直接答案
DNS 泄露是指你已经在使用代理，但访问网站前的“域名查询”仍然直接发给了本地运营商或其他未经代理的 DNS 服务器。这样一来，即使网页内容走了代理，你访问过哪些域名依然会被本地网络看到，DNS 服务器所在地也可能与代理出口不一致。开启 TUN 模式、使用 fake-ip 等设置，并定期用检测工具核查，可以大幅降低 DNS 泄露。
信封上的地址也会泄露信息
把访问网站想象成寄信：代理负责把信封装进一个加密的箱子送出去，但在寄信前，你得先查到收件人的地址——这一步就是 DNS 查询。如果你是在楼下的公共信息亭（本地运营商 DNS）大声问“某某网站的地址是什么”，那么信件本身再保密，别人也已经知道你要给谁寄信了。
DNS 泄露就是这一步“查地址”绕开了代理。
DNS 泄露的常见原因
- 只开了系统代理：部分程序会先在本地解析域名，再把 IP 交给代理，或干脆不走代理，查询于是直接发给系统 DNS。
- 客户端 DNS 设置不当：客户端没有接管 DNS，或者把国外域名也交给了本地 DNS 解析。
- 浏览器自带安全 DNS：浏览器开启了自己的 DNS over HTTPS，可能绕过客户端的 DNS 处理。
- IPv6 未被代理：代理只处理了 IPv4，IPv6 的 DNS 查询和连接从另一条路走了。
- 其他网络软件干扰：安全软件或其他 VPN 修改了系统 DNS。
fake-ip、redir-host 与 DoH
fake-ip：程序查询域名时，客户端立即返回一个保留网段里的“假地址”，并记住它与域名的对应关系。程序连接这个假地址时，客户端再把原始域名交给代理节点，在远端完成真正的解析。因为本地从头到尾没有发出真实查询，泄露风险较低，连接也更快。缺点是少数依赖真实 IP 的程序可能兼容不佳，需要把它们加入例外列表。
redir-host：客户端先在本地解析出真实 IP，再按规则决定走向。兼容性好，但本地会发出真实的 DNS 查询，更容易产生泄露。部分新版内核已调整或弃用这一模式。
DoH / DoT：把 DNS 查询加密后发送，防止途中被查看或篡改。它能保护查询内容，但如果加密查询没有经过代理，DNS 服务器那一端仍然知道你查询了什么。
DNS 泄露有什么影响
- 隐私：本地网络可以看到你访问的域名列表。
- 解析结果不准：本地 DNS 可能返回被污染的结果或离代理出口很远的服务器地址，导致连接失败或变慢。
- 风控判断：部分 AI 服务、流媒体平台可能综合参考 DNS 来源和出口 IP 的一致性，不一致时可能要求额外验证。各服务的具体判断方式并不公开。
判断标准：检测结果怎么看
| DNS 泄露测试结果 | 含义 | 建议 |
|---|---|---|
| 只显示与代理出口同地区的 DNS 服务器 | 基本没有泄露 | 保持当前设置 |
| 出现本地运营商的 DNS 服务器 | 存在 DNS 泄露 | 开启 TUN 或调整客户端 DNS 设置 |
| 同时出现多个国家的 DNS 服务器 | 部分查询绕过了代理 | 检查浏览器安全 DNS 与 IPv6 |
| 只在某个浏览器中出现泄露 | 浏览器自带 DNS 设置绕过客户端 | 调整该浏览器的安全 DNS 选项 |
检测与避免 DNS 泄露的步骤
- 连接代理后检测：使用 DNS 泄露测试网站或工具，选择扩展测试，查看返回的 DNS 服务器列表。
- 开启 TUN 模式：让客户端在网络层接管 DNS 查询，覆盖不遵守系统代理的程序。
- 启用 fake-ip：在 Clash 系客户端中使用 fake-ip 模式（多数客户端默认如此），并保持默认的 DNS 劫持设置。
- 处理浏览器和 IPv6：检查浏览器的安全 DNS 设置；如果代理不支持 IPv6，考虑在客户端或系统中关闭 IPv6。
- 重新检测：修改设置后清除浏览器缓存再测一次，确认结果只显示与出口一致的 DNS 服务器。
注意事项
- 修改 DNS 设置前记录原始配置，出现“所有网站都打不开”时可以快速恢复。
- 杜绝 DNS 泄露不等于完全匿名，服务商和目标网站仍能看到相应的信息。
- 除 DNS 外，浏览器的 WebRTC 也可能暴露真实 IP，可一并检查。
- 请在所在地法律法规允许的范围内使用网络工具。
fake-ip 和 redir-host 有什么区别？
fake-ip 先给程序返回一个假的内部地址，把域名交给代理节点在远端解析；redir-host 会先在本地解析出真实 IP。前者更不容易泄露，后者兼容性更好。
DNS 泄露会影响 AI 服务使用吗？
可能有影响。如果 DNS 查询来源与出口 IP 所在地不一致，部分服务的风控可能认为网络环境异常，但具体判断方式各服务并不公开。