如何防止 DNS 泄露

作者：Tegant 团队，Venus Cloud Ltd

发布于 2024年7月19日 · 更新于 2026年10月26日

你已经连接了 VPN，所以你的浏览应该是私密的。但有一个大多数人都忽略的问题：你的 DNS 查询可能仍在泄露给你的互联网服务提供商，完全绕过了 VPN 隧道。这就是 DNS 泄露，而且它比你想象的更常见。

什么是 DNS 泄露？

每次你在浏览器中输入网址时，你的设备都会发送一个 DNS（域名系统）请求，把域名转换成 IP 地址。VPN 正常工作时，这些 DNS 请求会经过 VPN 自己的 DNS 服务器。但有时并非如此，它们会改从你的 ISP 默认 DNS 服务器溜出去。这就是 DNS 泄露。

结果如何？即使你的其他流量都已加密，你的 ISP 仍能清楚看到你访问了哪些网站。VPN 在一条战线上尽职尽责，而 DNS 请求却悄悄从后门溜了出去。

为什么 DNS 泄露很重要

DNS 泄露会让使用 VPN 的主要目的落空。你的 ISP，甚至可能还有你所在国家的政府，都能记录你访问的每一个域名。在中国、俄罗斯或阿联酋等网络监控严密的国家，这并不是理论上的风险。DNS 日志是当局最容易监控的内容之一。

即使在审查较少的国家，ISP 也经常收集和出售浏览数据。如果你的 DNS 正在泄露，这些数据中就包括你的数据。

如何检测 DNS 泄露

检测只需约 30 秒：

连接你的 VPN。
访问 dnsleaktest.com。
运行“Extended Test”（扩展测试）。
查看结果。如果列表中出现了你所在国家或你的 ISP 的 DNS 服务器，就说明存在 DNS 泄露。

你应该只看到属于你的 VPN 服务商的 DNS 服务器，或位于你所连接国家的 DNS 服务器。出现其他任何服务器，都意味着你的 DNS 请求去了不该去的地方。

示例：Tegant 伦敦 XRay 服务器的无泄露结果

下面的截图显示了连接 Tegant 伦敦 XRay 服务器时进行的 DNS 泄露测试。结果中只出现了位于英国的 DNS 服务器，没有本地服务器，这意味着每个 DNS 请求都经过了加密隧道。

显示 Tegant VPN 防护效果的 DNS 泄露测试结果 — 在受限地区使用 Tegant VPN 的 XRay 协议进行的 DNS 泄露测试，结果显示无泄露

无泄露的结果就是这样的。如果你的测试结果与此不同，说明你的 VPN 存在 DNS 泄露问题。

如何防止 DNS 泄露

1. 使用在内部处理 DNS 的 VPN

最可靠的解决办法是使用默认通过自家服务器路由 DNS 查询的 VPN。并不是所有 VPN 都做得好。Tegant VPN 在 WireGuard 和 XRay 两种协议中都会处理 DNS，因此 DNS 请求会经过隧道，而不是发送到你的 ISP 服务器。

2. 每次连接后都进行测试

DNS 泄露可能时有时无。你的 VPN 在家里的 WiFi 上也许一切正常，但在酒店网络上却会泄露 DNS。每次从新网络连接时，都请在 dnsleaktest.com 或 ipleak.net 上快速测试一下。

3. 避免手动设置 DNS

如果你在设备上手动配置了 DNS 服务器（例如 Google 的 8.8.8.8 或 Cloudflare 的 1.1.1.1），这些设置可能会覆盖 VPN 的 DNS。除非你确实需要自定义 DNS，否则请交给 VPN 处理。

4. 保持 VPN 应用为最新版本

DNS 泄露漏洞确实会被修复。如果你使用的是旧版 VPN 应用，可能仍会受到几个月前就已修复的泄露问题影响。

DNS 泄露究竟为何会发生

大多数 DNS 泄露都与操作系统处理 DNS 解析的方式有关。Windows 尤其容易出现这种情况，因为它可以同时通过多个网络接口发送 DNS 查询。即使 VPN 已开启，Windows 也可能通过你的普通连接再发送一份重复的 DNS 请求。

其他常见原因包括绕过 VPN 隧道的 IPv6 流量，以及 Windows 10 和 11 上的“智能多宿主名称解析”（smart multi-homed name resolution）功能：它会把 DNS 请求发送到所有可用接口，看哪个响应最快。你的 VPN 也许能在网页流量上胜出，却在 DNS 上落败。