DNS 泄露是什么？原因与防护方法
讲清 DNS 泄露的含义与成因：开了代理但解析仍走本地，如何自查与防护，包括远程解析、加密 DNS（DoH/DoT）与分流配置的基本思路。
速览结论
DNS 泄露指开了代理但域名解析仍走本地直连，可能暴露访问意图或解析到污染结果。防护思路是让 DNS 走代理或使用加密 DNS（DoH/DoT），在客户端开启远程解析/fake-ip，并检查分流规则是否把 DNS 放行成直连。
关键事实
- DNS 泄露 = 代理已开，但解析这一步仍走本地。
- 常因分流规则不当或未开远程解析导致。
- 防护：远程解析、加密 DNS（DoH/DoT）、核对分流规则。
适用范围与局限
不同客户端的 DNS 选项名称与默认值不同，本文为通用思路，具体以各客户端文档为准；防护 DNS 不替代合规上网的责任。
有人会遇到”明明连着代理，某些网站还是打不开，或访问记录好像被看到了”的情况，这常常和 DNS 泄露有关。
什么是 DNS 泄露
访问网站分两步：先把域名解析成 IP（DNS 查询），再连接那个 IP。如果代理只接管了第二步，而 DNS 查询仍走本地直连，就叫 DNS 泄露。后果是：你查询了哪些域名可能被本地网络看到，或被解析到被污染的错误地址。
常见成因
- 分流规则把 DNS 请求放行成了直连。
- 客户端未开启”远程解析”，用了本地/运营商 DNS。
- 系统层另有 DNS 设置覆盖了客户端。
怎么自查
对比”开代理前后”的解析结果，或访问一些 DNS 泄露检测页面，看解析出口是否与节点落地一致。若解析落在本地运营商，多半存在泄露。
防护思路
- 开启远程解析 / fake-ip：让域名解析通过代理在远端完成。
- 使用加密 DNS（DoH/DoT）：减少解析被窥探或污染。
- 核对分流规则：确认 DNS 没有被错误地放行直连，配置思路见自定义分流规则。
- 结合分应用代理时，尤其要确认 DNS 跟随正确的出口。
不同客户端的选项名称不一，细节以各客户端文档为准。防护 DNS 能提升隐私，但不替代遵守所在地区法律法规的责任。