搜索到 3 篇 分类为 安全与隐私 的文章
-
明文DNS有多危险？DNS劫持、污染、泄露风险与私人DNS能做什么 想让上面这些风险立刻消失，最省事的办法是把 DNS 换成 dns.23-4.cn——全程 TLS 加密，查询内容对运营商不可见。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR： 传统 DNS 查询默认是明文的：你每访问一个网站，"我要查 xxx.com"这句话会以不加密的形式，从手机一路传到 DNS 服务器。这意味着局域网里的人、你连接的路由器、以及运营商，都能看到你查了哪些域名，中途还可能被人篡改回答、把你导去假网站。私人 DNS（DoT/DoH）通过 TLS 加密这条查询通道，能挡住"偷看"和"中途篡改"，但它挡不住恶意软件改 hosts、也挡不住网页内容层面的攻击——它只保护"查地址"这一段路。明文DNS有多"裸"？你的每一次上网都像寄明信片RFC 7858 在引言里开门见山地指出：今天几乎所有 DNS 查询都是不加密发送的，这使得能够访问网络通道的攻击者可以窃听这些查询，从而降低查询者的隐私。打个比方：明文 DNS 就像你把要找的地址写在明信片上寄出去。明信片在邮局（路由器、WiFi、运营商）之间转递时，任何经手人都能看到上面写的是什么。你刚查了一次某银行的域名、又查了一次某医院的挂号页面、再查了一次某消费金融平台——这些域名串起来，就是一份相当完整的生活画像。更麻烦的是，明信片不仅能被看，还能被路上的人涂改：把你写的"某银行地址"偷偷改成另一个 IP，你就被导向了一个钓鱼网站。下面分四类风险具体说。风险一：DNS劫持——有人把你"拐"去假网站DNS 劫持指的是攻击者通过某种方式，让你的设备把域名解析到他指定的错误 IP。常见发生位置有三类，需要客观看待：公共 WiFi 中间人：在未加密的咖啡馆、机场 WiFi 下，同一网络里的攻击者可以通过 ARP 欺骗等手段冒充网关，拦截并篡改你的 DNS 回答，把你引到仿冒的登录页、网银页。这是明文 DNS 最现实的风险之一。路由器被入侵：家用路由器如果长期不更新固件、管理密码过于简单，攻击者可能登入后直接把路由器的 DNS 服务器改成恶意地址，于是全屋设备的查询都被引偏。网络侧的强制跳转：在某些网络环境下，你输入未备案或特定域名时可能被带到一个提示页、登录页或广告页。这类行为的成因复杂（既有设备/网络配置层面的拦截，也有运营商侧的策略），普通用户难以逐一分辨，但它的技术本质仍是"你的 DNS 回答被中途替换了"。私人 DNS（加密）对前两类"中间人篡改"是有效的：因为回答来自经过 TLS 证书校验的加密服务器，路上被涂改的伪造回答会校验失败。风险二：DNS污染与缓存投毒缓存投毒（Cache Poisoning）是另一种经典攻击：攻击者向递归 DNS 服务器抢着发一个伪造的回答，赌它比真实回答先到。一旦骗过服务器，这条错误记录就会被缓存下来，之后所有用这台服务器的人查同一个域名，都会被指向错误地址，直到缓存过期。它利用的正是传统 DNS 基于 UDP、缺乏身份校验的弱点——服务器"先到先得"，不验明回答者身份。加密 DNS 通过 TLS 把客户端和服务器绑成一条经过身份认证的通道，让攻击者无法再在这条通道上插入伪造回答，从而缓解这类风险。需要说明的是，加密保护的是"客户端到递归服务器"这一段；要彻底验证域名本身的真伪，还需要 DNSSEC，那是另一套独立机制。风险三：隐私窥探——谁在记录你访问了哪些域名这是对普通人最"无感"却最持续的一类风险。即使没有人攻击你，明文 DNS 也意味着：你连的这台路由器能看到你查询过的每一个域名；你所用的运营商网络能记录你在什么时间查了哪些域名；公共 WiFi 的运营方理论上也能收集同样的数据。