这篇文章只处理一件事：检测到 DNS 泄露以后怎么修，以及修好后怎么防止再次出现。DNS 泄露是什么、怎么检测、用什么工具，这里不再重复展开；如果你还不确定当前结果是否属于泄露，可以先看 DNS 泄露是什么 和 DNS 泄露检测方法。
真正修复 DNS 泄露，重点不是机械地换一个 DNS 地址，而是确认实际使用的 DNS 解析器是否符合当前 VPN、系统或浏览器的配置预期。下面按“先修复、再防护”的顺序来处理。
总览
| 项目 | 说明 |
|---|---|
| 文章定位 | DNS 泄露修复与长期防护 |
| 最快处理 | 暂停敏感访问 → 确认异常解析器来源 → 针对性修复 → 重新连接 → 复测 |
| 重点排查 | VPN、系统 DNS、浏览器安全 DNS、IPv6、路由器 / DHCP |
| 验证标准 | 检测到的 DNS 解析器与当前网络配置预期一致 |
目录
- 1. 检测到 DNS 泄露后怎么修复？
- 2. DNS 泄露如何长期防护？
- 3. 常见问题 FAQ
1. 检测到 DNS 泄露后怎么修复？
如果检测结果里出现了不该出现的本地运营商 DNS、非预期公共 DNS，或者 VPN 连接前后检测到的解析器没有按预期变化，先不要急着反复换节点或改地址。按下面的顺序排查，通常更容易找到真正原因。
1.1 第一步：先暂停敏感访问，不要直接把 VPN 断掉
发现 DNS 泄露后，先停止登录、提交表单、交易等敏感操作，保留当前网络环境用于排查。如果你本来就是依靠 VPN 隐藏原始网络出口，直接断开 VPN 后继续访问网页，反而可能让后续流量直接走本地网络。
如果 VPN 本身已经掉线或频繁重连，可以先暂停网络访问，确认 Kill Switch 是否生效，再重新建立 VPN 连接。这里的重点是先停止继续产生不必要的请求，再处理连接，而不是把“断开 VPN”当作固定修复步骤。
1.2 第二步：确认到底是哪一层没有按预期走 DNS
DNS 泄露检测工具通常能显示参与当前查询的解析器或解析节点信息，但不能仅凭网页检测结果还原完整的网络路径。看到一个陌生 IP 并不等于一定泄露，判断时要和你的网络配置对照：你预期 DNS 应该由谁处理，检测到的解析器是否符合这个预期。
| 检查项 | 重点看什么 | 常见异常 |
|---|---|---|
| VPN DNS | VPN 是否明确接管 DNS | 连接 VPN 后仍出现本地运营商 DNS |
| 系统 DNS | 网卡当前使用的解析器是否符合预期 | DHCP、旧配置或其他软件改写了 DNS |
| 浏览器安全 DNS | 浏览器是否单独指定了 DoH 提供商 | 浏览器走自己的 DNS，与 VPN / 系统策略不一致 |
| IPv6 | VPN 是否同时覆盖 IPv4 和 IPv6 的 DNS 路径 | IPv4 走隧道，IPv6 DNS 仍走本地网络 |
| 路由器 / DHCP | 路由器给设备下发了什么 DNS | 多台设备同时出现同一组非预期 DNS |
如果还不知道检测结果该怎么看，可以参考 DNS 泄露检测方法；需要对比不同检测工具时，再看 DNS 泄露检测工具对比，这篇不再重复工具教程。
1.3 第三步：按泄露来源针对性修复
情况一：VPN 没有接管 DNS
优先检查 VPN 客户端是否提供「DNS Leak Protection」「Use VPN DNS Only」「强制 DNS 走隧道」等选项，并确认它是否对当前连接模式生效。不同客户端名称不同，不要只看开关是否存在，还要在重新连接后复测。
如果 VPN 支持 Kill Switch，也建议一并开启。Kill Switch 主要解决的是隧道掉线时流量回落到本地网络的问题，它不能替代 DNS 配置，但能减少断线窗口期的暴露。
情况二：系统 DNS 与预期不一致
先检查系统网络适配器当前的 DNS 来源，是自动通过 DHCP 获取，还是被手动指定。需要使用加密 DNS 时，要区分“更换 DNS 服务器”和“启用 DoH / DoT”：把 DNS 地址改成 1.1.1.1 或 8.8.8.8，并不代表查询已经自动加密。
Windows 需要配置加密 DNS 时，可以参考 Microsoft 的 DNS over HTTPS 官方说明。DoH 的作用是加密设备到解析器之间的 DNS 通信，但如果你同时使用 VPN，仍然要确认这个解析器和查询路径是否符合 VPN 的预期。
情况三：浏览器安全 DNS 与系统 / VPN 冲突
