在讨论网络隐私或解锁有着极高风控限制的流媒体（如 Netflix）时，我们经常会听到一个专业术语：DNS 泄露 (DNS Leak)。
简单来说，就是当您自认为已经挂上了美国的节点，但网站服务器却依然发现了您来自中国大陆。这不仅会导致流媒体解锁失败，在某些特定场景下还会暴露您的真实身份。今天我们就来彻底弄懂 DNS 泄露并学习如何修复它。
1. 测试：您存在 DNS 泄露吗？
在开始排查前，请先保持您的代理软件运行，并处于“全局规则”或“自动分流”模式。然后打开官方公认的检测工具 DNSLeakTest 官网 或 IPLeak.net。
点击“Standard test（标准测试）”。在测试结果中，如果您看到了来自中国电信、联通、移动的 DNS 服务器 IP（如包含 China, Telecom 等字眼），那么很遗憾，您的 DNS 已经发生了严重的泄露。
2. 为什么会发生 DNS 泄露？
当您在浏览器中输入 www.google.com 时，电脑需要通过 DNS 域名解析系统将这串字母翻译成 IP 地址。正常的代理逻辑是：这串查询请求应该被加密打包，送到国外的节点服务器，由节点帮您向国外的 DNS 服务器（如 8.8.8.8）去查询。
泄露发生的原因：如果您的代理软件配置不当（通常是因为没开启 TUN 虚拟网卡），或者您的系统强制指定了网卡底层的国内 DNS（如 114.114.114.114），这句“去哪里查询 Google 的 IP”的请求就会直接从您的真实网卡发给国内的宽带运营商。此时，虽然最终流量走了代理，但国内运营商依然完全掌握了您正在访问什么网站，同时境外网站也会通过这一特征识别出您的真实所在地。
3. 如何防止 DNS 泄露？
修复 DNS 泄露的最简单有效的方法如下：
- 开启 TUN (虚拟网卡) 模式： 这是最一劳永逸的方法。以 Clash 为例，开启 TUN 模式后，所有的 DNS 查询流量都会被强制劫持到虚拟网卡内部进行处理，彻底阻断了向国内运营商发送请求的途径。
- 使用远端解析 (Remote DNS)： 在 Clash 或 v2ray 的进阶配置中，确保
Fallback和nameserver-policy被正确配置，使得国外域名的解析严格走代理节点。通常优质机场提供的自带订阅配置已经为您写好了这套复杂的防泄露规则。
常见问题 (FAQ)
就算 DNS 泄露了，我的上网数据会被监听吗？
绝大多数现代网站都强制使用了 HTTPS 加密。即使 DNS 泄露，您的宽带运营商也只能知道“您访问了哪个域名”，但绝对无法知道“您具体看了网页上的什么内容”或“输入了什么密码”。所以不用过度恐慌，但在隐私保护要求极高的场景下依然应当避免泄露。
为什么开了 TUN 模式，测试还是有国内 IP？
请检查浏览器是否开启了“安全 DNS (Secure DNS / DoH)”。现代浏览器（如 Chrome/Edge）内置的 DoH 机制可能会绕过系统底层的虚拟网卡。建议在浏览器设置中临时关闭“使用安全 DNS”选项后再测试。