DNS 泄漏检测和修复

上网时，设备要先把域名（比如 google.com）翻译成 IP 地址，这一步叫 DNS 查询。正常情况下，开了代理后这一步也应该交给代理处理。如果查询还是发给了本地运营商的 DNS 服务器，就叫 DNS 泄漏。

DNS 泄漏有什么影响

• 访问记录暴露：本地运营商能看到你查询了哪些域名，即使后续连接走了代理。
• 解析结果被污染：部分境外域名在本地 DNS 上可能返回错误的地址，导致网站打不开、加载异常或证书报错。
• 地区判断不一致：有些网站会参考 DNS 解析来源判断用户位置，可能出现内容地区错乱。

对大多数只想正常上网的人来说，最直接的影响是第二点：某些网站时好时坏、明明节点正常却打不开。

为什么会泄漏

上图为星岛梦在珠海联通骨干网下的全节点测试，落地 IP 纯净度高，无 Cloudflare 人机阻断，完美适配 ChatGPT 与 Claude。

怎么检测

1. 打开代理，选择一个固定节点，确认网页能正常访问；
2. 用浏览器打开 DNS 泄漏检测网站，比如 dnsleaktest.com，选择扩展测试（Extended test）；
3. 等待测试完成，查看列出的 DNS 服务器所属的运营商和国家。

结果怎么读：

• 列表里只有境外的服务商（节点所在地的机房或公共 DNS）——没有泄漏；
• 列表里出现中国的运营商（电信、联通、移动等）——存在泄漏；
• 两种都有——部分泄漏，通常是规则模式下国内外分流造成的。

怎么修复

开启 TUN 模式

TUN 模式会接管设备上所有程序的流量，包括 DNS 查询，是解决泄漏最直接的办法。电脑客户端一般在设置里可以开启，手机客户端本身就以 VPN 方式运行，效果类似。

使用 fake-ip 或远程解析

Clash 系客户端支持 fake-ip 模式：本地程序查询域名时，客户端先返回一个占位地址，真正的解析交给节点在远端完成，域名查询不会发给本地运营商。很多订阅配置默认就是这种模式，可以在客户端的 DNS 设置里确认。

检查客户端 DNS 设置

如果配置里把所有域名都交给国内 DNS 解析，可以把境外域名的解析改为通过代理或使用境外加密 DNS。改动前建议先备份配置，不熟悉的话优先使用机场提供的默认配置。

处理 IPv6

如果你的网络有 IPv6，而客户端没有处理 IPv6 流量，可以在客户端中开启 IPv6 支持，或在系统里暂时关闭 IPv6 后再测试。

检查浏览器设置

浏览器开启了「安全 DNS」或「DNS over HTTPS」时，查询会直接发给浏览器指定的服务。这本身是加密的，不会被本地运营商看到具体内容，但可能影响分流判断。如果遇到网站解析异常，可以先关闭它再测试。

常见问题

规则模式下有一点泄漏，必须修吗？ 国内网站本来就走直连，用国内 DNS 解析国内域名是正常的。只要境外域名不经过本地 DNS，就不用太在意。

修复后网站还是打不开？ DNS 只是其中一环，还可能是节点或 TLS 握手的问题，可以继续看TLS 握手错误怎么办，或用在线连通性检测确认具体是哪个网站有问题。

网络质量监控与资产风控深度建议

无论是日常测速监控还是防范商家跑路风险，掌握工程化的自测方法与应急方案至关重要：

1. 科学测速的正确窗口：
   • 避免在日间空闲时段测速，那是机房最轻松的状态；
   • 务必在 晚上 20:00 - 23:00 黄金拥堵时段 进行 32 线程并发打流，只有在此时依然能跑满 500Mbps 以上且丢包率低于 0.5% 的节点，才具备真正的企业级专线素质；
2. 面对网络波动的 3 分钟自救法则：
   • 第一步：校准本机系统时间（时间偏差超过 90 秒将直接导致 TLS 握手彻底失败）；
   • 第二步：在客户端内手动点击“更新订阅”，拉取最新的备用入口解析；
   • 第三步：尝试切换至非热门地区的备用落地（如新加坡或美国节点）；
3. 资产安全与主备双持：
   • 永远不要把一两年的网络使用完全寄托在单一不知名新商家上；
   • 建议主力选用 星岛梦（企业级内网专线）或 光速云，搭配一个 飞猫云 年付或星岛梦不限时流量包作为备用容灾方案，实现工作生活 100% 永不断网。