把这些域名按时间串起来，足以推断出你的作息、职业、健康关注、财务行为等。私人 DNS 的价值就在这里：加密之后，这些中间环节只能看到"你在和某台加密 DNS 服务器通信"，看不到具体查了什么域名。当然，那台加密 DNS 服务器本身仍然知道你的查询——所以选一家承诺零日志的服务商同样重要；本站DNS 知识库里有"私人 DNS 防跟踪与零日志"相关专题可深入了解。风险四：DNS泄露——VPN场景下的"说漏嘴"很多人开了 VPN 以为全程加密了，但如果 DNS 查询仍然走明文、仍然发给本地运营商的 DNS 服务器，那么"VPN 加密了网页流量、却在 DNS 这一环把你访问的域名泄露出去"——这就是常说的 DNS 泄露。它会让你的真实身份和访问记录在 DNS 这一环重新关联起来。加密 DNS（私人 DNS）正是堵住这个缺口的关键一步：让 DNS 查询本身也走加密通道，不再向本地网络"说漏嘴"。至于"开了 VPN 为什么还会泄露、怎么排查"，本站的DNS 知识库收录了包括 DNS 泄露排查在内的三十个专题，可按需翻查。私人DNS能挡住哪些风险，又有哪些盲区风险加密私人 DNS 能否应对公共 WiFi 下偷看你的域名查询能中间人篡改 DNS 回答、导向假网站能路由器/网络侧记录你的域名浏览能（中间环节看不到）递归服务器缓存投毒能缓解（绑定加密通道）VPN 场景下 DNS 明文泄露能恶意软件在本机改 hosts 文件不能，那是本地系统文件被改你主动访问了钓鱼网站、点了恶意链接不能，域名本身是"真的"网页内容（HTTP）被窃听或篡改不能，需靠 HTTPS 解决那台加密 DNS 服务器自己记日志不能，需选零日志服务商为什么说加密DNS不是万能药看完上表，应该能理解一个分寸：私人 DNS 解决的是"传输层的隐私与完整性"，不是"终端安全"也不是"内容安全"。 它不能代替杀毒软件、不能代替 HTTPS、更不能代替你自己对链接的判断。RFC 7858 在"安全考虑"一节也明确写道：DoT 是为解决"窃听 DNS 消息"这类隐私风险而设计的，并不解决 DNS 的其他安全问题，残留风险依然存在——例如 TLS 自身的中间人攻击、明文环节被中间人改写、以及基于报文时序和大小的流量分析等。所以正确的姿势是：把私人 DNS 当作"上网隐私的基础一环"，和 HTTPS、零日志服务商、及时更新系统配合使用，而不是指望它一个功能解决所有安全问题。想动手配置的话，本站私人 DNS 设置教程合集按设备整理了逐步操作。常见问题 FAQQ：开了私人 DNS，是不是就绝对不会被钓鱼了？A：不是。它只保证"域名被正确解析、且没人偷看你的查询"；如果你自己访问了一个本身就骗人的网站，它拦不住。Q：加密 DNS 会不会让运营商完全看不到我上网？A：运营商仍能看到你在和哪台加密 DNS 服务器通信、以及你访问的目标网站 IP，但看不到你具体查了哪些域名。Q：家里路由器被改了 DNS，手机开私人 DNS 有用吗？A：有用。因为手机的加密查询不再经过路由器指定的那台明文 DNS，路由器被改成什么地址都不影响你这条加密通道。用本站的加密 DNS，一分钟堵上这些口子dns.23-4.cn 是本站自建的加密 DNS：全程 TLS 传输、防劫持防污染，同时在解析层拦掉广告与跟踪器。安卓 / 鸿蒙 / 路由器：私人 DNS 主机名填 dns.23-4.cnWindows 11 / 浏览器：DoH 地址填 https://dns.23-4.cn/dns-query完整步骤：私人 DNS 加密设置教程参考来源RFC 7858 — Specification for DNS over TLS, IETF, 2016（引言与安全考虑章节）：支撑"传统 DNS 明文易被窃听与中途篡改、DoT 仅解决窃听类隐私风险、残留风险包括中间设备干扰与流量分析"等事实。