一个常见又隐蔽的故障：代理明明连上了，访问IP查询站显示的也是代理出口，可目标网站还是识别出了你的真实位置——原因很可能出在DNS。代理只转发了网页流量，DNS查询仍走本地运营商，这就是DNS泄漏。这篇讲清怎么检测、怎么修。
一、什么是DNS泄漏
访问任何网站，浏览器都要先通过DNS把域名解析成IP地址。如果代理只代理了HTTP/HTTPS流量，没有接管DNS查询，那么DNS请求会直接从本地网络发出，由运营商的DNS服务器处理。结果是：
- 运营商知道你访问了哪些域名（即使内容加密）。
- DNS服务器的归属暴露了你的真实网络位置，目标网站可据此做地理风控。
- 部分网站会根据DNS来源判断”代理不完整”，直接标记为可疑。
二、怎么检测
- 专用检测站：访问DNS泄漏检测类网站，它会显示当前正在使用哪些DNS服务器及其归属地。如果显示的是你本地运营商的DNS，说明泄漏了。
- 命令行对比：开代理前后分别用 nslookup 或 dig 查询同一域名，看返回的解析路径是否一致；也可以直接查看系统当前使用的DNS服务器。
- 浏览器开发者工具：在网络面板里查看DNS请求的实际走向，是否走了代理通道。
三、常见原因
- 客户端不支持远程DNS：部分代理协议默认不转发DNS，需要手动开启远程解析选项。
- 系统DNS未改：代理生效但系统仍指向运营商DNS，查询自然走本地。
- 分流规则把DNS走直连：为了”加速”把DNS设成直连，反而造成泄漏。
- DoH/DoT未启用：加密DNS能减少运营商层面的可见性，但也需配合走代理通道。
四、修复方法
- 开启远程DNS解析：在代理客户端里勾选”远程DNS””通过代理解析DNS”等选项，让DNS查询走代理出口。
- 改用加密DNS：把系统或浏览器DNS改为DoH/DoT，并确保其本身也走代理通道。
- 检查分流规则：确认没有规则把DNS流量导向直连。
- 修复后复测：重新跑一次检测，确认显示的DNS服务器归属已是代理出口所在地，而非本地运营商。
写在最后
代理”连上了”不等于”完全生效”。DNS泄漏是代理使用中最容易被忽视的一环，也是很多”明明换了IP还被识别”的真实原因。养成连代理后跑一次DNS检测的习惯，能省掉大量莫名其妙的故障排查时间。