什么是 DNS 泄漏？为什么它很重要？
当您通过 VPN 或代理连接到互联网时，您的流量应该通过该安全隧道进行路由。所谓 DNS 泄漏，是指您的某些域名请求漏出了该隧道，转而发送给了您的互联网服务提供商（ISP）或其他第三方解析器。这意味着您访问的网站可能被 VPN 或代理提供商以外的人看到。运行 DNS 泄漏测试是查明您的设置是否暴露了浏览活动的最直接方法。
DNS 请求的正常工作原理
每当您输入 shopify.com 之类的域名时，您的设备都需要将其翻译成 IP 地址。它会向系统配置的解析器发送 DNS 查询。在正常的设置中，该解析器属于您的 VPN 或代理提供商，因此您的 ISP 永远不会看到您查找的域名。解析结果返回后，您的浏览器通过隧道连接到该网站。
发生泄漏时会发生什么
当某些 DNS 查询在隧道之外发送时，就会发生泄漏。例如，您的浏览器可能会针对某些子域名使用系统 DNS 解析器，或者您设备上的某个应用可能会完全绕过隧道。结果是，您的 ISP 或公共 DNS 服务器（而不是您的 VPN 或代理）得知了您访问的网站。
为什么 VPN 和代理用户应该关注
如果您使用 VPN 来隐藏 IP，那么 DNS 泄漏会打破这种保护。您的 ISP 可以记录您的浏览历史。对于管理多个账号的用户来说，问题更为严重。DNS 泄漏可能会将您的账号与不符合代理位置的 DNS 服务器或 IP 关联起来。这种不一致的信号是平台将账号标记为异常的因素之一。简而言之，泄漏会削弱您建立的隔离环境。
如何运行 DNS 泄漏测试
测试过程很快，不需要特殊软件。您只需在浏览器中打开一个测试网站，该网站会向您的设备发送一个唯一的域名进行解析，然后检查哪个 DNS 服务器实际接收到了该查询。
1. 使用基于浏览器的测试工具
运行 DNS 泄漏测试最常用的方法是通过网站，如 dnsleaktest.com、browserleaks.com/dns 或 ipleak.net。这些网站的工作原理类似：显示您的连接正在使用的 DNS 服务器。如果您看到的是 VPN 或代理提供商的 DNS 服务器，则设置正常；如果您看到了 ISP 的服务器，则说明存在泄漏。
2. 推荐的在线 DNS 泄漏测试网站
您可以立即尝试的快捷列表：
- dnsleaktest.com —— 显示设备连接的 DNS 服务器摘要和详细信息。
- browserleaks.com/dns —— 同时检查 IPv6 并提供简洁的结果页面。
- ipleak.net —— 在一个地方综合检查 DNS、IP 和 WebRTC 泄漏。
以上任何工具都能为您提供可靠的答案。建议运行两个不同的工具以确认结果，因为偶尔可能会出现误报。
如何解读测试结果
观察显示的 DNS 服务器所属的国家和组织。
如果服务器属于您的 ISP 或位于您的实际地理区域，则说明 DNS 请求已脱离隧道。
如果它们属于您的 VPN 或代理提供商，则说明隧道运行正常。此外，检查是否出现了多个解析器。在纯净的设置中，应该只使用与 VPN 或代理绑定的解析器。
DNS 泄漏对比 WebRTC 泄漏：主要区别
DNS 泄漏和 WebRTC 泄漏经常被混淆，但它们暴露的数据类型不同。最简单的区别是：WebRTC 泄漏可能会暴露您的真实 IP 地址，而 DNS 泄漏可能会暴露您访问的域名。两者都可能揭露您的真实身份，因此对两者进行测试至关重要。
WebRTC 和 STUN 详解
WebRTC 是一项浏览器功能，支持视频通话和点对点连接。为了建立连接，它使用 STUN 服务器来发现您的公网 IP 地址。WebRTC 可能会直接与这些 STUN 服务器通信，而不是通过您的 VPN 或代理进行路由。这种直接通信绕过了隧道，可能暴露您的真实 IP 地址。
如何识别 WebRTC 泄漏
您可以在 browserleaks.com/webrtc 或 ipleak.net 检查 WebRTC 泄漏。如果测试显示了您的实际公网 IP 地址（即 ISP 分配给您的 IP），则说明 WebRTC 存在泄漏。如果显示的是您的 VPN 或代理 IP，则说明 WebRTC 正确使用了隧道。
在常用浏览器中禁用 WebRTC
由于大多数浏览器默认启用 WebRTC，如果您需要严格的 IP 隐私，应该将其禁用。
- Firefox：在地址栏输入 about:config，搜索 media.peerconnection.enabled，并将其设置为 false。
- Chrome 和 Edge：没有内置开关，请使用 WebRTC Leak Prevent 或 WebRTC Control 等扩展程序。
- Brave：在其严格指纹保护模式下默认禁用 WebRTC。
请注意，禁用 WebRTC 会使视频通话和某些聊天功能失效。如果您需要这些功能，请尝试通过代理路由 WebRTC 的浏览器方案，而不是完全禁用它。
DNS 泄漏的常见原因
了解泄漏原因有助于您从源头修复问题。原因通常出在操作系统或细微的配置错误上，而不是 VPN 或代理产品本身。
