DNS 泄漏（DNS Leak）是一种常见但容易被忽视的隐私风险。即使用户已启用 VPN，如果 DNS 查询绕过了加密通道，仍可能暴露真实 IP、访问网站、地理位置等信息。
📖 什么是 DNS 泄漏？
DNS（Domain Name System）负责将网站地址（如 example.com）转换为设备可识别的 IP 地址。
DNS 泄漏是指：用户在使用 VPN 时，本应通过加密隧道发送的 DNS 查询却被错误地发送到了本地 ISP 的服务器。这意味着：
- 你的浏览记录和访问域名可能暴露给 ISP 或第三方；
- VPN 隐私保护失效。
⚠️ 常见导致 DNS 泄漏的原因
- VPN 配置不当：VPN 未强制使用自身 DNS，默认使用了系统或 ISP DNS。
- VPN 不提供专属 DNS：部分 VPN 不具备独立 DNS 服务，导致请求外泄。
- IPv6 支持缺失：设备使用 IPv6，但 VPN 不支持，从而泄漏请求。
- 透明 DNS 代理：某些 ISP 会强制重定向 DNS 请求至其服务器，即使用户手动设置了其他 DNS。
- Windows 智能多宿主解析（SMHNR）：从 Windows 8 起的功能，可能将请求发送至多个 DNS。
- Teredo 隧道机制：Windows 中的 IPv6 过渡协议，可能绕过 VPN 隧道。
🧪 如何检测 DNS 是否泄漏？
使用以下网站可免费测试 DNS 泄漏：
如果测试结果显示的 DNS 服务器属于本地 ISP，而非 VPN 服务商，则说明存在泄漏风险。
🔧 如何修复或防止 DNS 泄漏？
✅ 推荐解决方案：
- 使用可信 VPN，启用 DNS 泄漏防护
- 选择支持“强制 DNS 加密”功能的 VPN。
- 禁用 IPv6（如 VPN 不支持）
- Linux 示例：
sysctl -w net.ipv6.conf.all.disable_ipv6=1
- Linux 示例：
- 关闭 Windows 的 Teredo 和 SMHNR 功能
- 命令行执行：
netsh interface teredo set state disabled
- 命令行执行：
- 设置本地防火墙规则
- 拒绝外部 DNS 流量，仅允许通过 VPN DNS。
- 使用 127.0.0.1 或 0.0.0.0 作为本地 DNS
- 阻断系统 DNS 请求，配合代理或本地解析转发使用。
🌐 其他防护策略
- 自建 VPN 服务：在国外 VPS 上部署专用 VPN，可避免本地运营商干预。
- 使用代理或中转网关：让 DNS 请求由远程服务器代为解析。
- 匿名浏览器：如 Tor，默认已避免本地 DNS 请求，具备较强匿名性。
❓ 常见问题解答
Q: DNS 泄漏会造成哪些影响？
A: 用户的真实 IP、访问内容、位置信息可能暴露，违背使用 VPN 的初衷。
Q: VPN 是否都能防止 DNS 泄漏？
A: 并非所有 VPN 默认启用 DNS 泄漏防护，请确认其是否具备相关功能或手动配置。
Q: 如何验证防护是否生效？
A: 使用上面提到的测试工具，观察是否全部 DNS 查询均通过 VPN 提供商的 DNS 解析。
建议所有需要隐私保护的用户定期进行 DNS 泄漏测试，确保 VPN 配置正确，防止数据暴露。