代理IP上了但IP还是自己的，十有八九是DNS泄漏
配好代理IP，打开IP查询网站，显示的是代理IP——你以为成功了。但实际上你的真实IP可能正从另一个通道往外跑。这个通道就是DNS。
DNS泄漏的意思是：你的浏览器走代理访问网页（所以IP查询显示的是代理IP），但域名解析（DNS查询）却走了你自己的宽带DNS服务器。目标网站的服务端能看到你的DNS请求是从你的真实IP发出来的——等于你一边戴面具一边喊自己名字。
这篇文章讲三件事：怎么1分钟检测DNS有没有泄漏、三个层面的修复方法、以及怎么确认修好了。
1分钟检测DNS是否泄漏
打开 dnsleaktest.com 或者 ipleak.net（浏览器能直接访问）。这些网站会检测你的DNS请求是从哪个IP发出去的。如果显示的IP是你的代理IP，说明DNS没泄漏。如果显示的是你的真实宽带IP——泄漏了。
如果上面两个网站访问不了，也可以用 cmd 命令行手动测试：nslookup whoami.akamai.net。看返回结果里的DNS服务器IP是不是代理IP。不是就说明泄漏。
Windows层面的修复
如果用的是SOCKS5代理客户端（老鱼加速器、SSTap等），DNS泄漏的概率不高——因为大多数代理客户端会在创建虚拟网卡时强制DNS走代理。但如果是Windows系统代理手动设置的方式，DNS默认还是走本地的，泄漏概率很大。
修复方法：在浏览器的代理设置里，确保”通过代理连接进行DNS查询”或类似选项是开启状态。Firefox在 about:config 里搜 network.proxy.socks_remote_dns 设为 true。Chrome这个选项隐藏较深，建议用代理扩展（SwitchyOmega）来控制。
如果用天行IP的长效静态节点（月付6元，邀请码blsj注册四折），配合老鱼加速器或SSTap使用，默认就是DNS走代理的，基本不用担心这个问题。
浏览器和软路由层面
浏览器：Chrome和Edge在系统代理模式下，DNS查询不一定走代理。Firefox相对好一些——开启SOCKS5远程DNS后（socks_remote_dns=true），DNS就走代理了。
软路由：如果你在爱快或OpenWrt上配了L2TP或SOCKS5代理，DNS泄漏排查要多一步——检查路由器的DNS设置。默认情况下，路由器的DNS可能还是走的本地宽带DNS。需要在路由器的DNS设置里，把DNS服务器指向代理提供的DNS，或者配置DNS强制走代理隧道。
修完后怎么确认
修完DNS泄漏设置后，重新打开 dnsleaktest.com 做一遍标准测试。要点”标准测试”（Standard Test）而不是”快速测试”，标准测试会发起多个DNS查询，能更全面地检测所有泄露点。如果返回的所有服务器IP都是代理IP（而且都集中在同一个国家或地区），说明修复成功。
还有一个进阶验证：打开 ipleak.net，除了看DNS IP之外，还要看WebRTC一栏。如果WebRTC检测显示了真实IP，说明有WebRTC泄漏（这是另一个话题，跟DNS泄漏不同，需要单独处理，比如关闭浏览器的WebRTC功能或者安装防止WebRTC泄漏的扩展）。
什么代理IP不容易DNS泄漏
用了代理客户端（老鱼加速器/有米加速器/SSTap）并且选了全局模式，DNS泄漏的可能性很低。反而是手动在系统里填代理地址这种方式最容易泄漏。
如果你是代理IP新手，建议选天行IP这种提供SOCKS5节点的平台（邀请码blsj月付6元起），加一个老鱼加速器做全局代理——这样DNS默认走代理隧道，不用额外设置就避免了最常见的DNS泄漏。
合规提醒：代理IP用于DNS配置测试仅限合法合规用途，遵守《网络安全法》《个人信息保护法》《数据安全法》，不用于突破网络管控等违法违规行为。
常见问题
DNS泄漏有什么实际的危害？
你的真实IP通过DNS请求暴露给了目标网站。即使网页访问走的是代理IP，但DNS查询走的是你的真实IP，目标网站的日志里能同时看到你的代理IP（网页请求）和真实IP（DNS请求）——IP隐藏等于白做了。
用了代理客户端还是DNS泄漏怎么办？
检查代理客户端的设置里有没有”DNS走代理”或”代理DNS”的选项，确保是开启状态。如果客户端没有这个选项（部分老版本有米加速器可能没有），换成老鱼加速器或SSTap试一下。
手机上用代理会DNS泄漏吗？
iOS上用Shadowrocket（小火箭）默认DNS走代理，一般不会泄漏。安卓上如果用的是代理APP（Kitsunebi等），默认也是DNS走代理的。但如果安卓用系统WiFi代理手动设置，DNS泄漏跟Windows系统代理一样的问题——会走本地DNS。
