什么是DNS泄露
超过37%的VPN用户存在DNS泄露风险。DNS是把域名翻译成IP地址的系统。正常情况下开VPN后DNS查询应通过VPN加密隧道发送给VPN的DNS服务器。如果DNS查询绕过VPN直接发给运营商，运营商会看到你要访问的所有网站，这就是DNS泄露。
DNS泄露检测方法
访问 dnsleaktest.com，点Standard Test和Extended Test各跑一次。如果结果显示的DNS服务器IP归属地是你的国家或显示你的运营商名称，说明存在DNS泄露。此外还要检测WebRTC泄露：访问 browserleaks.com/webrtc，检查显示的IP是否包含你的真实IP。
Windows系统修复
第一步：控制面板→网络和共享中心→更改适配器设置→右键VPN连接→属性→IPv4属性→DNS改为手动填写1.1.1.1和8.8.8.8。第二步：管理员模式运行CMD，执行ipconfig /flushdns清除缓存，执行netsh winsock reset重置网络堆栈。第三步：重启VPN连接。
macOS系统修复
系统设置→网络→选择VPN连接→DNS→手动添加1.1.1.1和1.0.0.1。在终端执行sudo dscacheutil -flushcache和sudo killall -HUP mDNSResponder清除DNS缓存。确认VPN客户端设置中已启用DNS保护选项。
路由器级防护
在路由器后台将DNS改为Cloudflare的1.1.1.1或OpenDNS的208.67.222.222。保存后重启路由器并在所有设备上清除DNS缓存。路由器级设置的优势是所有连接该网络的设备自动获得保护。
浏览器WebRTC泄露修复
WebRTC是一种浏览器技术，可能绕过VPN暴露真实IP。Chrome和Firefox可安装WebRTC Control或uBlock Origin扩展，在设置中禁用WebRTC。也可以直接在浏览器设置中搜索WebRTC并关闭。
永久性解决方案
除了上述修复，建议：①选择内置DNS泄露保护的VPN（NordVPN、Surfshark等头部品牌默认有此保护）②启用Kill Switch防止断线泄露 ③定期每月跑一次dnsleaktest.com确保配置正常 ④使用Pi-hole搭建家庭网络级DNS防护。