探索者加速器 - Telescope

DNS泄漏怎么检测？按基准测试、复测和设备排查判断

更新于 2026-11-03 · telescope.lat

简答：检测DNS泄漏最可靠的做法不是只看一次在线结果，而是先关闭网络工具记录基准，再开启后进行标准和扩展测试，重点核对解析器所属网络、地区和是否出现预期之外的运营商。若结果异常，依次检查客户端是否接管DNS、浏览器DoH、IPv6、分流和系统DNS，清缓存后再复测。

定义：DNS泄漏是指设备或应用的域名解析请求，实际交给了不符合预期的解析器，而不是由你选择的网络通道、客户端或DNS服务处理。

先试这一步：关闭与开启分别测一次

如果你只想快速判断，先不要修改DNS。关闭VPN、代理或其他网络工具，打开DNS Leak Test，记录检测到的解析器名称、网络归属、地区以及IPv4和IPv6结果；然后开启网络工具，重新运行同一测试。这个前后对比比单看“绿灯”更有意义。

  1. 关闭网络工具，完成一次标准测试并截图或记录结果。
  2. 开启网络工具，等待连接状态稳定，再做一次标准测试。
  3. 如果两次都没有明显变化，再做扩展测试。标准与扩展测试都会让浏览器解析测试专用域名，扩展测试会发起更多请求，适合观察是否存在偶发或分流解析。测试页面对标准测试和扩展测试的说明。
  4. 关闭浏览器页面，清理DNS缓存或重新连接网络，再复测一次。

快速判断：如果开启后仍稳定显示你预期使用的解析器，通常没有观察到明显的DNS泄漏；如果出现本地运营商、家庭路由器或不认识的解析器，先标记为“需要排查”，不要仅凭地区名称直接下结论。

DNS泄漏、DNS劫持和IP泄漏不是一回事

DNS泄漏检测观察的是“谁在解析域名”，不是网页流量的全部路径。DNS泄漏通常表示域名查询交给了预期之外的递归解析器；IP泄漏则是访问检测页面时看到的出口地址没有按照预期变化；DNS劫持或污染更偏向解析结果被改写、拦截或返回异常地址。三者可能同时出现，也可能只出现其中一种。

现象主要观察对象不能直接推出的结论
检测到本地运营商解析器DNS请求的递归解析器归属不能仅凭地区相同就断定泄漏，也不能说明所有应用都使用同一路径
出口IP没有变化网页访问的公网出口地址不能证明DNS一定泄漏，需单独检查解析器
域名解析到异常地址DNS返回结果可能是劫持、污染、分流或域名本身配置变化
浏览器检测正常、其他应用异常不同应用的解析路径不能代表系统级DNS或其他客户端也正常

因此，检测结果应写成“本次浏览器测试观察到哪些解析器”，而不是扩大成“所有流量都安全”或“所有应用都泄漏”。

看到这些结果，应该怎么判断

  • 解析器来自预期的网络服务：如果你明确配置了某个DNS服务，结果中的网络归属和地址与其公开信息大致一致，可暂时视为符合预期，但仍建议用另一浏览器或设备复测。
  • 出现家庭路由器地址：这不一定是泄漏。很多设备先把请求交给路由器，再由路由器转发到上游DNS。需要继续查看路由器的上游DNS配置，以及网络工具是否接管了53端口或加密DNS。
  • 出现公共DNS：公共DNS本身不等于泄漏。关键问题是它是否为你主动选择的解析器、是否符合客户端的工作方式，以及是否出现了不应出现的其他解析器。
  • 出现本地运营商解析器：如果你的目标是让网络工具统一处理DNS，而测试同时显示运营商解析器，应优先检查客户端的DNS接管、分流规则、TUN模式和IPv6；但单次测试仍不能证明所有应用都如此。
  • 显示无法检测或结果为空：先确认测试页面能加载测试域名，再关闭浏览器扩展、临时停用自定义DoH或换网络复测。企业网络、家长控制、过滤服务和浏览器策略都可能改变DNS路径。
  • 同一解析器显示多个地区：解析器可能使用Anycast或多地节点，地区数据库也可能存在偏差。应优先看网络归属、解析器地址和前后变化，不要只按国家或城市判断。

按层排查：客户端、浏览器、IPv6和系统DNS

1. 先查网络客户端是否接管DNS

检查客户端设置中是否有“DNS泄漏保护”“远程DNS”“代理DNS”“TUN”“全局路由”或类似选项。不同客户端菜单名称会变化，应以当前版本界面为准。先备份配置，只修改一个选项；修改后断开并重新连接，再做相同测试。若开启TUN后结果改变，说明DNS请求路径可能受虚拟网卡或规则接管影响。

2. 再查浏览器是否绕过系统

Chrome的“使用安全DNS”会通过加密方式查询域名，在自动模式遇到问题时可能回退到未加密模式；可在“设置—隐私和安全—安全—使用安全DNS”查看。Google Chrome帮助页说明了安全DNS的自动模式、指定服务商和关闭路径。Firefox则可在“设置—隐私与安全—DNS over HTTPS”查看保护级别；其默认保护可能因VPN、企业策略或网络信号而停用或回退。Mozilla对Firefox DNS over HTTPS状态和回退行为有说明。

3. 检查IPv6是否走了另一条路径

如果测试结果分别列出IPv4和IPv6解析器，先比较两者是否都符合预期。若IPv4正常、IPv6出现另一家解析器，临时关闭IPv6只用于定位，不要把临时关闭当作永久修复；应进一步检查客户端、路由器和网络服务是否支持IPv6下的DNS接管。

