DNS 泄露检测与修复：WebRTC、IPv6 泄露一起排查

先说结论

很多人以为打开代理后，自己访问什么网站本地网络就完全看不到了。实际上，访问网站要先做一步「把域名翻译成 IP」的 DNS 查询。如果这一步没走代理，而是像平时一样发给本地运营商的 DNS，那么即使后面的网页内容走了代理，本地网络依然知道你查询了哪些域名。这就是 DNS 泄露。

同样的道理，浏览器的 WebRTC 功能和系统的 IPv6 网络也可能绕开代理。好消息是这些问题都能自己检测、自己修复，不需要很深的技术背景。下面先讲原理，再讲检测和修复步骤。

三种常见泄露

为什么开了代理还会泄露

以 Clash 系客户端的规则模式为例。规则里常有「中国大陆 IP 直连」这样按 IP 匹配的规则。客户端要判断一个域名是不是国内 IP，就得先知道它的 IP，于是会在本地做一次 DNS 查询。如果这个查询发给了本地运营商的 DNS，域名就泄露了，哪怕最后这个网站走了代理。

另一个常见原因是「入口」没覆盖到：只开系统代理时，浏览器会把域名交给代理处理，但某些程序会自己查 DNS，不经过客户端。还有浏览器自带的「安全 DNS」（DoH），在某些设置下会绕开客户端，直接向某个 DNS 服务器发请求。

DNS 泄露有多严重，要不要在意

DNS 泄露不会让你的网页内容被看到，HTTPS 加密的内容依然是加密的。它暴露的是「你查询了哪些域名」，比如你什么时候访问过哪个网站。对大多数只是查资料、看视频的人来说，这属于隐私层面的问题；但它还有两个实际影响：

• 网站打不开或变慢：本地 DNS 返回的海外域名解析结果可能不准确或被污染，导致连到错误地址，表现为某些网站时好时坏。
• 地区判断不一致：有些服务会综合参考多种网络信息，出口 IP 在国外、DNS 却在本地，可能增加被风控的概率。

所以即使你不太在意隐私，修复 DNS 泄露也能让上网更稳定，值得花几分钟做一次。换机场、换客户端或者大版本更新后，也建议重新测一遍。

DNS 泄露和 DNS 污染有什么区别

这两个词经常一起出现，但不是一回事：

两者往往同时出现：海外域名在本地解析，既泄露了查询，又可能拿到被污染的结果。Fake-IP 模式能同时解决这两个问题，因为海外域名根本不在本地解析。

DNS 泄露检测：4 步

1. 开启代理，保持日常模式。用你平时的设置（一般是规则模式），这样测出来才有意义。
2. 打开检测网站。常用的有 browserleaks.com/dns、dnsleaktest.com、ipleak.net，任选一个，有「扩展测试」的选扩展测试。
3. 看出口 IP。页面顶部显示的 IP 和地区应该是你选的节点地区。如果显示的是本地，说明代理本身没生效。
4. 看 DNS 服务器列表。重点看 ISP 或运营商一栏，如果出现你本地的运营商（比如你家宽带所属的电信、联通、移动等），说明存在 DNS 泄露；如果都是海外服务器或节点所在地的服务器，一般没问题。

检测网站本身是第三方服务，只用于查看结果，不要在上面输入任何个人信息。

WebRTC 和 IPv6 泄露检测

• WebRTC：打开 browserleaks.com/webrtc 或 ipleak.net 的 WebRTC 部分，看显示的公网 IP 是否为你的真实 IP。只显示局域网地址（如 192.168 开头）问题不大，显示真实公网 IP 就是泄露。
• IPv6：在检测网站看是否显示了 IPv6 地址，以及这个地址属于本地运营商还是节点。属于本地运营商就说明 IPv6 流量没走代理。

修复方法一：Clash 系客户端的 DNS 设置

Clash Verge Rev、FlClash、Clash Meta for Android 等 Mihomo 内核客户端，DNS 相关设置大致在设置里的「DNS」或「DNS 覆写」选项中，也可以在配置文件里写。核心是这几项：

dns:
  enable: true
  enhanced-mode: fake-ip
  nameserver:
    - 国内可用的 DNS 服务器（处理直连域名）
  fallback 或 nameserver-policy:
    - 海外域名交给通过代理访问的 DNS

1. 开启 Fake-IP 模式。Fake-IP 下客户端先给程序返回一个假 IP，真正的解析留给代理端完成，海外域名就不会在本地解析。这是解决 DNS 泄露最有效的一步。
2. 给 IP 规则加 no-resolve。像 GEOIP,CN,DIRECT,no-resolve 这样写，告诉客户端「不要为了匹配这条规则去解析域名」。很多机场的订阅规则已经这样写了。
3. 用机场的默认 DNS 配置。机场订阅里通常带了调好的 DNS 段，没把握时不要随意覆写。

