VPN 显示“已连接”，并不自动说明 DNS 查询、IPv4 和 IPv6 流量都经过了预期线路。DNS 泄漏通常指设备发出的域名查询没有按预期经过 VPN 通道，而是由本地网络、互联网服务提供商或其他解析服务处理。它与“出口 IP 暴露”不是同一件事，需要分开检查。
排查时不要只看一张检测网页的结果。先记录 VPN 断开时的网络状态，再连接 VPN，使用相同设备和浏览器进行对照；检查 DNS 解析器、出口 IP、IPv6 和客户端路由设置。这样更容易分辨是 VPN 配置、浏览器独立 DNS、分流规则，还是网络环境造成的差异。
先分清 DNS 泄漏、出口 IP 与 IPv6
访问网站时，设备通常需要先把域名解析成 IP 地址。DNS 解析可能由操作系统、路由器、网络运营商、浏览器内置的加密 DNS 服务或 VPN 客户端指定的解析器完成。如果 VPN 只改变部分流量的出口，却没有接管相关 DNS 请求，查询就可能沿本地网络路径发送。外部观察者因此可能看到与 VPN 连接预期不一致的解析服务信息。
出口 IP 指目标网站看到的网络出口地址。连接 VPN 后，出口 IP 通常应与断开 VPN 时不同，但具体结果取决于分流规则、应用是否使用系统代理、连接模式及目标网站的检测方式。若本地 IP 与 VPN 出口同时出现，可能意味着有流量未经过隧道；但 IP 检测页面也可能显示浏览器代理、局域网地址或旧缓存，不能单凭一条结果下结论。
IPv6 是另一条需要单独核对的网络路径。某些网络同时提供 IPv4 和 IPv6，而客户端或所选隧道未完整处理 IPv6 时，支持 IPv6 的应用可能尝试从本地网络直连。相反，如果 VPN 正常接管 IPv6，检测页面显示 IPv6 地址并不必然代表泄漏。关键是判断该地址是否属于当前预期的 VPN 出口，以及客户端是否说明支持 IPv6。
- ✅ DNS 检测关注解析请求由谁处理，出口 IP 检测关注网站看到的连接来源。
- ✅ 在同一设备、相同网络下对比连接前后结果，减少环境变化造成的误判。
- ❌ 不要把检测页显示的某个 DNS 名称或地理位置，直接当成设备的精确物理位置。
- ❌ 不要因页面显示 IPv6 就立即认定泄漏，先确认客户端的 IPv6 路由与出口信息。
怎样检查 DNS、出口 IP 和 IPv6
选择可信的 DNS 泄漏检测和 IP 检测页面，先在 VPN 断开时查看结果，再连接 VPN 后重新打开页面测试。两次测试尽量使用同一个浏览器、同一条 Wi-Fi 或移动网络，并等待页面完成查询。若更换了线路、客户端模式或网络，应重新做一次对照，避免把前一次的缓存结果误认为当前状态。
查看 DNS 结果时，重点关注解析器提供方或网络归属是否与连接前明显相同，以及客户端文档是否说明 DNS 应交由 VPN 处理。解析器名称、运营方和地理位置可能受转发、共享解析和网络部署影响，并不总能准确表示查询最初从哪里发出。某些检测工具也会显示多个解析器；这可能来自并行查询、浏览器 DNS 或本地配置，需要结合客户端日志判断。
查看出口 IP 时，记录连接前后的 IPv4 与 IPv6 信息。连接 VPN 后若仍看到连接前的公网地址，先确认客户端是否采用规则模式、当前网站是否被设为直连，以及浏览器是否配置了单独代理。若检测页面没有显示 IPv6，可能是当前网络或测试目标不支持 IPv6，不足以证明 VPN 已经屏蔽或接管 IPv6。
| 检测现象 | 可能原因 | 优先检查 |
|---|---|---|