Windows DNS 行为与 svchost.exe
Windows 通过 svchost.exe 运行 DNS 客户端服务。该服务会缓存 DNS 响应，并被设计为向多个 DNS 服务器发送查询以提高可靠性。
当您连接到 VPN 时，此行为可能会导致某些查询发送到 ISP 的 DNS 服务器，尤其是当 VPN 没有锁定所有 DNS 路径时。
如果您在 Windows 上工作，最好也在 macOS 或 Linux 设备上测试，以查看泄漏是否仅针对 Windows。一个简单的解决办法是禁用 DNS 客户端服务，但这也会减慢域名解析速度。
VPN 和代理配置错误
许多人在浏览器中配置了代理，但忘记了 DNS 可能已在系统级别完成了解析。例如，SOCKS5 代理默认不承载 DNS 流量。如果浏览器在连接前通过系统解析器解析域名，DNS 查询就会发送给您的 ISP。
在代理设置中，您需要使用支持 DNS 过滤的代理，或者将应用程序配置为也使用代理进行 DNS 解析。
在指纹浏览器中，您需要将代理和 DNS 设置设为动态，并绑定到同一个会话中。
如果您想避免手动配置 DNS，可以使用内置代理概览，它会为每个配置文件管理代理及相关设置。
路由器和网络层级问题
即使您的计算机上运行了 VPN，某些路由器也会使用自己的 DNS 设置。如果您的设备使用了一个重定向 DNS 查询的路由器，这些查询可能永远无法到达 VPN 的解析器。
IPv6 也可能导致泄漏，因为许多 VPN 仅对 IPv4 流量进行隧道传输。如果您的网络使用 IPv6 而 VPN 不支持处理它，则基于 IPv6 的 DNS 会绕过隧道。建议在网络适配器上禁用 IPv6，或使用支持 IPv6 的 VPN。
如何修复和预防 DNS 泄漏
一旦您了解了什么是泄漏以及造成泄漏的原因，修复起来通常很简单。关键是确保所有 DNS 流量都留在隧道内，无论哪个应用或操作系统功能尝试将其发送到别处。
使用可靠的 DNS 服务器
选择一个值得信赖的解析器并在系统范围内进行配置。Cloudflare (1.1.1.1)、Google (8.8.8.8) 和 Quad9 (9.9.9.9) 是常见的选择。如果您的代理提供商提供自己的 DNS 服务器，请使用它们，因为它们与您代理 IP 的地理位置相匹配。更改 DNS 后，请再次运行 DNS 泄漏测试。
正确配置 VPN 或代理
对于 VPN 用户：启用 VPN 客户端中的“终止开关”（Kill Switch）或“阻止非 VPN 流量”选项。这可以防止在 VPN 掉线时任何流量流出隧道。
对于代理用户：使用通过同一连接路由 DNS 的代理。如果您在指纹浏览器中手动设置代理，请将其与代理提供商的 DNS 服务器配对。使用内置代理系统可以省去这一手动步骤，因为浏览器和代理是协同管理的。
针对多账号用户的 DNS 泄漏保护
当您运行多个账号时，隔离就是一切。DNS 泄漏可能会将两个账号连接到同一个解析器或 IP，这可能会触发安全过滤。这就是指纹浏览器的用武之地。
指纹浏览器如何降低泄漏风险
像 FlashID 这样的指纹浏览器会将每个账号隔离在独立的浏览器配置文件中。每个配置文件可以拥有专属代理，浏览器会通过该代理的连接路由 DNS 查询。由于 DNS 响应与代理位置匹配，您的流量在所使用的平台看来会更加一致。
FlashID 的内置代理与指纹隔离
FlashID 包含内置的代理购买和管理，因此您不必为每个配置文件手动设置 DNS 值。
它支持 20 多个国家的静态和动态 IP，每个配置文件都有唯一的数字指纹。这种组合降低了因手动代理配置错误导致 DNS 泄漏的概率。然而，没有任何工具可以保证 100% 无泄漏，在运行真实账号之前，您应该始终验证每个配置文件。
常见问题解答
1. 什么是 DNS 泄漏？
DNS 泄漏是指您的设备在 VPN 或代理隧道之外发送 DNS 查询，从而允许您的 ISP 或其他第三方看到您访问的域名。
2. 什么是 WebRTC 泄漏？
WebRTC 泄漏是指浏览器中的 WebRTC 功能直接向 STUN 服务器发送流量，即使您在使用 VPN 或代理，也会暴露您的真实 IP 地址。
3. 我应该担心 DNS 泄漏吗？
这取决于您的操作。如果您只是随便浏览，DNS 泄漏可能不是大问题。但如果您依赖 VPN 或代理来保护隐私，或者管理多个账号，则应该重视，因为它会暴露您的活动并破坏账号隔离。
4. 如何知道我的 DNS 是否正在泄漏？
通过 dnsleaktest.com 或 browserleaks.com/dns 等网站运行 DNS 泄漏测试。如果测试结果显示了您 ISP 的 DNS 服务器，则说明您的 DNS 正在泄漏。
5. 代理会导致 DNS 泄漏吗？
是的。例如，SOCKS5 代理默认不路由 DNS 流量。如果您的浏览器在连接代理之前解析了域名，DNS 查询就会发送给您的 ISP 或本地解析器。
您可能还喜欢
