或 IPv6 相关选项。不同客户端和内核的字段名称、工作方式不同，未核实具体客户端时不要直接复制配置。
  3. 再查系统：确认 Windows、macOS、Android 或 iPhone 没有残留的手动 DNS、备用 DNS 或独立网络服务。
  4. 最后查路由器：检查 DHCP 下发的 DNS、IPv6 RA/DHCPv6 和家用路由器的 DNS 重定向。企业网络、校园网和办公网络可能有自己的内部 DNS，不应未经确认删除。
  5. 清理后复测：Windows 可使用 ipconfig /flushdns 清理 DNS 客户端缓存；其他系统优先重连网络、重启浏览器或按当前系统提供的网络重置选项处理。清缓存只会清除旧记录，不会自动修复错误的 DNS 路径。

停止条件：如果检测结果只显示地区不同、解析器属于企业网络或公共 Anycast，且多次测试没有出现未预期的本地解析器，不要继续反复更换 DNS。若仍有间歇性异常，应保留测试时间、网络、客户端模式和解析器列表，再按 IPv4、IPv6、浏览器与路由器逐项复现。

常见问题

开了 VPN 后，DNS 解析器和出口 IP 不在同一个国家，是否一定泄漏？

不一定。Anycast、企业 DNS、公共解析器的就近响应和定位数据库误差都可能造成地区不一致。先看解析器名称、运营商、ASN，以及是否出现本地运营商或未选择的解析器；单看国家不能定性。

把 DNS 改成公共 DNS，就能解决 DNS 泄漏吗？

不能保证。更换地址只是改变“谁可能收到查询”，如果查询仍绕过 VPN、代理、浏览器或路由器的预期路径，仍可能存在路径问题。应先确认实际回答查询的解析器，再决定是否调整 DNS。

在线检测显示“无法检测”，是不是说明没有泄漏？

不是。探针可能被扩展、严格隐私设置、代理规则、防火墙或网络拦截。可以换浏览器、关闭影响检测的扩展或切换测试网络，但“无法检测”只能表示证据不足。

DNS 泄漏会不会等同于网页内容被看到？

不等同。DNS 查询可能让解析服务商知道你请求解析的域名，但它与网页正文、完整访问内容和账号数据不是同一层信息。检测结果应按实际解析路径理解，不要把 DNS 泄漏直接扩大解释成所有流量都被读取。

为什么同一台设备每次检测结果不完全一样？

可能是缓存、备用 DNS、IPv4/IPv6 路径、浏览器 DoH、分流规则或解析器负载均衡造成的。可以在同一网络下连续运行标准与扩展测试，并记录时间和解析器列表；只出现一次的异常需要复现后再处理。

常见问题

DNS 泄漏怎么检查最快？

关闭 VPN 或代理做基线，开启后用 DNS Leak Test 复测，重点查看实际回答查询的解析器、运营商和 ASN；不要只看解析器国家。

DNS 泄漏测试显示地区不一致怎么办？

先不要直接判定泄漏。检查解析器名称、Anycast、企业 DNS、IPv4/IPv6 和浏览器 DoH；只有出现未选择的本地或异常解析器时，才继续修复路径。

Windows 检查 DNS 泄漏要输入什么命令？

可用 <code>ipconfig /all</code> 查看适配器 DNS 配置，用 <code>ipconfig /flushdns</code> 清理本机缓存；命令不能替代在线复测，也不会自动改变 DNS 接管路径。

Android 的私人 DNS 会影响检测吗？

会。私人 DNS 可能让系统查询使用独立的加密 DNS 路径，检查时应记录其处于关闭、自动还是指定提供商状态，并一次只调整一个变量。

浏览器安全 DNS 和 VPN DNS 冲突怎么办？

先暂时关闭或调整浏览器 DoH，再复测；如果结果变化，说明浏览器可能没有使用系统或客户端预期的 DNS 路径，之后按实际客户端能力重新配置。

相关阅读

参考资料

  1. DNS Leak Test：实际回答 DNS 查询的解析器、扩展测试与检测边界
  2. Cloudflare Learning：DNS、递归解析器与域名解析过程
  3. Mozilla Firefox Help：DNS over HTTPS 保护级别与回退行为
  4. Microsoft Learn：ipconfig、/all 与 /flushdns 命令说明
  5. Google Pixel Help：Android 私人 DNS 设置
  6. Apple Support：iPhone Wi-Fi、DNS 与代理设置
  7. Apple Support：macOS 网络服务 DNS 设置
  8. support.apple.com
  9. support.mozilla.org