DNS 泄漏是怎么发生的

流量进了隧道，域名解析却走了原路，这就是 DNS 泄漏。

系统解析器不跟着隧道走

建立隧道后，系统仍可能沿用原来的解析器配置。如果隧道没有接管解析，所有域名查询都会照旧发往运营商，访问记录也就等于公开。

多网卡与优先级

同时存在无线网卡、有线网卡与虚拟网卡时，解析请求会按系统优先级选路。虚拟网卡优先级偏低，就会出现流量走隧道、解析走物理网卡的分裂状态。

IPv6 是另一条通道

只封堵 IPv4 而不处理 IPv6 时，解析与连接会从 v6 直接出去。这也是客户端默认同时屏蔽 v6 的原因。

怎么验证有没有泄漏

• 连接后查看解析服务器的归属
• 断开前后对比解析结果
• 确认没有返回本地运营商的地址

封堵方式

由客户端统一托管解析，所有查询经隧道转发；同时在系统层面拦截未走隧道的报文，把旁路切断。两条一起做，才能真正合上这道口子。