DNS 泄露是一种隐私漏洞，当您的 DNS 查询——将 google.com 等域名转换为 IP 地址的 解析请求——绕过加密隧道，直接发送到您 ISP 的服务器时就会发生。即使开启了 VPN，您的 网络服务提供商仍能看到您访问的每一个网站。立即在 whatsmy.fyi 上检查您的 DNS 安全状态。
什么是 DNS？
DNS（域名系统）是互联网的电话簿。每次您在浏览器中输入网址，您的设备就会发送一个 DNS 查询，询问"这个域名对应的 IP 地址是什么？"由 ISP 运营的 DNS 解析器查找答案并返回 IP， 以便您的浏览器建立连接。
默认情况下，这个查询通过 UDP 53 端口以明文方式发送。您的 ISP 可以记录每一条 DNS 查询， 在从不查看流量内容的前提下，建立您浏览习惯的详细档案。
什么是 DNS 泄露？
当您使用 VPN 时，包括 DNS 查询在内的所有互联网流量都应通过加密的 VPN 隧道，并从 VPN 提供商的服务器 出口。DNS 泄露发生在您的设备绕过这个隧道，直接将 DNS 查询发送到 ISP 的 DNS 解析器时。
结果是：VPN 隐藏了您的 IP 地址并加密了浏览数据，但您的 ISP 仍然收到了您访问的每个 域名的完整记录。加密隧道保护了您的流量，但 DNS 请求却从隧道外泄露了出去。
为什么会发生 DNS 泄露？
DNS 泄露并非故意为之——它源于错误配置和操作系统处理网络切换的方式：
- 分流隧道 DNS：某些 VPN 客户端使用分流隧道，仅将特定流量路由经过 VPN。如果 DNS 未被明确包含在隧道中，查询将通过默认网络接口发出。
- 操作系统 DNS 回退：Windows 尤其如此，有一个名为"智能多宿主名称 解析"的功能，会同时向所有可用网络接口发送 DNS 查询，并使用最先响应的结果——通常 是本地 ISP。
- IPv6 DNS 泄露：许多 VPN 只隧传 IPv4 流量。如果您的设备有 IPv6 连接，DNS 查询可能通过未受保护的 IPv6 接口传出。
- DHCP DNS 覆盖：连接到网络时，DHCP 会分配一个 DNS 服务器。如果 您的设备接受此分配而非使用 VPN 的 DNS，查询就会泄露到该服务器。
如何测试 DNS 泄露
whatsmy.fyi 上的 DNS 安全卡片会检查您的网络是否允许 DNS over HTTPS，以及您的连接是否通过已知 VPN 提供商路由流量。如果您使用 VPN，该卡片会确认您的 DNS 查询是否通过隧道加密。
要进行确定性的 DNS 泄露测试，专用工具会使用自定义权威名称服务器的技术。它们为您分配 一个唯一子域（如 abc123.test.dnsleak.com），从您的浏览器触发对该子域的 DNS 查询，然后检查是哪个 DNS 服务器实际解析了该查询。如果是 ISP 的解析器而非 VPN 的 解析器，则存在 DNS 泄露。
如何修复 DNS 泄露
方法一：使用内置 DNS 泄露保护的 VPN
大多数知名 VPN 提供商将 DNS 泄露保护作为功能之一。这会强制所有 DNS 查询通过 VPN 隧道， 防止操作系统使用任何其他解析器。在 VPN 客户端中查找此设置并确保已启用。
方法二：配置注重隐私的 DNS 解析器
切换到不记录查询的 DNS 提供商可以大幅降低风险。常见选项：
- Cloudflare 1.1.1.1 — 快速、隐私优先，不记录查询。支持 DNS over HTTPS 和 DNS over TLS。
- Google 8.8.8.8 — 广泛使用、稳定可靠。出于安全和滥用防范目的会 记录部分查询。
- Quad9 9.9.9.9 — 注重隐私，内置恶意软件拦截。由非营利组织运营。
- NextDNS — 完全可配置，提供您自己控制的详细查询日志。
方法三：启用 DNS over HTTPS（DoH）
DNS over HTTPS 通过将 DNS 查询封装在 HTTPS 中来加密它们。与通过 UDP 发送明文查询的传统 DNS 不同，DoH 使用与网站相同的加密协议 向 Web 服务器发送查询。您的 ISP 只能看到发往 DoH 提供商的 HTTPS 流量，而不是您解析 的各个域名。
现代浏览器内置 DoH 支持：
- Firefox：设置 → 隐私与安全 → DNS over HTTPS。选择"最大保护" 可屏蔽所有非 DoH 查询。
- Chrome / Edge：设置 → 隐私和安全 → 安全 → 使用安全 DNS。启用 并选择提供商。
- 操作系统级别（Windows 11、macOS 13+）：两者均支持操作系统级别的 DoH，保护所有应用程序——而非仅限浏览器。
DNS 泄露与 WebRTC 泄露
DNS 泄露和 WebRTC 泄露 是两个独立的问题，但都可能在使用 VPN 时暴露您的真实身份。WebRTC 泄露直接暴露您的真实 IP 地址；DNS 泄露暴露您访问的网站。您应该同时测试两者。whatsmy.fyi 在同一页面上检查 两者。
DNS over HTTPS 能解决所有问题吗？
DoH 可以防止您的 ISP 在传输过程中读取您的 DNS 查询，但不会让您匿名。DoH 提供商仍然 会收到您的 DNS 查询。Cloudflare 1.1.1.1 和 Quad9 已发布强有力的不记录政策，但您只是 将信任从 ISP 转移到了 DoH 提供商。要获得最大隐私，请将 DoH 与 VPN 结合使用。
此外，DoH 不会隐藏您正在连接到特定 IP 地址这一事实——只是隐藏了初始名称解析步骤。即使 启用 DoH，网络元数据分析仍可能揭示您使用的服务。
常见问题
不用 VPN 也会有 DNS 泄露吗？
严格来说不会——"泄露"意味着流量绕过了预期的安全通道。没有 VPN 时，所有 DNS 查询默认 发往您的 ISP，这是正常操作。风险在于您的 ISP 会记录并可能将这些数据变现。解决方案是 切换到注重隐私的 DNS 解析器或启用 DNS over HTTPS。
DNS 泄露会暴露我的密码或浏览内容吗？
不会。DNS 泄露只暴露您访问的域名（如 google.com），不会暴露连接内容。您的 密码、消息和页面内容仍受 TLS 加密保护。但是，在大多数隐私框架中，您访问的域名列表被视为敏感元数据。
切换到 1.1.1.1 会提升网速吗？
通常会。DNS 解析速度影响您输入地址后浏览器开始加载页面的速度。Cloudflare 1.1.1.1 在独立基准测试中一贯位列最快公共 DNS 解析器。更快的 DNS 解析可以降低感知延迟——您 可以在连接的 延迟 中看到当前 DNS 解析时间的反映。