改完后重启客户端或重新加载配置，再去检测网站测一次。配置文件的具体写法以客户端文档为准，不同版本的字段可能有调整。

修复方法二：TUN 模式 + DNS 劫持

只开系统代理时，绕过代理的程序自己查 DNS，客户端管不到。开启 TUN 模式后，所有流量包括 DNS 查询都会进入虚拟网卡，再配合 DNS 劫持（把发往任何地址 53 端口的 DNS 请求都交给客户端处理），就能统一由客户端决定怎么解析。

在 Clash Verge Rev 里，TUN（虚拟网卡模式）的设置里一般有 DNS 劫持相关选项，默认通常已开启。TUN 模式的原理和开启方法见规则、全局与 TUN 模式。

修复方法三：浏览器和系统设置

• 浏览器安全 DNS：Chrome、Edge、Firefox 都有「安全 DNS」或「DNS over HTTPS」选项。排查时可以先关掉对比结果；如果开着，确认它的流量也走了代理。
• WebRTC：开启 TUN 模式后 WebRTC 的 UDP 流量也会进入客户端；或者使用 uBlock Origin 等扩展里「防止 WebRTC 泄露本地 IP」的设置；Firefox 也可以在高级设置里关闭 WebRTC，但会影响网页视频通话。
• IPv6：如果客户端没有处理 IPv6，可以在客户端里关闭 IPv6 相关选项，或者在系统网络设置里暂时禁用 IPv6，测试后再决定。
• 系统 DNS：不要在系统网络设置里手动写死一个 DNS 服务器后又忘了，这会让排查更复杂。

手机端注意事项

iPhone 和安卓上的代理客户端通常通过系统 VPN 接口接管所有流量，包括 DNS，所以泄露情况一般比电脑少。但仍有几点要留意：

• Shadowrocket 等客户端的配置里有 DNS 相关设置，改过后如果出现问题，先恢复默认。
• 安卓系统的「私人 DNS」功能可能绕过客户端，排查时可以先关掉。
• 同样用检测网站测一次，结果比猜测可靠。

修复后的复测清单

1. 重新加载配置。改完 DNS 或开启 TUN 后，重启客户端或重新加载配置文件。
2. 清理浏览器缓存。浏览器会缓存 DNS 结果，可以重启浏览器或用无痕窗口测试。
3. 再测一次 DNS 和 WebRTC。用同一个检测网站对比修复前后的结果。
4. 确认国内网站正常。打开几个常用国内网站，确保直连没有受影响、速度正常。
5. 换设备也测一次。每台设备的设置是独立的，电脑修好了不代表手机也没问题。

常见问题排查

关于 DNS 泄露的误区

• 「开了代理就不会泄露」：DNS、WebRTC、IPv6 都可能绕过代理，需要测一下才知道。
• 「全局模式就安全」：泄露取决于 DNS 设置和接管方式，不是模式。
• 「检测通过就完全匿名」：账号登录、浏览器指纹仍能识别你，代理只解决网络层的一部分。
• 「DNS 改得越复杂越好」：复杂配置容易出错，优先用机场订阅自带的默认配置。

隐私保护的目的是保护自己的正常使用，请遵守所在地法律法规和平台规则。

DNS 泄露分平台修复：Windows、macOS、手机各查什么

客户端的 DNS 设置改对之后仍检测出泄露，问题往往在系统这一层：残留的缓存、多出来的网卡、系统里手动写死的 DNS。各平台优先检查的地方不同：

每处理一项就复测一次，别一口气全改。这样能知道到底是哪一步起了作用，以后换电脑、重装系统也知道该先查哪里。系统大版本更新、装了新的 VPN 或加速器、换了机场之后，都值得再测一遍。

配置完善的机场用哪家

订阅里自带合理 DNS 和规则配置的机场，新手导入后基本不用自己调。可以从本期编辑综合分前 8 的机场里挑，导入后用本文方法测一次。

点表头可排序。价格、流量和每 GB 按官网核对于 2026 年 10 月 24 日；AI / 流媒体为官网标注（✓ 标注支持，△ 部分或需自测，✗ 未标注）。

更多选择看机场推荐和稳定机场。

下一步阅读

代理模式和 TUN 看规则、全局与 TUN 模式；订阅链接安全看订阅链接泄露怎么办；电脑客户端配置看Clash Verge Rev 教程。