DNS泄露测试

点击开始测试。您的浏览器会请求六个只存在于我们域名服务器上的唯一主机名（扩展测试为36个）；我们记录是哪个解析器请求了每个主机名，查出它的网络和运营者，并在几秒内显示列表。请告诉页面您是否在使用VPN，以便得到准确的判定——同一份解析器列表，在有隧道和没有隧道时的含义是不同的。

六次查询。足以发现最常见的情况：VPN没有接管系统解析器，所有查询都发往了您的运营商。

在更长的时间窗口内进行36次查询，还能发现只处理您部分查询的解析器——负载均衡的运营商解析器池、设备上配置的第二个DNS服务器，或者Windows同时向所有网卡发起查询的情况。

每一行是一个代表您向我们的域名服务器发起请求的解析器：它的地址、所属网络和运营者、所在国家/地区，以及它处理了多少次查询。判定结果会把这些网络与您HTTP流量的来源网络进行比较。

解析器位于VPN服务商的网络中，或与VPN出口地址相同，说明DNS在隧道之内。开启VPN时解析器却位于您家庭运营商的网络中，就是泄露。公共解析器（Cloudflare、Google、Quad9等）没有问题——前提是查询是经由隧道到达它的；当解析器转发了您的网络前缀（EDNS Client Subnet）且该前缀与您的VPN地址匹配时，我们就能证实这一点。

如果您的浏览器或系统使用DNS over HTTPS或DNS over TLS，我们的服务器看到的是加密解析器的地址（例如Cloudflare或Google的），而不是您运营商的。加密能对您所在的网络隐藏查询的内容，但本身并不会让查询经由VPN传输，所以判定结果仍会检查查询是从哪个网络发出的。

浏览器在连接一个网站之前，会先向DNS解析器询问该网站的地址。VPN本应把这些查询经由隧道送到VPN自己的解析器。如果操作系统仍然把查询发给它从您家庭网络学到的解析器，那么即使连接本身走了隧道，您的运营商依然能看到您访问的每一个域名——网站运营者也能从解析器所在的网络判断出您的真实位置。这就是DNS泄露。指南什么是DNS泄露详细讲解了其中的机制。

修复的方法是让设备只使用VPN的解析器，或者经由隧道访问的公共解析器，别无其他。

开启VPN应用的DNS泄露保护。如果仍然泄露，打开物理网络连接的适配器设置，把DNS服务器手动设为某个公共解析器，并禁用智能多宿主名称解析（组策略 › 管理模板 › 网络 › DNS客户端），让Windows不再并行查询每一个网卡。用ipconfig /flushdns清空缓存，然后重新运行测试。

使用VPN应用的DNS保护设置。或者在“系统设置 › 网络 › 详细信息 › DNS”中为当前网络服务设置DNS服务器，也可以通过描述文件配置加密DNS（DoH/DoT）。重新运行测试；出现VPN网络中的解析器，或前缀匹配的公共解析器，就说明泄露已经堵住。

两个系统都支持私人DNS（Android：设置 › 网络 › 私人DNS；iOS通过配置描述文件），它会通过TLS把查询发送给您指定的解析器。请与VPN应用的泄露保护配合使用。在iOS上，VPN应用必须在其配置中包含DNS设置，查询才会走隧道。

如果VPN运行在路由器上，请把路由器的DNS服务器设为VPN服务商的解析器，并确保路由器不会通过DHCP把运营商的解析器下发给各设备。在路由器后面的任意设备上运行本测试即可确认。

先在不连接VPN的情况下运行一次测试，记下解析器所属的网络——这是您的基准。连接VPN后再运行一次。如果出现了同一个网络，泄露就是确定无疑的；页面会把基准记住几分钟并加以标记。如果两次都出现公共解析器，请看EDNS Client Subnet一列：连接VPN时，它必须显示VPN的网络，而不是您家里的前缀。VPN检测会把本测试与WebRTC和IPv6检查一起运行。