DNS泄露防护与修复完整指南

网络隐私问题在近年越来越受关注。在日常工作中，我接触过大量因为 DNS 泄露导致隐私暴露的真实案例。这篇文章会从原理出发，把防护和修复讲透，尽量让你遇到类似情况能自己排查解决。

很多用户反复遭遇 DNS 泄露，本质上是对系统网络机制理解不够深入。与其每次出了问题临时补救，不如花点时间把防护体系搭建好，一劳永逸。

内容总览

目录导航

• 1. 为什么你的 DNS 泄露修不完？
• 2. DNS 泄露防护 5 大核心措施
• 3. 各平台 DoH / DoT 配置教程
• 4. 发现 DNS 泄露后的紧急修复
• 5. DNS 泄露防护最佳实践
• 6. 常见问题 FAQ

1. 为什么你的 DNS 泄露修不完？

在动手修复之前，有必要搞清楚问题为什么会出现。很多用户反复遭遇 DNS 泄露，本质上是对系统网络机制理解不够深入。

1.1 DNS 解析的基本流程

当你访问一个网站时，浏览器首先需要把这个域名转换成 IP 地址。这个过程大致如下：

第一步：本地缓存查询

操作系统会先检查本地 DNS 缓存，看之前有没有解析过这个域名。

第二步：递归 DNS 服务器查询

如果本地缓存没有命中，系统会向配置的递归 DNS 服务器（比如 114.114.114.114 或者 8.8.8.8）发起请求。

第三步：权威 DNS 响应

递归 DNS 服务器再去查询权威 DNS，最终把 IP 地址返回给你的系统。

用户浏览器 → 本地缓存 → 递归 DNS 服务器 → 权威 DNS → 返回 IP

正常情况下，这个流程是透明的，你感知不到。但如果使用了 VPN 或代理，事情就变得复杂了。

1.2 为什么开了 VPN 仍然会 DNS 泄露？

这是被问到最多的问题之一。很多用户明明开了 VPN，用 DNS泄露检测工具 一查，发现 DNS 服务器居然还是本地 ISP 的。这就是典型的 DNS 泄露。

常见原因有以下几种：

原因一：VPN 没有正确配置 DNS

部分 VPN 软件在建立连接时，会让系统继续使用 ISP 提供的 DNS 服务器，而不是把 DNS 请求路由到 VPN 隧道内部。

原因二：Windows SMHNR 机制

这个名字听起来很技术，实际意思是”智能多宿主名称解析”。Windows 8 及以上版本默认启用这个功能，目的是加快 DNS 解析速度。它的机制是这样的：当你的电脑同时连接了多个网络（比如同时连接了 Wi-Fi 和有线网，或者同时连接了 VPN），系统会并行向所有网络的 DNS 服务器发送查询请求，然后用最先返回的结果。

这个设计在办公场景下很实用，但用 VPN 的时候就会出问题——即使你连上了 VPN，系统还是会同时向本地 ISP 的 DNS 发请求，隐私就这样泄露了。

原因三：DNS 预取和 HTTPS 记录查询

现代浏览器为了加速访问，会在页面加载之前就提前解析页面中可能用到的域名。这个预解析过程由浏览器自身发起，不一定经过系统 DNS 配置，从而可能绕过 VPN 的 DNS 设置。

原因四：IPv6 泄露

如果你的网络启用了 IPv6，但 VPN 的 DNS 配置未覆盖 IPv6 路径，或者系统 IPv6 DNS 未指向 VPN 服务器，那么 IPv6 网络下的 DNS 查询可能走原生网络而非 VPN 隧道，导致泄露。

1.3 DNS 泄露的本质是什么？

简单说，DNS 泄露的本质是：DNS 请求绕过了你的加密隧道，直接走了明文网络。

你可以这样理解：

1.4 常见修复误区

在处理 DNS 泄露问题时，很多人容易陷入以下几个误区，导致问题反复出现。

误区一：只改 DNS 服务器地址就够了

把 DNS 改成 1.1.1.1 或者 8.8.8.8 确实能解决一部分问题，但这只是让 ISP 无法看到你的具体访问内容。如果你在使用 VPN，DNS 请求仍然可能绕过 VPN 隧道，暴露你正在使用 VPN 这个事实。

误区二：开了 DoH 就高枕无忧

DoH（DNS over HTTPS）可以加密 DNS 请求，但它的作用范围有限。如果系统层面存在 SMHNR 这样的并行查询机制，DoH 可能只是加密了其中一路请求，另一路明文请求仍然存在。

