浏览器安全 DNS 与 VPN 如何协同工作

浏览器可以自己发送加密的 DNS 查询，与 VPN 各走各的。本文说明每种组合的含义，以及如何选出彼此一致的设置。

阅读约 9 分钟更新于 2026年10月15日作者：XPASS Editorial Team

现代浏览器里有一个通常叫“安全 DNS”或“DNS over HTTPS”的设置，它会通过加密通道，把查询网站地址的请求发给浏览器自己选的解析器。VPN 同样会改变这些查询的传输方式。两者同时开启时，哪个说了算、谁真正看得到你的查询、为什么公司网站或路由器页面突然打不开，并不是一目了然的。

本文只谈这种相互作用。如果你想先了解域名系统的基础，请读 DNS 是如何工作的；如果想从更大的角度比较加密 DNS 与完整 VPN，请看 DNS over HTTPS 与 VPN 的区别。这里我们看的是一台电脑上的实际情形：浏览器有自己的 DNS 设置，VPN 有自己的 DNS 处理，以及怎样的选择能让二者保持一致。

一台电脑上的两个解析器

每次查询都从一个问题开始：这个名称对应哪个地址？在大多数电脑上，有两个地方可以提出这个问题。

系统解析器。 操作系统保存一份 DNS 设置，通常由网络自动下发，比如家里的路由器或酒店网络。没有自带设置的程序都用它。VPN 连接后，VPN 软件通常会替换或添加系统的 DNS 服务器。
浏览器解析器。 开启安全 DNS 后，浏览器会跳过系统设置，通过 HTTPS 封装（DNS over HTTPS），有时是 TLS，与它自己选定的 DNS 服务商通信。HTTPS 形式由 RFC 8484 定义。

两者可以同时运行。你的浏览器可能用自己的解析器，而邮件程序、聊天应用和系统更新程序用系统的那一个。这种分工正是本话题的核心：VPN 能指挥系统解析器，但已经配置了服务商的浏览器可能无视这个指挥。

这是否意味着查询离开了隧道？通常没有。在全隧道 VPN 下，设备上的所有网络流量，包括浏览器的加密查询，都会先进入隧道到达 VPN 服务器。浏览器选的服务商看到的来源是 VPN 服务器的地址，而不是你家的地址。变化的并不是查询在本地网络上是否加密，而是 由谁来回答 以及 哪些名称能被回答。

四种组合及其含义

浏览器安全 DNS	VPN	谁能看到你的查询	常见效果
关	关	你的网络及其 DNS 服务器	查询在本地路径上可读
开	关	你选择的 DNS 服务商	本地路径只看到发往解析器的加密流量，但仍看得到你连接了哪里
关	开	VPN 使用的 DNS 服务器	查询在隧道内传输，由 VPN 的设置决定回答者
开	开	你选择的 DNS 服务商，看到的是 VPN 的地址	查询在隧道内，但内部名称可能失败，且解析器与 VPN 的不同

最后一行最容易让人意外。从安全角度看并没有什么“坏掉”，只是你的 DNS 现在由你在浏览器里选的服务商处理，而不是 VPN 分配的那一家。这在实际中有三个后果。

知道你浏览习惯的一方变了。 VPN 的 DNS 与公共解析器是不同的机构，条款也不同。选一个你放心的，并阅读它的隐私声明。
只在某个网络内部存在的名称可能失败。 公司内网、家里的打印机或路由器页面处在私有命名空间里，公共解析器回答不了。
与位置相关的结果可能不同。 有些网站会根据解析器所在位置返回不同的地址，浏览器拿到的可能不是离 VPN 出口最近的服务器。

怎样确认浏览器实际在用哪个解析器

不要想当然，做一个简短的测试就知道了。

先断开 VPN，打开一个 DNS 检测工具。 比如 EFF Cover Your Tracks 网站里与 DNS 相关的检测，或常见的 DNS 泄漏测试页。记下它报告的解析器名称。
连上 VPN，刷新同一个检测。 如果解析器与之前一样，说明浏览器在用它自己的服务商；如果变成了别的，说明用的是受 VPN 指挥的系统解析器。
切换浏览器里的设置。 关闭安全 DNS 重新检测，再打开。三组结果并排，就能清楚知道你的环境是怎么运作的。
换第二个网络重复一遍。 比如手机热点。如果不同网络下表现不同，通常和网络下发 DNS 的方式有关。

解析器名称不是 VPN 的，并不自动等于泄漏。真正有害的泄漏，是你以为已经隐藏、实际却暴露给本地网络或运营商的查询。浏览器选定、经隧道到达的服务商是一种选择，不是泄漏，但你应当清楚自己做过这个选择。想了解有害的那种泄漏长什么样，请读什么是 DNS 泄漏。

