DNS 泄漏是什么？代理环境下 DNS 泄漏的成因、检测与避免方法

DNS 泄漏的直接解释

访问任何网站之前，设备都要先把域名解析成 IP 地址。正常的代理环境中，代理域名的解析要么交给代理客户端处理，要么随连接一起交给远端节点完成。如果解析请求绕过了这套机制，直接发给了本地运营商或系统默认的 DNS 服务器，就是 DNS 泄漏。

泄漏不会暴露你访问的具体内容，但会暴露访问了哪些域名；同时可能拿到被污染的解析结果，导致连接失败。对依赖环境一致性的服务来说，DNS 出口与代理出口地区不一致，也会成为一个异常信号，参见 IP 风控是什么。

DNS 污染、解析失败的系统性排查已在 DNS 错误与 DNS 污染排查指南 中介绍，本文聚焦「泄漏」本身。

先区分：哪些本地解析是正常的

判断是否泄漏，关键是看本应走代理的域名，解析请求最终从哪里发出。

五种常见成因

1. 只开系统代理：系统代理只对遵循代理设置的程序有效，命令行工具、部分桌面应用会自行解析并直连。
2. TUN 未开启 DNS 接管：TUN 接管了流量，但程序直接向外部 DNS 服务器发出的解析请求没有被劫持到客户端。
3. IP 类规则触发本地解析：分流规则中如果有按 IP 或 IP 归属地匹配的规则，客户端可能需要先在本地解析域名才能判断，从而把代理域名发给了本地 DNS。部分客户端支持在这类规则上设置不解析的选项（如 Mihomo 的 no-resolve），以客户端文档为准。
4. 浏览器安全 DNS：浏览器开启安全 DNS（DoH）后会自行解析，绕过客户端的 fake-ip 与规则匹配。
5. IPv6 DNS 绕行：系统通过 IPv6 获得了运营商下发的 DNS 服务器，客户端只接管 IPv4 时，这部分解析可能直接发出，详见 IPv6 与代理。

通用检测思路

DNS 泄漏检测的原理是：让设备解析一批随机生成的子域名，再由检测方的权威 DNS 记录是哪些递归 DNS 服务器来查询了它们。检测时：

1. 固定一个代理节点，确认代理已生效；
2. 使用 DNS 泄漏检测类工具发起检测，查看列出的 DNS 服务器所属的网络与国家；
3. 如果列表中出现本地运营商的 DNS 服务器，说明代理域名的解析发生了泄漏；
4. 分别在浏览器和命令行环境中各测一次，二者结果可能不同。

提示在 fake-ip 模式下，检测结果显示的通常是节点所在地区或节点服务商使用的 DNS 服务器，这是正常结果。用 nslookup 看到 198.18 开头的地址也属于正常现象，不要误判为污染。

如何避免 DNS 泄漏

注意修改 DNS 设置后，记得清除系统与浏览器的 DNS 缓存再复测，否则旧的解析结果会干扰判断。如果改动后出现大面积无法解析，可参考 DNS 错误怎么办 回退排查。

结论

DNS 泄漏的本质是「解析请求没有跟着代理走」。规则模式下国内域名本地解析是正常设计，需要关注的是代理域名的解析去向。用 TUN 加 DNS 接管覆盖更多程序，用 fake-ip 和不解析选项减少本地解析，再处理好浏览器安全 DNS 和 IPv6，绝大多数泄漏都能消除。