误区三：换个 VPN 就能解决

不同 VPN 的 DNS 处理能力确实有差异，但如果你没有在系统层面做相应配置，换哪个 VPN 都可能存在泄露风险。防护是一个系统工程。

2. DNS 泄露防护 5 大核心措施

了解了原理之后，我们来看具体怎么防护。以下措施按优先级排列，可以根据你的实际情况选择性实施。

2.1 启用 DNS over HTTPS（DoH）

优先级：⭐⭐⭐ 必做

DoH 是目前最推荐的 DNS 加密方案。它把 DNS 查询封装成 HTTPS 请求，运营商和路由器无法读取你查询的具体域名，但仍然可以检测到你正在连接 DoH 服务器（端口 443 上的 HTTPS 流量）。

支持的公共 DNS 服务：

主流浏览器（Chrome、Firefox、Edge）都原生支持 DoH 配置，可以独立于系统设置单独启用。

2.2 启用 DNS over TLS（DoT）

优先级：⭐⭐ 重要

DoT 和 DoH 的目的相同，都是加密 DNS 查询。区别在于 DoT 使用 TLS 协议直接包裹 DNS 请求，而 DoH 把 DNS 请求封装成 HTTPS 请求。

DoT 的优势是在某些网络环境下更稳定，因为它的流量特征和普通 HTTPS 不同。缺点是系统层面的支持没有 DoH 普及。

Windows 11 在网络设置中提供直观的 DoT 配置界面；Windows 10 支持 DoH 但缺乏对应的图形化入口，通常通过浏览器配置或注册表手动开启。

2.3 VPN 强制 DNS 绑定

优先级：⭐⭐⭐ 关键

这是防止 VPN 下 DNS 泄露的核心操作。大多数靠谱的 VPN 客户端都有这个选项，叫法可能略有不同：

• “强制 DNS 走 VPN 隧道”
• “DNS Leak Protection”
• “Block IPv6 DNS”
• “Use VPN DNS Only”

开启之后，VPN 会在连接时主动把系统 DNS 设置改成 VPN 提供商指定的服务器，并且阻止其他程序篡改 DNS 配置。

2.4 Kill Switch（网络锁定）

优先级：⭐⭐ 重要

Kill Switch 的作用是：当 VPN 连接意外断开时，自动切断你的网络连接，防止在 VPN 恢复之前的窗口期内发生 DNS 泄露。

这个功能非常重要，因为 VPN 断线往往发生在你毫无防备的时候。如果 Kill Switch 处于关闭状态，VPN 断线后你的网络会切回本地 ISP 连接，所有请求都是明文的。

注意：部分 VPN 的 Kill Switch 只阻止特定应用（如浏览器）的流量，选购时要留意。

2.5 路由器 DNS 设置

优先级：⭐ 可选（家庭网络建议做）

路由器是家庭网络的 DNS 出口。即使你在电脑上做了各种防护，手机、平板、智能家居设备也可能直接使用路由器默认的 DNS。

重置路由器 DNS 非常简单：

1. 登录路由器管理后台（通常是 192.168.0.1 或 192.168.1.1）
2. 找到 DNS 设置选项
3. 将首选 DNS 改为 1.1.1.1（Cloudflare）
4. 备用 DNS 改为 1.0.0.1（Cloudflare 备用）
5. 保存并重启路由器

3. 各平台 DoH / DoT 配置教程

这一部分是实操重点。我会按平台详细说明配置步骤。

3.1 Windows 11 / Windows 10 配置指南

方法一：系统级 DoH（Windows 11）

Windows 11 原生支持 DoH，配置步骤如下：

1. 打开「设置」→「网络和 Internet」
2. 点击「高级网络设置」
3. 找到并点击「DNS 设置」
4. 点击「编辑」，将 IP 设置改为「手动」
5. 首选 DNS 填入 1.1.1.1，备用 DNS 填入 1.0.0.1
6. 向下滚动，找到「DNS over HTTPS」选项
7. 切换为「开」，模板选择「Cloudflare」或者选择「自定义」填入 https://one.one.one.one/dns-query

方法二：Windows 10 DoH 配置

Windows 10 自 build 19628（2020 年）起已在系统底层加入 DoH 支持，但缺乏统一的图形化配置界面，这是 Windows 10 与 Windows 11 的主要区别。在较新的 Windows 10 版本（如 21H2 累积更新及之后），部分用户可以在「网络属性」中找到 DoH 下拉菜单（前提是网络适配器驱动支持）。

由于大量旧版本缺乏这一入口，且手动修改注册表（HKLM\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters 下的 EnableAutoDoh）存在一定门槛，若不想折腾注册表，建议直接在主力浏览器中单独开启 DoH——Chrome、Firefox、Edge 均支持在浏览器层面独立配置，无需依赖系统支持。

验证方法：

打开 Chrome 或 Edge，访问 DNS 泄露检测页面（如 ToDetect），查看检测结果中显示的 DNS 服务器是否为你的配置（1.1.1.1 或 one.one.one.one）。如果仍显示 ISP DNS，说明 DoH 未生效或被其他机制覆盖。