| DNS 信息与连接前相同 | DNS 未进入隧道、浏览器独立解析或系统仍使用原配置 | 客户端 DNS 选项、浏览器安全 DNS、系统 DNS 设置 |
| 连接前公网 IP 仍出现 | 分流规则、应用代理设置或隧道路由没有覆盖该请求 | 客户端模式、规则命中记录、应用是否遵循系统代理 |
| 出现本地网络的 IPv6 地址 | IPv6 流量未纳入隧道，或当前客户端不处理 IPv6 | 客户端 IPv6 支持说明、系统网络接口与路由状态 |
| 不同检测页结果不一致 | 缓存、浏览器 DNS、检测方法或解析器识别方式不同 | 清理缓存后重复测试，并查看客户端连接日志 |
动手排查：按顺序验证并记录结果
下面的步骤适用于 Windows、macOS、Android、iOS 和 Linux。不同客户端的选项名称可能是“DNS 保护”“通过代理解析 DNS”“远程 DNS”“虚拟网卡”或其他名称；应以当前版本的说明为准，不要因为名称相似就同时启用多个互相冲突的功能。
- 建立基线：暂时断开 VPN，记录 DNS 检测结果、IPv4 和 IPv6 出口信息。只记必要的结果，不要把包含账户信息的订阅链接、二维码或连接配置发到公开平台。
- 连接后复测：连接 VPN 并等待客户端显示已连接，再用相同检测方式重新查看结果。确认测试请求确实由当前浏览器发出，而不是旧标签页中的缓存内容。
- 检查客户端接管范围：查看当前处于系统代理、规则模式还是隧道模式。系统代理通常只影响遵循系统代理设置的应用；终端工具、独立浏览器配置或忽略系统代理的应用可能使用不同路径。
- 检查 DNS 与分流：确认客户端是否提供 DNS 处理选项，查看目标请求是否被规则设为直连。若使用第三方客户端，检查导入配置中的 DNS 服务器、规则、绕过项和虚拟网卡设置，不要直接套用其他服务的配置文件。
- 检查 IPv6：确认客户端是否支持并接管 IPv6。若没有相关支持说明，可暂时在客户端或操作系统中按官方指引测试禁用 IPv6，随后重新连接并复测。测试结果只能说明该设置对当前设备的影响，不应盲目改动路由器或公司网络的全局设置。
- 重复验证并留记录：每次只改一项设置，断开后重新连接，再复测 DNS、IPv4 和 IPv6。记录改了什么、结果如何；如果同时修改多个选项，就很难判断真正起作用的是哪一项。
缓存可能让检测结果短时间内看起来没有变化。可先关闭测试页面、重新打开浏览器，或使用操作系统提供的 DNS 缓存刷新方式。Windows 可在命令提示符运行 ipconfig /flushdns；macOS 和 Linux 的缓存刷新命令随系统版本与解析服务而异，应先核对系统文档，不要复制来历不明的终端命令。刷新缓存只清除本机已有记录，不会修复错误路由或客户端设置。
常见原因与对应修复方法
浏览器启用了独立的安全 DNS
部分浏览器可以使用自己的 DNS-over-HTTPS 服务，而不完全依赖操作系统的 DNS 配置。此时系统层面的 VPN DNS 设置可能正常，但浏览器仍将查询发送给单独配置的解析服务。可在浏览器隐私或安全设置中查看“安全 DNS”“使用安全 DNS”等选项，确认它是否由浏览器接管。排查时可暂时关闭该功能进行对照，或按客户端说明选择兼容的配置；不建议为了通过一次检测而长期关闭所有 DNS 加密功能。
规则分流或系统代理没有覆盖目标应用
规则模式允许不同应用或域名走不同路径，因此检测页被设为直连、浏览器使用独立代理、或某个应用未遵循系统代理，都可能出现与预期不同的结果。查看客户端连接日志与规则命中记录，确认发起 DNS 请求的应用和相关域名走哪条规则。调整时优先修改具体规则，避免不清楚影响范围就切换为全局模式；确认本地服务、办公网络或其他必要连接不会因此受影响。