在哪里找到这个设置

不同浏览器和版本的菜单名称不同，但主流浏览器的路径大致类似。

基于 Chromium 的浏览器： 打开设置，进入“隐私和安全”，再进入“安全”，找到使用安全 DNS 的选项。通常可选“使用当前服务提供商”，或选一个具名的服务商。
Firefox： 打开设置，进入“隐私与安全”，滚动到 DNS over HTTPS 部分，选择保护级别，如关闭、默认、增强或最大。
Safari 和许多手机浏览器： 加密 DNS 由操作系统层面控制而不是浏览器，因此可能没有单独的开关。

关键的选择在于“使用系统 DNS”（或“当前服务提供商”，即交给系统或 VPN 决定）与“使用指定服务商”。前者尊重 VPN 的设置，后者会覆盖它。

该选哪种设置

没有唯一正确的答案，但下面的情形能指向合理的默认值。

你的情况	建议的浏览器设置	原因
在家使用，只在公共 Wi-Fi 上才开 VPN	开启安全 DNS，选你信任的服务商	没开 VPN 时也能得到帮助
要连接单位网络或内网	使用系统 DNS	内部名称才能继续工作
希望只让一家机构看到你的查询	VPN 开启时使用系统 DNS	由 VPN 决定解析器
想用特定的过滤解析器（家庭、安全）	开启安全 DNS 并指定该服务商	选择是明确的
排查某个网站打不开	暂时切换到系统 DNS	排除一个变量

如果你接受这种取舍，安全 DNS 加全隧道 VPN 的组合完全可以。只要记住：你现在要同时信任两方，也就是 VPN 和 DNS 服务商。

几个实际场景

酒店 Wi-Fi 上的旅行者。 小蓓到了新城市，连上酒店网络。酒店的登录页只能通过酒店网络自己解析的名称打开。此时安全 DNS 开着、VPN 还没连，页面打不开，因为浏览器去问公共解析器，而它不认识这个名称。她把安全 DNS 暂时改为“系统”，登录酒店页面，再连上 VPN，并把安全 DNS 改回去。这个顺序在如何在酒店 Wi-Fi 上使用 VPN 中有更多说明。

上班族与内网。 马库斯连上公司的 VPN，却无法用名称访问内部维基，而同一个名称在别的程序里能用。原因是浏览器的安全 DNS 把这个名称发给了从没听说过它的公共解析器。他把浏览器改为使用系统 DNS，维基立刻就能打开了。依赖内部名称的公司通常会把这一点写进文档。

用过滤解析器的家庭。 一个家庭在浏览器里设置了具名的解析器，给孩子过滤不合适的网站。家长打开个人 VPN 后，过滤似乎在其他应用里失效了，却在浏览器里仍然有效，因为浏览器保留了自己的服务商。他们意识到这个过滤只覆盖浏览器，于是决定其他设备另行处理。

出问题时的排查清单

如果开了 VPN、安全 DNS 或两者之后，某个网站打不开，请按顺序排查。

直接输入数字地址能打开吗？ 如果能，问题在名称解析。
把浏览器设为使用系统 DNS，再试。
断开并重新连接 VPN，然后重启浏览器，让它读取新的网络设置。
清除浏览器的 DNS 缓存。 大多数浏览器有内部页面可以做到，重启一次也行。
在另一个浏览器或隐私窗口里试试。 如果能打开，问题出在某个扩展或浏览器设置。
试试手机流量。 在流量下能打开、Wi-Fi 下打不开，说明是网络下发的本地 DNS 有问题。
查看 VPN 应用里自带的 DNS 选项（如果有），除非客服建议，否则保持默认。分流 DNS 一文解释了为什么有些名称会被刻意发往别处。

如果 VPN 连接正常，但所有页面都打不开，请看 VPN 已连接但没有网络，那里有更全面的检查项。

需要牢记的局限

加密 DNS 不等于完全隐私。 你选的服务商能看到你的查询；每个连接的目的地址仍会被承载流量的一方看到，除非 VPN 把它们对本地网络隐藏。
VPN 不会阻止浏览器自身的追踪。 无论选哪种 DNS，Cookie 与指纹依然存在。
并非所有网络都允许加密 DNS。 有些单位和学校会屏蔽它，或强制使用自己的解析器，浏览器此时会退回系统设置。
设置会随更新变化。 浏览器更新可能重置或改名该选项，大版本更新后记得再检查。
不要猜自己用的是哪家解析器。 在 VPN 开启与关闭时分别测试。

总结

浏览器的安全 DNS 与 VPN 是两个独立的控制项，二者都会影响 DNS。在全隧道 VPN 下，浏览器的加密查询仍然在隧道内传输，但浏览器可能绕开 VPN 自己的 DNS 服务器，这会改变由谁回答你的查询，也可能让内部或本地名称失效。请在 VPN 开启和关闭时分别测试你在用哪个解析器；需要内部名称正常时选系统 DNS，想要某个特定选择时就指定服务商。

如果想用短期的预付通行证试试这些设置，可以随时在价格页面比较各种选项。