Chrome、Edge、Firefox 都可以单独使用安全 DNS。如果浏览器指定了自己的 DoH 服务商，而 VPN 又希望统一接管 DNS，两套策略可能出现不一致。遇到这种情况，不要默认“浏览器 DoH 开着就更安全”，而是根据你的目标选择一套明确策略，修改后重新检测。
如果只是想确认浏览器 DoH 的配置方式，可以参考 Cloudflare 的 浏览器 DoH 配置说明。
情况四：IPv6 DNS 没有被当前隧道覆盖
如果当前网络启用了 IPv6，而 VPN 只接管了 IPv4，DNS 查询可能从 IPv6 路径离开本地网络。优先选择能够完整支持 IPv6 的 VPN；只有在确认当前 VPN 不支持 IPv6、并且确实因此产生非预期 DNS 路径时，才把临时关闭 IPv6 作为排查手段，而不是默认长期禁用。
情况五：路由器或 DHCP 下发了非预期 DNS
如果同一网络里的多台设备都出现相同的异常 DNS，检查路由器 WAN / LAN 的 DNS 设置以及 DHCP 下发的解析器。修改后让设备重新获取网络配置，再复测。单纯把路由器 DNS 改成某个公共服务，并不能自动解决 VPN 内的 DNS 泄露，关键仍然是最终查询路径是否符合预期。
1.4 Windows 多次修复无效，再考虑重置网络栈
如果 Windows 上已经确认 VPN、系统 DNS 和浏览器设置都正确，但网络适配器仍表现异常，可以把网络栈重置作为最后一步排查，而不是一开始就执行。执行下面的命令时，请以管理员身份打开 Windows 终端或命令提示符。
netsh winsock reset
netsh int ip reset
ipconfig /flushdns
执行后重启电脑，并重新检查 VPN、静态 IP、DNS 等网络设置。ipconfig /flushdns 只是清理本地 DNS 缓存，本身不会改变 DNS 查询路由，因此不能把它当成独立的“防泄露方法”。
1.5 第四步：重新建立连接并复测
完成修改后，重新建立 VPN 或网络连接，再运行 DNS 泄露检测。验证时重点看两件事：
- 检测到的解析器是否属于你预期的 VPN、企业 DNS 或公共 DNS 服务；
- 切换网络、重连 VPN 后，检测到的解析器是否仍符合预期，没有再次出现本地运营商或其他非预期解析器。
不要机械要求结果必须显示 1.1.1.1、8.8.8.8 或某个固定名称。公共 DNS 常使用分布式解析节点，检测工具看到的服务器地址未必和你手动填写的入口地址完全一致。
2. DNS 泄露如何长期防护？
修复一次只能解决当前问题。长期防护的重点是建立一套清晰、可验证的 DNS 策略，避免 VPN、系统、浏览器、IPv6 和路由器各自使用不同的解析方式。
2.1 使用 VPN 时，优先让 VPN 明确接管 DNS
如果你的目标是让 DNS 和其他网络流量都跟随 VPN，优先使用 VPN 客户端自带的 DNS 保护功能，并开启 Kill Switch。这样比同时在系统和多个浏览器里各自指定不同 DNS 更容易维护。
如果使用了分流（Split Tunneling），要特别留意 DNS 是否也被分流。部分应用走 VPN、部分应用走本地网络时，预期使用的 DNS 解析器本身就可能不同，检测时要按实际分流规则判断，不能只看“出现几个 DNS”。
2.2 想加密 DNS，要启用 DoH / DoT，而不是只换公共 DNS
DoH 和 DoT 都是加密 DNS 查询的方式。Cloudflare 官方也将传统解析器设置和加密 DNS 分开说明：只有客户端实际使用 DoH / DoT 时，设备到解析器之间的 DNS 查询才会走对应的加密通道。可以参考 Cloudflare DoH 文档。
需要注意的是，DNS 加密和 DNS 泄露不是同一个判断维度。DoH / DoT 解决的是查询内容在传输过程中的加密；DNS 泄露关注的是查询有没有交给预期的解析器，以及是否符合当前 VPN、系统或浏览器的 DNS 策略。如果 VPN 本应接管 DNS，浏览器单独把查询发给另一个 DoH 服务商，查询虽然加密了，也不一定符合你的 VPN 配置预期。
2.3 Windows、macOS、iOS、Android 重点看什么
| 平台 | 防护重点 |
|---|---|
| Windows | 确认 VPN DNS 与网卡 DNS 不冲突；需要加密 DNS 时再配置系统 DoH，并在修改后复测。 |
