DNS 泄露：它暴露什么、怎么测、为什么只开 VPN 不够

VPN 能藏住 IP，但 DNS 查询可能仍然发给你本地的解析器。这篇讲它暴露了什么、怎么检查。

什么是 DNS 泄露

访问域名时，设备要先问 DNS 解析器把域名翻译成 IP。如果这些查询发给了运营商（ISP）的解析器、或者你真实所在国家的解析器，而网页流量走的是 VPN，那就是 DNS 泄露。

为什么重要

平台和风控厂商会交叉对比信号：

• 解析器所在国家 vs 你 IP 的国家。
• 解析器由谁运营（运营商 DNS vs 公共解析器）。
• 这个解析器是不是你运营商本来会分配的。

不一致本身就是「这条网络路径被隧道过」的强提示——哪怕 IP 看起来完美。

怎么测

1. 解析器国家：公共 DNS 泄露测试会显示是哪些解析器在应答。
2. 一致性：不同时间重复测；VPN 的分流规则会间歇性泄露。
3. 浏览器层：有些浏览器默认用 DNS-over-HTTPS，可能掩盖泄露，也可能造成另一种不一致。

怎么修

• 让 DNS 和流量走同一条路径（VPN 提供的 DNS，或同国家的解析器）。
• 关掉会按域名改写解析器的「智能 DNS」功能。
• 每次换网络后重新测；泄露常常只在部分站点出现。

它修不了什么

DNS 路径干净，不代表时区、语言、浏览器指纹没问题。那些是另外的检查——指纹面板能看到你的浏览器到底暴露了什么。