4. 检查系统DNS和缓存

Windows可打开命令提示符运行以下命令：

ipconfig /all
nslookup example.com
ipconfig /flushdns

ipconfig /all用于查看网卡、网关和DNS服务器；nslookup用于确认当前配置的DNS解析行为；ipconfig /flushdns用于清理本机DNS客户端缓存。微软文档也建议在DNS排查中核对配置并清理缓存。Microsoft Learn：DNS客户端排查。

macOS可进入“系统设置—网络—当前网络服务—详细信息—DNS”查看DNS服务器列表。Apple支持：在Mac上更改DNS设置。Android设备可在“设置—网络和互联网—私人DNS”查看“关闭、自动或私人DNS提供商主机名”；Google说明该功能只保护DNS问答，不能替代完整的网络通道保护。Google Pixel帮助：私人DNS设置。iPhone和iPad没有适用于所有设备的统一手动DNS菜单，遇到异常时应在系统设置中搜索VPN、描述文件、过滤器或DNS相关配置，并检查第三方网络软件。Apple支持：VPN和第三方安全软件导致的连接问题。

复测、记录和回滚标准

  1. 清理状态：关闭测试页面，清理系统DNS缓存；浏览器存在独立安全DNS时，按浏览器设置重新加载或完全退出后再启动。
  2. 固定变量：尽量使用同一设备、同一网络、同一浏览器和同一检测页面，只改变一个客户端选项。
  3. 重复观察：至少比较关闭和开启两组结果；如果结果会变化，再分别测试标准和扩展模式。
  4. 记录异常：保存时间、网络类型、是否使用IPv4或IPv6、解析器名称、网络归属和客户端设置，不要上传包含订阅地址、账号或私密配置的截图。
  5. 失败回滚：如果改动后无法联网，恢复原DNS、关闭刚启用的DoH或TUN选项，重新连接网络，再逐项定位。不要一次修改系统DNS、浏览器DoH和客户端规则。

这套流程只能说明检测时观察到的解析路径。它不能证明所有应用、后台服务、企业网络、路由器下游设备和所有时间段都使用同一解析器；如果你的目标是跨境办公或稳定连接，还应分别检查客户端连接、出口IP、丢包和应用自身的DNS设置。

常见问题

DNS泄漏检测显示本地运营商，就一定是泄漏吗？

不一定。先确认你是否主动使用了路由器、企业DNS或公共DNS，再看客户端是否承诺接管全部DNS。若目标是统一走指定解析器，而结果同时出现运营商解析器，才应继续检查分流、IPv6和浏览器独立DNS。

开启浏览器DoH后，DNS泄漏就解决了吗？

不能直接这样判断。DoH只影响使用该浏览器的解析请求，其他浏览器、桌面应用、系统服务或网络客户端可能仍走另一条路径。Chrome和Firefox都提供独立的安全DNS设置，因此应把浏览器测试结果与系统、客户端结果分开看。

标准测试和扩展测试应该选哪个？

先用标准测试快速建立基准；如果前后结果不一致、怀疑分流或偶发回退，再用扩展测试增加请求数量。两种测试都只是观测工具，不能替代对客户端、系统和路由器配置的检查。

为什么DNS检测显示多个解析器？

可能是多个DNS服务器、IPv4与IPv6并行、路由器转发、分流规则或Anycast节点造成的。重点不是数量本身，而是这些解析器是否都在你的预期范围内，以及关闭和开启网络工具后是否出现了不应出现的归属。

手机上怎么查DNS泄漏？

在手机浏览器中完成关闭与开启对比，同时检查系统的私人DNS、VPN和过滤配置。Android可在网络设置中查看私人DNS；iPhone和iPad建议搜索VPN、描述文件和过滤器。若浏览器与其他应用结果不一致，应把它们视为不同解析路径分别排查。

常见问题

DNS泄漏检测显示本地运营商，就一定是泄漏吗？

不一定。路由器转发、企业DNS、公共DNS和IPv6都可能造成类似结果。先确认预期解析器，再检查客户端DNS接管、分流和IPv6，最后清缓存复测。

开启浏览器DoH后，DNS泄漏就解决了吗？

不能。DoH通常只影响该浏览器的解析请求，其他应用、系统服务或客户端可能继续使用不同DNS路径，应分别检测。

标准测试和扩展测试应该选哪个？

先用标准测试建立关闭与开启的基准；如果结果不一致或怀疑偶发回退，再做扩展测试观察更多解析请求。

为什么DNS检测显示多个解析器？

可能来自多个DNS服务器、IPv4和IPv6并行、路由器转发、分流规则或Anycast。重点看是否出现预期之外的解析器，而不是只看数量。

手机上怎么查DNS泄漏？

用手机浏览器完成关闭与开启对比，同时检查Android私人DNS，或在iPhone、iPad设置中搜索VPN、描述文件和过滤器。

相关阅读

参考资料

  1. DNS Leak Test（dnsleaktest.com）
  2. DNS Leak Test：标准测试与扩展测试的区别（dnsleaktest.com）
  3. Microsoft Learn：DNS客户端排查
  4. Google Chrome帮助：安全DNS设置
  5. Mozilla支持：配置Firefox DNS over HTTPS保护级别
  6. Apple支持：在Mac上更改DNS设置
  7. Google Pixel帮助：私人DNS与网络设置
  8. Apple支持：检查VPN和第三方安全软件造成的连接问题