| macOS / iOS | 手动填入 DNS 服务器地址不等于启用 DoH / DoT；需要加密 DNS 时使用系统支持的 DNS 配置方式或可信应用，并确认与 VPN 策略一致。 |
| Android | 系统提供 Private DNS；如果同时使用 VPN，不要只看 Private DNS 是否开启，还要确认最终解析器是否符合 VPN 的 DNS 设计。 |
| 浏览器 | Chrome / Edge / Firefox 的安全 DNS 可能使用独立解析器。与系统或 VPN 冲突时，优先保持一套清晰策略。 |
Apple 官方的 DNS Settings 支持文档说明了 DNS over HTTPS / DNS over TLS 的系统配置能力，可参考 Apple DNS Settings；Android 的 Private DNS 入口和说明可参考 Google Android 官方帮助。
2.4 IPv4 / IPv6 都要纳入同一套检查
现在很多网络是 IPv4 / IPv6 双栈。如果只检查 IPv4，可能漏掉 IPv6 下的 DNS 路径。更稳妥的做法是确认 VPN 和 DNS 配置同时覆盖双栈；如果当前 VPN 不支持 IPv6，再根据实际情况决定是否临时关闭 IPv6，而不是把“关闭 IPv6”当成通用解决方案。
2.5 路由器 DNS 适合统一家庭网络，但不能替代设备或 VPN 策略
在路由器上统一 DNS，适合给家里的手机、平板、电视和其他设备提供一致的默认解析器。但设备可以手动指定 DNS，浏览器也可以使用 DoH，VPN 还可能完全接管 DNS，所以路由器只是其中一层。
如果你的问题只出现在某一台设备，不必先折腾路由器；如果同一网络里的多台设备同时出现相同 DNS 异常，再优先检查路由器和 DHCP。
2.6 哪些情况下应该重新做一次 DNS 泄露检测？
- 刚安装、升级或更换 VPN 客户端后；
- 修改系统 DNS、浏览器安全 DNS、Private DNS 或加密 DNS 配置后；
- 从家庭网络切换到公司、酒店、公共 Wi-Fi 或手机热点后；
- 修改路由器、DHCP、IPv6 或分流规则后；
- VPN 频繁掉线、更新网络驱动或重置网络设置后。
不需要为了“定期检测”机械地规定每天、每周或每月一次。对大多数人来说，网络路径发生变化后复测更有实际意义。
如果你还想继续了解 DoH、DoT、DNSSEC 分别解决什么问题，可以看 DNS 安全指南，这里不再把相关原理重复展开。
3. 常见问题 FAQ
Q1：检测到 DNS 泄露怎么办？
先暂停敏感访问，不要盲目断开 VPN。确认检测结果里是哪一组 DNS 不符合预期，再依次检查 VPN DNS、系统 DNS、浏览器安全 DNS、IPv6 和路由器 / DHCP。修改后重新建立连接并复测，确认检测到的 DNS 解析器已经回到预期状态，并与当前 VPN、系统或浏览器的 DNS 配置一致。
Q2：Windows DNS 泄露怎么处理？
Windows 上优先检查 VPN 是否接管 DNS、当前网卡 DNS 是否被 DHCP 或其他软件改变，以及 Chrome / Edge 是否单独启用了安全 DNS。只有在配置看起来都正常但网络栈仍异常时，再考虑重置 Winsock、IP 配置并清理 DNS 缓存。单独执行 ipconfig /flushdns 不能解决 DNS 路由泄露。
Q3：开了 VPN 为什么还会 DNS 泄露？
常见原因包括 VPN 没有接管 DNS、浏览器使用了独立 DoH、IPv6 DNS 没有被隧道覆盖、分流规则把部分 DNS 留在本地网络，或者系统 / 路由器仍在使用另一组解析器。开着 VPN 只能说明隧道建立了，不代表所有 DNS 查询一定跟随隧道。
Q4：手机如何防止 DNS 泄露？
如果使用 VPN，先确认 VPN 自带的 DNS 保护是否开启，并在 Wi-Fi 与移动网络之间切换后复测。Android 可以使用系统 Private DNS；iOS / iPadOS 需要通过系统支持的 DNS 配置方式或可信应用使用加密 DNS。无论采用哪种方式，都要以检测到的 DNS 解析器是否符合当前网络配置预期为准。
Q5：把 DNS 改成 1.1.1.1 就能修复 DNS 泄露吗？
不一定。改成 1.1.1.1 只是更换了解析器；是否使用 DoH / DoT、是否由 VPN 接管、IPv6 是否仍出现非预期解析器，都需要另外确认。如果你使用 VPN，真正的修复目标应该是让 DNS 按 VPN 或你的网络策略走到预期解析器，而不是只把某个地址填进去。
