什么是 DNS 泄漏？

DNS 泄漏是指设备在 VPN 隧道之外查询网站地址。本文说明它为什么发生、如何检测，以及该怎么处理。

阅读约 7 分钟更新于 2026年10月15日作者：XPASS Editorial Team

每次你输入一个网站名称，设备都要先弄清楚这个名称对应哪个地址，这个查找过程叫 DNS 查询。使用 VPN 时，这些查询应当与其余流量一起走加密隧道。DNS 泄漏就是它们没有走隧道：查询以正常方式发出，负责那条路径的人就能看到你在问哪些网站。

先简单回顾 DNS

DNS（域名系统）相当于互联网的电话簿。计算机靠数字地址相互连接，而人们使用 example.com 这样的名称。你打开一个名称时，设备会请 DNS 服务器把它翻译成地址。这套系统在 RFC 1034 和 RFC 1035 中有描述，DNS 是如何工作的一文用通俗的语言逐步讲解。

默认情况下，设备使用网络分配的 DNS 服务器，通常由网络运营商或网络所有者运营。传统的 DNS 查询没有加密，路径上的任何人都能读取。

DNS 泄漏是什么样子

把两种情况放在一起对比：

	没有泄漏	有泄漏
网页流量	走 VPN 隧道	走 VPN 隧道
DNS 查询	通过隧道发往 VPN 选定的 DNS 服务器	绕出隧道，发往网络运营商或本地网络的 DNS 服务器
网络运营商看到什么	一条通往 VPN 服务器的加密连接	同样如此，外加你查询过的网站名称列表

页面内容仍在隧道内受到保护，所以 DNS 泄漏不会交出你的密码或消息。泄漏的是元数据：比如记录了这条连接在某些时间查询过 examplebank.com 和 examplenews.com。对很多人来说，这恰恰是他们希望 VPN 遮住的信息。

一个具体例子

小米在酒店里连上了 VPN，然后打开一个旅行论坛。浏览器首先会问：“这个论坛的地址是什么？”如果这个问题通过 VPN 隧道发出，酒店网络只能看到加密流量；如果这个问题泄漏出去，被发到酒店的 DNS 服务器，酒店网络就能记录下小米查询过那个论坛，尽管页面本身是通过 VPN 加载的。

DNS 泄漏为什么会发生

操作系统使用了不止一个 DNS 服务器。 有些系统会把查询同时发给多个服务器，或发给最先响应的那一个，其中可能包括隧道之外的服务器。
自定义 DNS 设置。 如果你或某个应用在设备或路由器上配置了固定的 DNS 服务器，VPN 可能无法覆盖它。
网络切换。 在 Wi-Fi 和移动数据之间切换，可能重置所使用的 DNS 服务器。
IPv6 处理。 如果 VPN 只处理 IPv4（IPv6 见 RFC 8200），而网络提供 IPv6，一些查询可能绕过隧道。
浏览器级别的 DNS。 有些浏览器可使用基于 HTTPS 的加密 DNS（RFC 8484），并连接它自己选定的服务器。这可以让查询不被本地网络看到，但也意味着查询不遵循 VPN 的 DNS 设置。
被排除在隧道之外的应用。 如果设置某些应用不走 VPN，它们的查询也会跟着绕出去。
连接不稳定。 如果 VPN 断开又重连，查询可能在空档期间发出。

泄漏通常是配置问题，而不是有人在攻击你。这是个好消息，因为配置是可以修复的。

如何检测 DNS 泄漏

断开 VPN，在任意可信的测试网站上运行 DNS 泄漏测试，记下出现的 DNS 服务器。这些是你平时使用的，通常属于网络运营商或路由器。
连接 VPN，等待显示为已连接。
再次运行测试。此时列出的服务器应与第一次不同，也不应属于你平时的网络运营商。
在其他经常使用的网络上重复测试，比如移动数据。
换用不同应用或浏览器后再测一次，因为浏览器的行为可能不同。

如果连接后的结果仍显示运营商的 DNS 服务器，很可能存在泄漏。帮助指南如何检查 VPN 是否在正常工作把这项测试和其他测试放在了一起。相关的问题 WebRTC 泄漏可能通过浏览器暴露你的真实 IP，需要单独测试。

如何修复 DNS 泄漏

按顺序处理，每改一项就重新测试一次。

重新连接 VPN。 断开，等几秒，再连接，然后重新运行测试。
更新应用和操作系统。 很多泄漏在更新中已修复。
检查被排除的应用。 如果有应用被设置为绕过 VPN，请取消排除，或在没有它们的情况下测试。
检查自定义 DNS 设置。 如果设备或路由器手动设置了 DNS 服务器，请改回自动，让 VPN 提供自己的 DNS。
检查浏览器的 DNS 设置。 如果你开启了浏览器自带的安全 DNS 选项，测试时先关闭再对比结果。
换个网络再测。 试试移动数据，看问题是否只与某个 Wi-Fi 有关。
尝试其他连接方式，如果应用允许选择。账户的 My Pass 页面列出了支持的连接方式。
联系支持。 如果泄漏依旧，把测试结果告诉服务商。

不要为了通过测试而关闭防火墙等安全功能。

局限与注意事项

某一天在某个网络上测得干净的结果只是一个快照，而不是保证。操作系统更新、更换路由器或换了网络之后，要重新测试。
各测试网站并不相同，有些更好。对结果拿不准时，可以多用几个。
修复 DNS 泄漏不会让你匿名。Cookie、账号和指纹仍能识别你，更完整的情况见 VPN 能让你匿名吗。
有些 VPN 工具提供“断网开关”（kill switch），在 VPN 断开时阻止流量。如果你的应用有这个功能，它能防止重连期间的泄漏。
公司或学校的网络级 DNS 过滤是另一套设置。未经许可，请勿尝试修改受管设备上的设置。

总结

DNS 泄漏意味着你的网站查询跑到了 VPN 隧道之外，所以即使页面内容受保护，网络运营商或本地网络仍能看到你访问了哪些网站。成因大多是配置问题：多个 DNS 服务器、自定义设置、IPv6、浏览器 DNS、被排除的应用或不稳定的连接。分别在有 VPN 和没有 VPN 时测试，一步一步修复设置，并在配置变化时重新测试。

如果想检查自己的连接，帮助中心有分步指南，XPASS 预付通行证则提供固定时长供你试用，不会自动续费。