IPv6 未纳入当前隧道
如果设备可以使用 IPv6，而 VPN 客户端只处理 IPv4，IPv6 请求可能尝试直连。先查客户端版本说明和网络模式是否支持 IPv6；有明确开关时，按说明启用隧道接管，或在无法接管的情况下使用受支持的防泄漏设置。若客户端没有相关功能，临时关闭设备上的 IPv6 可以作为定位问题的对照手段，但可能影响本地网络、应用或其他服务。完成验证后，决定是否保留应以客户端说明和实际网络需求为准。
断线、休眠恢复或多个代理客户端冲突
网络切换、设备从休眠恢复、VPN 自动重连失败，可能造成短暂的路由变化。多个客户端同时设置系统代理、虚拟网卡或 DNS，也可能相互覆盖。先退出其他代理工具，只保留一个 VPN 客户端；断开并重新连接后，再检查系统代理、网络接口和客户端日志。若问题只在切换 Wi-Fi 或唤醒后出现，留意客户端是否提供自动重连、断线保护或系统启动选项，并按官方说明设置。
不要在排查时同时安装多个 DNS 修改工具、代理客户端和网络过滤器。先恢复到单一客户端、单一配置，再逐项测试；这样更容易定位冲突，也便于还原设置。
修复后怎么确认结果可靠
完成调整后，重新连接 VPN，再用相同设备和网络复测 DNS、IPv4 与 IPv6。更换线路、切换客户端模式或修改浏览器 DNS 后也应重新测试，因为这些操作可能改变解析与路由路径。若多个检测页面的解析器名称不同，先核对它们是否显示的是同一类信息，再结合客户端日志判断，而不是要求所有页面必须显示完全一致的名称。
也可以用另一个浏览器或应用做交叉验证。若只有一个浏览器出现不同结果，优先检查浏览器安全 DNS、代理扩展和单独的代理设置；若所有应用都出现相同问题，再检查系统网络设置、客户端路由和服务端配置。不要在交叉测试中登录敏感账户或提交私人信息，也不需要公开完整的 IP、账户标识或订阅配置来寻求帮助。
对隐私要求较高的使用场景，可确认客户端是否提供断线保护，以及隧道意外断开时应用流量会如何处理。断线保护的名称和覆盖范围因客户端而异，可能只作用于部分连接；应在客户端说明中确认具体行为。若 DNS 查询仍无法稳定进入预期路径，保留检测时间、系统版本、客户端版本、连接模式和脱敏后的日志摘要，联系服务支持进一步核查。
常见问题
DNS 检测显示运营商名称，就一定是 DNS 泄漏吗？
不一定。解析器可能由上游转发、共享服务或网络部署决定，检测页显示的名称和位置未必代表查询的真实起点。结合 VPN 连接前后的结果、客户端 DNS 设置和连接日志判断；如果解析请求明确绕过了预期隧道，再按客户端说明修正。
连接 VPN 后仍显示 IPv6 地址，应该立即关闭 IPv6 吗？
先确认该 IPv6 地址是否属于当前 VPN 出口，并查看客户端是否支持 IPv6 隧道。只有确认本地 IPv6 流量没有按预期处理时，才把临时禁用 IPv6 作为排查对照；长期设置应考虑本地网络和应用兼容性。
开启浏览器安全 DNS 会造成泄漏吗？
这取决于浏览器 DNS 请求的实际路由和 VPN 客户端的处理方式。加密 DNS 能保护请求在传输中的内容，但不必然意味着请求经过 VPN。可暂时切换浏览器设置做对照，并确认所选解析服务与客户端配置相容。
检测结果时好时坏，应该先改哪一项？
先固定设备、网络、浏览器和 VPN 线路，重启浏览器并重复检测；随后一次只检查一个因素，例如客户端 DNS、浏览器独立 DNS、分流规则或 IPv6。若问题与断线或网络切换同时发生，查看自动重连状态和客户端日志，再向服务支持提供脱敏后的排查记录。