RFC 8484 — DNS Queries over HTTPS (DoH), IETF, 2018（隐私与安全章节）：支撑"DoH 加密 DNS 流量、缓解被动监听与主动把流量导向恶意服务器的攻击、但不替代 DNSSEC"等事实。RFC 7626 — DNS Privacy Considerations, IETF, 2015：作为 RFC 7858/8484 共同引用的 DNS 隐私权威文档，支撑"在线窃听与服务器端隐私"两类风险划分。Google Support — Manage advanced network settings on your Android phone：支撑"安卓私人 DNS 三档模式、开启后整机查询走加密"的官方说明。相关阅读私人DNS是什么？一文看懂私人DNS原理、作用与适用人群私人DNS防跟踪与零日志：隐私保护型DNS怎么选私人DNS会泄露吗？DNS泄露检测与防止指南DoH、DoT、DoQ：三种加密 DNS 协议，到底该选哪个？免费加密DNS服务：DoH/DoT 地址与一键配置指南选服务比选协议更影响体验：本站自建的 dns.23-4.cn 支持 DoT / DoH 双协议，解析的同时拦掉广告与跟踪器——配置教程。 -
私人DNS防跟踪与零日志：隐私保护型DNS怎么选 想知道一个 DNS 到底敢不敢公开自己的数据，最好的办法是去它的战报页看看——我们的在 23-4.cn 的 DNS 战报页。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR：普通明文DNS下，你的运营商、公司网管、甚至公共WiFi都能看到你访问的每一个域名。开启加密私人DNS（DoT/DoH）之后，这些中间人只能看到你在连哪个DNS服务器，看不到你具体查了什么域名。再加上选一个「零日志」政策的DNS服务商，就能在隐私和去广告之间取得平衡。目前口碑最好的几家：Cloudflare 1.1.1.1（速度快）、AdGuard DNS（自带去广告+跟踪拦截）、Quad9（偏安全防护）。为什么明文DNS会暴露你的上网隐私？先从最基础的说起：DNS查询本质上就是一句「我想访问xxx.com，请告诉我它的IP」。在传统的明文DNS下，这句话是裸奔的——从你的手机到DNS服务器之间，任何中间节点都能看到你查询了什么域名。谁能看到这些？你的运营商：你家宽带、手机流量的ISP，完整记录你所有的DNS查询公共WiFi管理员：咖啡馆、机场、酒店的WiFi，能抓包看到你查了哪些域名公司/学校网络：网管设备可以审计所有DNS请求旁边的人：同一个WiFi下，用工具就能嗅探到你的DNS查询这意味着什么？意味着哪怕你访问的是HTTPS加密网站，别人看不到你在网页里看什么，但他能知道你「在查这个网站的域名」——也就是知道了你大概在浏览什么内容。你的上网习惯、你搜了什么、你访问了哪些网站，全在运营商的DNS日志里。加密私人DNS怎么防窥探？DoT（DNS over TLS）和DoH（DNS over HTTPS）这两种加密协议，就是为了解决上面这个问题。它们把DNS查询的内容用TLS加密起来：你 → DNS服务器之间的那一段，所有中间人都看不到具体查询内容了运营商和WiFi管理员只能看到「你在和某个加密DNS服务器通信」，看不到你查了什么域名你在公共WiFi下查敏感域名，旁边的人也嗅探不到这就是「私人DNS」名字的由来——不是说这个DNS是私人专属的，而是说你的DNS查询内容是私密的，不会被路上的人偷看。DNS层面怎么防跟踪？除了防窥探，DNS还能直接从源头拦掉跟踪器。你每次上网，网页里除了你想看的内容，还藏着一大堆第三方跟踪脚本——它们会收集你的浏览行为、生成你的用户画像、然后卖给广告公司。