IP查询怎么查出口 IP 和 DNS 泄漏？
简答：先在未连接线路时记录网页显示的出口 IP、国家或地区、ISP/ASN，再连接客户端并刷新页面对比；出口 IP 变化只能说明网页请求路径可能改变，不能证明 DNS 没有泄漏。随后使用 DNS 专项测试或系统 DNS 设置复核解析器来源，发现仍走本地网络时，依次检查客户端模式、系统 DNS、浏览器独立 DNS 和冲突工具，再重连复测。
定义：出口 IP 是网站看到的公网来源地址，DNS 泄漏则是域名解析请求仍由预期之外的解析器处理，两者必须分开检查。
先做双重核验：出口 IP 和 DNS 不要混为一谈
本文是面向客户端与网络排查的第三方使用指南，不代表任何具体服务的官方页面。最快做法是先记录连接前后的出口信息，再单独查看 DNS 测试结果。普通 IP 查询页面通常只能告诉你网站看到的公网来源，不能直接证明每一次域名解析都经过了同一条线路。
| 检测结果 | 通常说明 | 下一步 |
|---|---|---|
| 出口 IP 与连接前不同 | 网页请求的公网出口可能已经改变 | 继续做 DNS 专项测试，不要直接判定“无泄漏” |
| 出口 IP 没变化 | 客户端可能未接管浏览器流量，或当前使用规则分流 | 检查连接状态、代理模式、系统代理和目标域名规则 |
| 出口 IP 变了，但 DNS 测试显示本地运营商或原网络解析器 | 网页流量与 DNS 请求可能走了不同路径 | 检查客户端 DNS、浏览器安全 DNS、系统 DNS 和冲突工具 |
| DNS 服务器地区与出口地区不同 | 不一定是泄漏；解析器可能位于另一地区或使用集中式服务 | 重点看解析器所属网络或运营主体，而不是只看国家、城市 |
| 检测页面显示多个解析器 | 可能存在多个 DNS 路径、并发解析或不同网络接口 | 关闭冲突配置后重连，再用同一检测页面复测 |
DNS over HTTPS 会把 DNS 查询放进 HTTPS 连接中，但查询仍由配置的 DoH 服务器处理；因此“加密”不等于“自动使用某条代理线路”。可参考 RFC 8484 对 DoH 的定义与隐私说明。
可照做的 5 步检查流程
- 备份并记录当前状态。先暂停客户端或断开线路，打开一个可靠的公网 IP 查询页面，记录出口 IP、国家或地区、ISP/ASN；同时记下系统当前 DNS 设置。不要把订阅链接、账号密码或完整配置文件提交给检测页面。
- 连接客户端后刷新查询页。重新连接线路，等待客户端显示已连接，再用无痕窗口或刷新页面重新查询。若出口 IP 完全不变，先检查客户端是否只代理部分应用、浏览器是否单独设置了代理，以及目标网站是否被规则直连。
- 单独进行 DNS 专项测试。不要只看普通 IP 页面。使用能列出解析器来源的 DNS 测试页面，观察解析器名称、网络归属和数量。DNS 结果的地区与出口地区不一致并不能单独证明泄漏，关键是是否仍出现你原网络的解析器或运营主体。
- 用系统命令做交叉检查。Windows 可在命令提示符执行：
nslookup example.com该命令默认查询当前系统使用的 DNS 服务器；也可以指定一个服务器进行对比，例如：
nslookup example.com 1.1.1.1命令用途和参数可核对 Microsoft Learn 的 nslookup 文档。命令结果只能说明当前命令请求使用了哪个解析器，不等于对所有应用、浏览器和客户端流量完成证明。
- 处理异常并复测。先恢复到最简单的普通代理或系统代理模式，暂时关闭浏览器独立 DNS、其他 VPN/代理、网络过滤软件和重复的 DNS 配置；重启客户端或网络连接后，再按相同顺序查询出口 IP 和 DNS。每次只改一个设置，方便回滚和定位。
Windows、macOS、Android、iOS 分别检查哪里
| 系统 | 先检查 | 发现异常时 |
|---|---|---|
| Windows | 客户端连接状态、系统代理、网络适配器 DNS；必要时执行 ipconfig /flushdns 清理解析缓存 | 确认是否启用了 TUN 或虚拟网卡，检查是否存在多个网络适配器和浏览器独立 DNS。Windows 的 DNS over HTTPS 选项与系统版本有关，可参考 Microsoft 网络设置说明。 |
| macOS | 系统设置 → 网络 → 当前网络 → 详细信息 → DNS；Apple 文档给出的入口是 Network、Details、DNS | 检查 Wi-Fi、以太网和客户端虚拟接口是否各自有 DNS 配置；修改前记录原值。入口可参考 Apple 的 Mac DNS 设置说明。 |
| Android | 设置 → 网络和互联网 → 私人 DNS；不同厂商菜单名称可能不同 | 检查私人 DNS 与客户端 DNS 是否重复接管。Android 官方说明特别指出，私人 DNS 只保护 DNS 查询与响应，不会自动保护其他流量，可参考 Android 私人 DNS 帮助。 |
