DNS 泄漏检测指南
网页走了 VPN，域名解析也走了吗？先看实际出现的解析器，再对照你希望使用的 DNS 路径。
什么是 DNS 泄漏？
DNS 把域名转换为网络地址。DNS 泄漏通常指：你希望解析请求经过 VPN 或指定的解析服务，但它仍交给了预期之外的解析器，例如接入网络的运营商 DNS。
网页出口 IP 和 DNS 解析器承担不同角色，不要求地址或国家相同。出现 Google、Cloudflare 等公共 DNS，也不能单独证明泄漏或证明请求已经经过 VPN。
重点是是否符合预期路径，而不是两个 IP 是否相同。
DNS 检测结果分别代表什么？
本页结合解析器组织和出口网络标记给出线索，不会直接读取你的 VPN 隧道或系统 DNS 设置。
- 疑似 DNS 泄漏
- 出口存在 VPN、代理或 Tor 标记，同时观测到接入运营商类解析器。建议核对 VPN 的 DNS 接管和分流设置；这是需要复核的线索，不是对隧道流量的直接证明。
- 未发现明显泄漏
- 已观测解析器均匹配当前识别的公共 DNS 组织，未触发本页的运营商解析器提示。仍需确认这些服务是否符合你的预期，不能据此断言所有 DNS 请求都走了 VPN。
- 无法验证
- 有解析记录但网络归属信息不足，或现有证据无法说明查询路径。私人解析器、企业转发器和不在识别范围内的组织都可能出现这种结果。
- 未收到查询记录
- 本次测试没有获得可用的解析器观测。网络策略、查询失败或检测服务不可用都可能造成缺失；没有记录不等于没有泄漏。
按这四步核对 DNS 路径
先明确预期，再比较实际结果；一次只调整一项设置，更容易定位差异。
确认预期解析器
查看 VPN、路由器、系统和浏览器是否配置了独立 DNS。浏览器的“安全 DNS”可能使用另一家服务，应先确认这是主动选择还是意外行为。
比较连接前后结果
在允许的网络条件下分别记录 VPN 连接前后的解析器组织和公网出口。不要只看国家旗帜；同一 DNS 服务可能使用不同地址和机房。
检查分流与 DNS 接管
核对 VPN 的 DNS 防泄漏、IPv6 和分流设置。仅代理浏览器网页请求的扩展，不一定控制操作系统或其他应用的解析流量。
重新检测并交叉验证
调整后重新运行本页，再检查 WebRTC 出口。企业网络按管理员的既定策略处理，不要为了改变检测标签随意关闭安全 DNS。
CHA.LA 是怎样检测的？
页面为本次检测创建短时 DNS 会话，访问专属查询名，并读取观测服务记录的递归解析器地址。查询来源说明哪个解析器向观测服务发起了请求，不一定就是设备配置界面中的那个地址。
随后根据解析器组织名称和当前出口的 VPN、代理、Tor 标记进行规则判断。普通 PTR、CNAME 或域名解析查询只能查询记录，不能替代这种针对当前连接的 DNS 观测。
常见问题
关于公共 DNS、VPN、安全 DNS 和结果差异。
出现 Google 或 Cloudflare DNS，是不是泄漏？
不一定。VPN、浏览器安全 DNS 和路由器都可能主动使用公共 DNS。关键是它是否符合你选择的策略，以及请求是否走了预期路径。本页能展示观测到的解析器，不能仅凭服务商名称还原整个连接。
DNS 和 VPN 的国家不同，正常吗？
可能正常。公共解析器使用 Anycast、跨区转发或不同出口，IP 位置库也可能有误差。应结合解析器组织、VPN 说明和连接前后的变化判断，不要把国家不一致直接视为泄漏。
为什么一次会出现多个 DNS 解析器？
负载均衡、多个上游、IPv4/IPv6 和转发机制都可能让同一次检测看到多个查询来源。数量本身不是风险指标；应检查每个解析器是否属于预期服务。
启用 DoH 或 DoT 就一定没有 DNS 泄漏吗？
不是。DoH 和 DoT 加密的是设备或转发器到解析服务的一段连接。是否经过 VPN、由哪家服务处理请求，以及其他应用是否使用相同设置，是另外的问题。加密 DNS 不能自动证明路径符合你的预期。
为什么无痕模式也能看到解析器？
无痕模式主要影响本地浏览历史、Cookie 等会话数据，不负责把 DNS 或所有网络连接切换到另一条路径。它不会天然隐藏网络查询来源。
这个检测和 DNS 查询工具有什么区别？
DNS 查询工具询问指定域名或 IP 的记录，例如 CNAME、PTR。本页通过本次会话的专属查询名观察当前连接使用的解析器。前者回答“记录是什么”，后者回答“这次查询由谁处理”。