这些跟踪脚本几乎都来自独立的跟踪域名，比如 doubleclick.net、google-analytics.com、hm.baidu.com 等等。如果你用的DNS服务器自带「跟踪拦截」功能，它会在你查询这些跟踪域名的时候直接返回空地址，跟踪脚本就根本加载不起来。这就是DNS层面的防跟踪——在请求发出之前就把跟踪器掐断。AdGuard官方维护的DNS过滤列表就专门包含了大量广告和跟踪域名，这也是为什么AdGuard DNS在隐私保护圈子里口碑很好的原因。「零日志」到底是什么意思？很多DNS服务商都宣称自己是「零日志」（No Logs / Zero Logs），但这个词的具体含义每家都不一样。你得看它的隐私政策原文，不能只看营销口号。一般来说，DNS服务商的日志分两种：个人查询日志：记录「哪个IP在什么时间查了什么域名」——这种日志一旦存在，你的完整上网记录就等于被服务商存档了聚合统计数据：只保留「今天总共处理了多少查询」「拦了多少广告」这种汇总数字，不绑定到具体用户真正的「零日志」，指的是不记录个人查询日志。但几乎所有服务商都会保留一些聚合的运行数据，这是正常的，不影响隐私。下面我们看看几家主流服务商官方隐私政策里到底怎么说：Cloudflare 1.1.1.1Cloudflare在官方隐私政策里明确说明：1.1.1.1公共解析器不记录个人信息大部分非个人可识别的查询数据只保存25小时不会把解析器日志分享给第三方（除了和APNIC的研究合作协议下共享匿名数据）Cloudflare的隐私承诺在行业里是比较透明的，它还接受过第三方独立审计。Google Public DNSGoogle的隐私政策相对来说保留的数据多一些：客户端IP地址临时记录24-48小时后删除会保留城市/都市圈级别的位置信息更久，用于调试和改进服务不会把DNS查询日志和你的Google账号关联起来Google的优点是速度快、全球节点多，但如果你对「被谷歌记录」这件事比较敏感，可能会更倾向选其他家。AdGuard DNSAdGuard在官方隐私政策里的承诺：不专门收集任何用户个人信息——你的IP地址和身份信息不会被记录只存储汇总性能指标（总请求数、拦截数、处理速度）保存过去24小时内请求域名的匿名数据库，但没有任何信息能把这些域名关联回具体用户AdGuard的优势在于它本身就是做广告拦截起家的，DNS服务自带广告和跟踪过滤，隐私保护和去广告二合一。隐私保护型私人DNS怎么选？一张表帮你对比服务商加密协议广告/跟踪拦截日志政策适合人群Cloudflare 1.1.1.1DoT/DoH基础版无拦截，家庭版有无个人日志，查询数据25小时追求速度、只要加密不要过滤AdGuard DNSDoT/DoH内置广告+跟踪+恶意网站拦截无用户特定数据，仅聚合指标想去广告又想保护隐私Google Public DNSDoT/DoH无拦截临时IP日志24-48h，保留城市级位置习惯谷歌服务、求稳定Quad9DoT/DoH恶意软件拦截隐私优先政策偏安全防护场景选择建议：如果你最在意「没人知道我在查什么域名」→ 选 Cloudflare 1.1.1.1，它的隐私透明度做得最好如果你还想顺手把广告和跟踪器一起拦掉、又不希望解析绕到海外 → 用本站的 dns.23-4.cn：查询全程 TLS 加密，服务端跑自维护的去广告规则，而且它把统计口径公开在战报页上，记什么、不记什么你可以自己去看，配置见私人 DNS 加密设置教程如果你想「加密 + 去广告 + 防跟踪」一步到位 → 选AdGuard DNS，省得自己搭服务器如果你完全不信任第三方 → 那就自己搭AdGuard Home，数据全在你自己手里（参考本站自建AdGuard Home教程）加密了就万事大吉了吗？小心DNS泄露就算你开了私人DNS、选了零日志服务商，还有一个坑叫「DNS泄露」——意思是你的某些DNS查询绕过了加密通道，又走回了明文DNS。