| iOS | 检查客户端的 VPN 状态、当前 Wi-Fi/蜂窝网络设置，以及浏览器或系统隐私中是否启用了额外的中继或 IP 保护功能 | 若同时启用多个网络接管功能，先临时关闭不需要的功能，再只保留一个客户端进行复测。Apple 对 iPhone 私有中继和 IP 地址显示的行为有单独说明，可参考 Apple 的 iPhone 私有中继说明。 |
按结果分流：正常、未切换与 DNS 泄漏怎么处理
出口 IP 未切换
先确认客户端是否真的显示已连接，再检查系统代理是否指向客户端端口、浏览器是否使用了另一套代理设置。如果客户端采用规则模式，部分网站可能直连；可以临时切换到普通全局代理做对照。若全局模式仍不变化，再检查网络适配器、权限、系统防火墙和其他代理软件是否冲突。
出口 IP 已切换，但 DNS 仍显示原网络解析器
优先检查客户端 DNS 模式、TUN 或虚拟网卡是否启用，以及浏览器是否开启独立的安全 DNS。不要一次修改多个配置；建议先关闭浏览器独立 DNS，重连客户端并复测，再决定是否需要调整系统 DNS。若使用加密 DNS，注意它的服务器选择会影响解析结果，RFC 8484 也说明不同 DNS 服务器可能返回不同结果。
地区或城市显示不一致
GeoIP 数据库、解析器位置和出口网络位置可能并不相同，因此国家、城市或运营商字段只能作为线索。更可靠的判断顺序是：出口 IP 是否变化、ASN/网络归属是否变化、DNS 测试是否出现原网络解析器、重复复测是否稳定。不要把一次城市定位错误直接当作泄漏。
普通 IP 正常，但担心浏览器暴露其他地址
WebRTC 是独立于 DNS 的浏览器通信机制，可能产生 ICE 候选地址；MDN 说明 WebRTC 的 STUN/TURN 流程会涉及地址候选。它不是 DNS 泄漏，应该单独检查浏览器的 WebRTC 行为，不要把 WebRTC、IPv6、DNS 和出口 IP 归为同一种问题。可参考 MDN 对 WebRTC 地址候选的说明。
复测清单：确认改动真的生效
- 连接前后使用同一个 IP 查询页面，并刷新或重新打开页面。
- DNS 测试至少复测两次，分别在客户端重连前后进行。
- 记录客户端模式：规则、全局、TUN 或其他模式，不要只记录“已连接”。
- 检查 Windows、macOS、Android 或 iOS 是否存在第二个 VPN、代理、私人 DNS 或浏览器独立 DNS。
- 如果问题只出现在一个浏览器，换另一个浏览器做对照；如果所有应用都异常，再查系统和虚拟网卡。
- 恢复设置时按相反顺序撤销：先关闭新增 DNS 或浏览器设置，再恢复客户端模式，最后清理缓存并重新连接。
结论应写成可验证的形式，例如“网页出口 IP 已变化，DNS 测试未出现原网络解析器，连续两次结果一致”，而不是简单写“已经完全安全”。任何单一检测页面都只能反映当时、当设备和当应用的结果。
常见问题
1. IP查询显示的国家和实际线路地区不一样，是 DNS 泄漏吗？
不一定。IP 定位数据库、出口网络和 DNS 解析器可能位于不同地区。先看 DNS 测试是否出现原网络解析器，再结合 ASN、复测结果和客户端模式判断。
2. 出口 IP 变了，为什么还要查 DNS？
因为网页访问和域名解析可能由不同组件处理。代理接管了网页连接，不代表系统、浏览器或其他应用的 DNS 请求也被同一路径接管，所以必须单独测试。
3. Android 开启私人 DNS后，就一定没有 DNS 泄漏吗？
不一定。Android 官方说明私人 DNS只保护 DNS 查询和响应；客户端、浏览器或其他网络组件仍可能采用自己的解析路径。应结合客户端模式和 DNS 专项测试复核。
4. Windows 的 nslookup 结果能代表所有应用吗？
不能完全代表。nslookup主要检查当前命令使用的系统解析器；浏览器 DoH、应用内 DNS、TUN 或虚拟网卡可能使用不同路径。它适合做交叉检查，不是唯一证据。
5. 检测 DNS 泄漏时可以直接上传订阅链接或配置文件吗？
不建议。订阅链接、账号密码、节点地址和完整配置可能包含敏感信息。检测页面只需要查看结果，不需要提交这些内容；排障时可脱敏后再分享必要字段。
常见问题
IP查询显示的国家和实际线路地区不一样，是 DNS 泄漏吗？
不一定。IP定位、出口网络和DNS解析器可能位于不同地区，应重点查看是否出现原网络解析器，并进行多次复测。
出口 IP 变了，为什么还要查 DNS？
出口 IP只反映网页看到的公网来源；DNS请求可能由系统、浏览器或其他组件单独处理，因此必须做DNS专项测试。
Android 开启私人 DNS后，就一定没有 DNS 泄漏吗？
不一定。私人DNS只保护DNS查询和响应，客户端或浏览器仍可能使用其他解析路径，需结合客户端设置和专项测试确认。
Windows 的 nslookup 结果能代表所有应用吗？
不能。nslookup适合检查当前命令的系统解析器，浏览器独立DNS、应用内解析和虚拟网卡可能使用不同路径。