把天行IP家庭节点接入OpenWrt、爱快或旁路网关后，公网IPv4已经变成住宅出口，DNS检测却仍显示本地运营商，部分网站甚至解析到不同地区。这个现象常被统称为“DNS泄漏”，实际可能是客户端仍用本地DNS、浏览器开启DoH、IPv6绕过代理，或软路由只接管了部分设备。先确认解析请求走了哪里，再决定是否需要调整。
DNS与公网出口是两条信息
DNS负责把域名转换成地址，代理或隧道负责传输后续连接。DNS从本地发出、网页从天行节点访问，在技术上可以同时发生。是否构成问题取决于业务设计：普通网页可能仍能正常访问，区域测试和企业内网则可能因为解析位置不同得到错误结果。
不要只看检测页上的“泄漏”红字。记录终端实际DNS服务器、解析出的A与AAAA地址、最终IPv4和IPv6出口。某些检测网站展示的是递归DNS服务器，并不等于它获得了设备精确位置或代理密码。
SOCKS5的远端DNS需要客户端支持
SOCKS5允许应用把域名交给代理端解析，但是否启用由具体客户端决定。浏览器扩展、Proxifier和软路由透明转发的选项名称各不相同。配置时应查看软件说明，确认是“代理域名解析”还是仅代理TCP连接。把HTTP代理、SOCKS5和系统DNS多层叠加，容易形成难以解释的路径。
L2TP等系统级隧道连接后，操作系统也不一定自动采用隧道DNS。应查看接口优先级与DHCP下发。需要按设备分流时，DNS规则要与流量规则保持一致，避免测试设备走住宅出口，解析却由主路由处理。
浏览器DoH为什么会绕过路由DNS
现代浏览器可能启用DNS over HTTPS，通过443端口向指定服务查询。传统软路由只重定向53端口时，无法看到这类请求。企业网络应通过受管策略配置允许的DoH；家庭测试可临时关闭浏览器安全DNS做对照，但不应长期使用未知解析服务，也不能拦截不属于自己的设备通信。
如果关闭DoH后结果恢复，说明需要在浏览器与路由器之间统一DNS策略。若没有变化，再查IPv6和应用自带解析。某些客户端内置DNS模块，不使用系统配置。
IPv6是多设备环境的高频变量
天行节点若只承载IPv4，终端DNS可能优先返回AAAA记录，随后通过本地IPv6访问目标，形成出口和解析同时绕过。分别测试IPv4与IPv6，不要只看一个综合页面。是否关闭、分流或代理IPv6，应根据节点能力和实际业务决定。
软路由排查顺序
- 固定一台测试设备的MAC、IPv4和默认网关。
- 关闭其他代理扩展，只保留天行节点。
- 查看DHCP实际下发的DNS和系统当前使用接口。
- 分别测试普通DNS、浏览器DoH、IPv4与IPv6。
- 观察软路由规则和DNS转发日志是否真实命中。
- 完成后再把规则扩展到其他设备和VLAN。
日志中可能含完整域名、客户端地址和业务信息，应限制保存时间和访问权限。公开求助时只提供必要字段，不上传订阅、密码或公司内部域名清单。
怎样判断修复有效
用同一设备、同一浏览器、同一节点在修改前后对照；确认DNS响应稳定、目标网站解析正确、IPv4与IPv6出口符合预期，断开节点后还能按设计阻断或回退。仅让检测页从红色变绿色，不等于所有应用路径正确。
协议选择可以参考天行SOCKS5与L2TP接入对比。极跃圈收录的天行IP官方入口当前记录邀请码、推荐人或优惠码blsj及部分套餐四折参考；适用产品、协议、地区和订单金额以控制台为准。
多个VLAN和访客网络怎么处理
办公室或家庭实验网络划分办公、测试、访客和物联网VLAN时，不应让所有网段默认共用天行家庭出口。先为需要区域测试或固定出口的测试网段建立明确规则，办公系统按企业策略连接，访客与物联网保持隔离。这样既减少无关流量，也更容易判断DNS请求来自哪类设备。
每个VLAN分别记录DHCP、DNS、IPv4、IPv6和默认网关，测试跨网段访问是否被正确阻断。若使用旁路网关，回程路径也要经过同一设备，否则会出现请求进入代理、响应走主路由的非对称问题。配置完成后保存导出文件与回退步骤，路由器升级前重新核对插件兼容性。
