DNS 泄漏是什么、如何检测与避免

定义

访问一个网站之前，设备需要先把域名（例如 chatgpt.com）翻译成 IP 地址，这个过程叫 DNS 解析。DNS 泄漏是指：流量本身走了代理，但解析请求却绕过代理，直接发给了本地网络或运营商的 DNS 服务器。

原理

不使用代理时，系统会把解析请求发给网络中配置的 DNS 服务器，得到 IP 后再建立连接。使用代理后，理想情况是解析也由代理客户端统一处理。但下面几种情况会导致泄漏：

• 只开启了系统代理，某些程序在连接前自行向系统 DNS 发起了解析。
• 浏览器启用了内置的加密 DNS，绕过了客户端。
• 客户端没有开启 DNS 接管，解析仍由操作系统完成。

泄漏的内容是“你访问了哪些域名”，而不是通信内容本身。HTTPS 通信内容仍然是加密的。

与相近概念的区别

对 AI 工具使用的影响

DNS 泄漏一般不会直接决定 AI 服务是否可用，因为服务端看的是建立连接时的出口 IP。但它可能带来几个间接问题：

• 解析结果不理想：本地解析得到的服务器地址可能离代理节点较远，导致延迟增加。
• 解析结果被污染：部分资源域名解析失败，页面表现为加载不完整，类似 ChatGPT 无法加载 / 一直转圈 中的情况。
• 规则匹配受影响：如果客户端依赖 IP 类规则做分流，错误的解析结果会让流量被分到错误的出口，规则原理见 分流规则：让 AI 流量走对节点。

如何检测

方法一：DNS 泄漏检测网站。 在开启代理的状态下，搜索并打开一个 DNS 泄漏检测类网站，运行检测。如果结果中出现了本地运营商的 DNS 服务器，说明存在泄漏。

方法二：终端查询。 在 fake-ip 模式下，客户端会为域名返回一个保留网段的“假地址”：

nslookup chatgpt.com

如果返回的是 198.18. 开头的地址，说明解析已被客户端接管；如果返回的是真实的公网地址，并且查询的服务器是本地路由器或运营商 DNS，说明解析没有经过客户端。

实际建议

在 Clash 系客户端中，可以开启 DNS 接管并使用 fake-ip 模式。下面是一个示意配置片段，具体字段和默认值以你所用客户端的文档为准：

dns:
  enable: true
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16

此外：

• 优先使用 TUN 模式，让客户端接管所有程序的 DNS 请求。
• 如果分流结果异常，尝试关闭浏览器内置的安全 DNS 功能。
• 对依赖真实解析结果的局域网服务，把相关域名加入 fake-ip 排除列表。

更多基础概念可参考 梯子是什么：机场、订阅、节点与线路。