注意：nslookup 命令直接向系统 DNS 服务器发送 UDP/TCP 查询，不经过 DoH 解析路径，用它来验证 DoH 配置是不准确的。

3.2 macOS 配置指南

macOS 的网络设置面板中手动填入 DNS 服务器地址（如 1.1.1.1），配置的仅是传统明文 DNS（UDP/TCP 53 端口），系统不会自动将其升级为 DoT 或 DoH。要在 macOS 上启用系统级加密 DNS，同样需要通过 .mobileconfig 配置文件，或使用第三方应用（如 Cloudflare 1.1.1.1）。

基础明文 DNS 设置（可跳过，非加密）：

如果仅需更换 DNS 服务器（不加密），操作步骤如下：

1. 点击苹果菜单 → 「系统设置」→「网络」
2. 点击「详细信息」→「DNS」
3. 点击左下角「+」添加 DNS 服务器
4. 推荐添加：1.1.1.1、1.0.0.1、8.8.8.8
5. 点击「好」保存

浏览器级 DoH（推荐，图形化操作）：

Firefox 用户可以直接在浏览器内启用 DoH，无需系统配置：

1. 打开 Firefox → 点击菜单 → 设置
2. 左侧选择「隐私与安全」
3. 向下滚动找到「DNS over HTTPS」
4. 勾选「启用 DNS over HTTPS」
5. 提供商选择「Cloudflare」或自定义

系统级加密 DNS（需安装 .mobileconfig）：

如需 Safari 及所有应用均使用加密 DNS，应通过安装 .mobileconfig 配置文件在系统层面全局启用 DoT/DoH。macOS 上的 Safari 同样没有独立的 DoH 设置面板，严格继承系统 DNS 配置。

3.3 iOS 配置指南

iOS 从 14 版本就已在系统层面引入对加密 DNS 的原生支持，同时包含 DoH（DNS over HTTPS）和 DoT（DNS over TLS）两种协议。但需要注意的是，iOS 没有提供任何图形界面入口来直接配置 DoT 或 DoH——普通网络设置面板中手动填入 1.1.1.1 等 IP 地址，配置的仅是传统明文 DNS（UDP/TCP 53 端口），系统不会自动将其升级为加密协议。

正确启用方式：安装配置文件（.mobileconfig）

iOS 14 及以上版本启用系统级 DoT/DoH 的正确方式是安装包含 DNS 配置的 .mobileconfig 配置文件，可由以下渠道获取：

• Cloudflare 1.1.1.1 App：下载 App 后按引导安装配置文件，全程图形化操作，对新手最友好
• 自定义 .mobileconfig 文件：企业或技术用户可自行编写或获取专用配置文件，通过邮件、AirDrop 或托管链接分发安装

安装配置文件后，系统全局 DNS 查询均通过加密通道完成，Safari 及所有应用均受益于此配置。卸载配置文件后，系统自动恢复默认 DNS 设置。

补充说明：Safari（iOS 端和 macOS 端均）没有独立的 DoH/DoT 设置面板，其 DNS 解析严格继承操作系统底层的网络配置。如需在 Safari 中使用加密 DNS，必须通过上述 .mobileconfig 方式在系统层面全局配置，Safari 自身无法单独启用。

3.4 Android 私密 DNS 配置指南

Android 的私密 DNS（Private DNS）功能最早在 Android 9（Pie）版本中就已原生支持，并非只有 Android 13 才能使用。Android 9 至 12 默认使用 DoT（DNS over TLS）协议；Android 13 在此基础上新增了 DoH 支持，当服务器同时支持两种协议时，Android 13 会优先握手 DoH。

「设置 → 网络和互联网 → 专用 DNS」这一配置路径在 Android 9 及以上版本均可使用。

配置步骤：

1. 打开「设置」→「网络和互联网」
2. 点击「专用 DNS」
3. 选择「自动偏好专用 DNS」或「专用 DNS 主机名字符串」
4. 如果选择「自动」，系统会自动选择支持的 DNS
5. 如果选择「手动」，输入 one.one.one.one（Cloudflare）或 dns.google（Google）

