先说结论：DNS 泄露是“域名解析请求没有按预期经过指定通道”的问题，不是单看 DNS 服务器显示在哪个国家。 使用代理或 VPN 时，出口 IP、应用流量和 DNS 查询可能由不同组件处理。要判断是否泄露，必须先确认实际解析路径，再区分这是本地 DNS、浏览器独立解析，还是代理软件的配置没有覆盖系统请求。
本文资料核对于 2026-10-30。关于加密 DNS 的协议定义，参考 IETF 的 RFC 7858（DNS over TLS） 与 RFC 8484（DNS over HTTPS）；具体软件的默认行为仍以其官方文档和当前版本为准。
DNS 负责把域名转换成可连接的 IP 地址。浏览器或操作系统发起访问时，解析请求可能由系统解析器、浏览器内置功能、VPN 客户端或代理软件发出。如果你希望所有请求都由某个隧道统一处理，但其中一部分仍直接交给本地网络的解析器，就形成了 DNS 泄露。
它与“DNS 服务器归属地和 IP 归属地不同”不是同义词。不同网络的解析器可能位于不同地点，CDN 也可能返回不同结果；单次检测显示的城市不一致，只能说明需要进一步核查。更有价值的问题是：请求是否绕过了你的预期通道、解析器是否由本地网络提供、切换配置后结果是否稳定复现。
DoT 使用 TLS 保护 DNS 客户端与递归解析器之间的通信；RFC 7858 说明，这种加密可以减少网络中的窃听和链路篡改机会。DoH 则把 DNS 查询放入 HTTPS 交换中，RFC 8484 对查询和响应的协议格式作了定义。两者都能保护传输链路，但不等于“解析服务商完全看不到查询”，也不等于能替代 VPN 或代理对其他应用流量的保护。
因此，启用 DoH 或 DoT 只是改变 DNS 的传输方式。它不能自动修复代理软件的分流错误，也不能证明浏览器、系统和其他应用都使用了同一个解析器。配置时还要考虑解析服务商的日志政策、企业网络要求、证书校验和故障切换。
先记录基线。 断开代理时，分别查看系统网络设置、浏览器安全 DNS 设置和路由器下发的 DNS；同时用本站 环境检查 和 Ping 工具记录当前网络状态。
再切换目标配置。 连接代理或 VPN 后，不要只看出口 IP。确认客户端是否启用了远程解析、是否存在按应用或域名分流，并重复同一组域名查询。浏览器内置解析和系统解析可能不是同一路径。
看多次结果，而不是一个城市。 如果连续测试都显示本地运营商解析器，而代理配置声称 DNS 应通过远程通道，才有较强的泄露迹象。若只是地理位置不同，应结合解析器名称、网络归属和请求路径判断。
定位责任组件。 依次检查操作系统、浏览器、代理客户端和路由器。高级用户可以用 nslookup 或 dig 对比解析器；还可以查看客户端日志，确认请求是否被分流到本地网络。需要了解出口登记信息时，可配合本站 Whois 查询，但 Whois 不能直接证明一次 DNS 请求的实际路径。
DNS 泄露排查的目标，不是追求某个“看起来正确”的国家，而是确认解析路径和实际配置一致。若你还在排查 IP 位置差异，可以继续阅读本站的 IP 定位误差分析；若问题是连接质量，则先用 Ping 工具 与路由信息建立基线。
本站为独立站点，与任何代理、VPN 或第三方服务提供商无隶属、授权或合作关系。本文仅作网络隐私与诊断科普，不构成对特定服务的配置保证。