验证方法：

打开 Chrome，访问 DNS泄露检测页面（如 ToDetect），查看检测结果中的 DNS 服务器是否为你的配置。

3.5 主流浏览器 DoH 配置

4. 发现 DNS 泄露后的紧急修复

如果检测发现已经存在 DNS 泄露，不要慌。按照下面的流程处理。

4.1 紧急止损 3 步

当你发现 DNS 泄露时，第一时间做这几件事：

第一步：立即断开 VPN/代理

如果正在使用 VPN 或代理，先断开连接，阻断进一步的泄露。

第二步：切换到备用网络

切换到手机热点或者其他可信网络环境。

第三步：用隐私模式再次检测

用无痕/隐私窗口重新访问 DNS 泄露检测工具（如 ToDetect）再次确认。

4.2 彻底修复流程

完成紧急止损后，按照以下步骤系统排查和修复：

第一步：排查泄露来源

第二步：针对性修复

第三步：重置网络适配器（Windows）

如果多次排查无效，可以尝试重置网络设置：

netsh winsock reset
netsh int ip reset
ipconfig /flushdns

然后重启电脑。

第四步：二次验证

使用两个以上不同的 DNS 泄露检测工具交叉验证：

• ToDetect DNS泄露检测
• IPLEAK.NET

如果多个工具都显示正常，说明修复成功。

4.3 修复失败常见原因

5. DNS 泄露防护最佳实践

防护是一个持续的过程，而不是一次性配置完就完事。

5.1 定期检测频率建议

5.2 不同用户群体的防护策略

普通用户（轻度隐私需求）

核心措施：DoH + 可信 VPN

• 浏览器启用 DoH（推荐 Cloudflare）
• 使用口碑好的付费 VPN，确保开启 DNS 保护
• 每月检测一次

多账号运营用户（中度隐私需求）

核心措施：完整防护链

• 系统级 DoH 配置
• VPN + Kill Switch + 强制 DNS
• 浏览器指纹隔离（不同账号用不同浏览器/配置）
• 每周检测，发现异常立即排查

技术用户（高阶隐私需求）

核心措施：命令行 + 自定义 DNS

• 使用 dnsmasq 或 CoreDNS 搭建本地 DNS 服务器
• 配合 VPN 的分流功能
• 使用防火墙规则精细控制 DNS 流量
• IPv4/IPv6 双栈处理

5.3 防护配置检查清单

在完成所有配置后，可以按照以下清单逐项检查：

• 系统 DNS 已切换为可信服务商（Cloudflare / Google / Quad9）
• 浏览器已启用 DoH（Chrome / Firefox / Edge）
• VPN 已启用「强制 DNS」或「DNS Leak Protection」选项
• VPN 已启用 Kill Switch 功能
• 路由器 DNS 已重置
• IPv6 问题已处理（禁用或确保 VPN 支持）
• 使用 ToDetect 等 DNS 泄露检测工具完成首次验证
• 定期检测日程已设置提醒

6. 常见问题 FAQ

Q1：DNS 泄露和 IP 泄露有什么区别？

DNS 泄露主要暴露的是你的浏览行为——虽然对方不知道你具体访问了什么网站，但能知道你查询了哪些域名。IP 泄露则是暴露你的真实 IP 地址，直接关联到你的地理位置和身份。两者经常同时出现，但成因和防护方法有所不同。如果想深入了解三者的区别，可以阅读我们另一篇文章：DNS泄露、WebRTC泄露、IP泄露的区别对比。

Q2：开了 DoH 就不会 DNS 泄露了吗？

不完全是。DoH 主要解决的是 DNS 请求的加密问题，可以防止 ISP 或中间人看到你的 DNS 查询内容。但如果你同时使用 VPN，DNS 请求是否走 VPN 隧道、是否被 SMHNR 等系统机制干扰，又是另一个问题。更稳妥的做法是 DoH + VPN 配合使用。

Q3：Kill Switch 是什么？会影响正常使用吗？

Kill Switch 的作用是：当 VPN 连接意外断开时，自动切断你的网络连接。它不影响 VPN 正常工作时你的上网体验，只是在 VPN 掉线时起到保护作用。如果你经常遇到 VPN 不稳定的情况，建议开启。有些 VPN 支持只锁定特定应用（而不是整个网络），可以根据需要选择。

Q4：公共 Wi-Fi 下如何防止 DNS 泄露？

公共 Wi-Fi 是 DNS 泄露的高发场景，因为网络管理者原则上可以看到所有经过其网络的明文 DNS 请求。推荐的做法是系统级 DoH + 可信 VPN 配合使用：系统级 DoH 加密所有应用的 DNS 查询内容，即使网络管理者能看到你连接了 DoH 服务器（如 Cloudflare），也无法获知具体查询了哪些域名；VPN 则在 DoH 基础上进一步加密全部流量，让你的网络活动对公共 Wi-Fi 提供商完全不可见。两者叠加，防护效果最佳。

Q5：路由器 DNS 设置后还需要在设备上设置吗？

建议两者都做。路由器 DNS 是全局生效的，可以保护所有连接该网络的设备，包括不支持自定义 DNS 设置的智能家居设备。在设备上单独设置则是双重保险，即使路由器 DNS 被篡改，设备也能使用可信 DNS。