尤其是在你同时用VPN的情况下，DNS泄露是很常见的问题。怎么检测自己有没有DNS泄露？怎么防止？本站下一篇会专门讲这个话题：私人DNS会泄露吗？DNS泄露检测与防止指南。常见问题Q：零日志DNS是不是真的完全不记录任何东西？A：不是。几乎所有服务商都会保留一些聚合的运行统计数据（比如总请求量、拦截数），这是正常的运维需要。「零日志」真正指的是不记录「谁在什么时间查了什么域名」这种可以定位到个人的查询日志。具体要看每家的隐私政策原文。Q：用了加密DNS，运营商就完全看不到我上网了吗？A：运营商看不到你查了什么域名，但它还是能看到你在和哪些IP通信（比如你访问了哪个网站的服务器IP）。加密DNS保护的是「域名查询」这一层，不是全部网络流量。想完全匿名还是得配合VPN。Q：AdGuard DNS和Cloudflare DNS哪个隐私更好？A：Cloudflare在隐私透明度和第三方审计方面做得更彻底；AdGuard DNS胜在自带广告和跟踪拦截，一站式解决。两者都宣称不记录个人查询日志，隐私底线都是可靠的，主要看你需不需要过滤功能。参考来源Cloudflare官方隐私政策 - 公共DNS解析器 — 支撑Cloudflare 1.1.1.1的日志保留时长与隐私承诺Google Public DNS官方隐私页面 — 支撑Google Public DNS的日志策略与数据保留说明AdGuard DNS官方隐私政策 — 支撑AdGuard DNS零日志与聚合数据的官方声明AdGuard DNS官方介绍页 — 支撑AdGuard DNS的隐私定位与GDPR合规说明相关阅读明文DNS有多危险？DNS劫持、污染、泄露风险与私人DNS能做什么私人DNS会泄露吗？DNS泄露检测与防止指南公共DNS服务商对比：Cloudflare/Google/阿里/腾讯/114 哪个更适合你？用私人DNS拦截广告：DNS广告过滤原理与开启方法免费加密DNS服务：DoH/DoT 地址与一键配置指南选服务比选协议更影响体验：本站自建的 dns.23-4.cn 支持 DoT / DoH 双协议，解析的同时拦掉广告与跟踪器——配置教程。
-
私人DNS会泄露吗？DNS泄露检测与防止指南 防泄露的第一步，是有一个明确知道归属的解析服务器：把 DNS 固定成 dns.23-4.cn，泄露检测里看到的就是它，而不是你家运营商。私人DNS 主机名：dns.23-4.cn ｜ DoH 地址：https://dns.23-4.cn/dns-query ｜ 配置教程 ｜ 过滤战报TL;DR：会泄露，而且比你想象的常见。「DNS泄露」指的是你明明开了VPN或私人DNS，但某些DNS查询绕过了加密通道，又走回了明文的运营商DNS——等于你的上网记录还是被ISP看着。检测很简单：连上VPN后打开 dnsleaktest.com 跑一遍Extended Test，如果看到你本地运营商的DNS就说明漏了。防止方法：用支持「DNS劫持到VPN隧道」的VPN客户端、关闭IPv6、在系统层面强制指定加密DNS——本站的 dns.23-4.cn 就是一个可以固定下来的解析目标（DoT 主机名 dns.23-4.cn，DoH https://dns.23-4.cn/dns-query）。什么是DNS泄露？为什么开了VPN还会泄露？先举个最常见的场景：你为了隐私开了VPN，流量全部加密走VPN服务器，以为自己万无一失了。但实际上——你的DNS查询可能根本没走VPN隧道。这就是DNS泄露（DNS Leak）：你的网页浏览流量走了VPN，是加密的但DNS查询那一步，系统还是用了本地网卡默认的DNS（也就是你运营商的DNS）运营商虽然看不到你访问的内容，但它清清楚楚看到了你查了哪些域名等于你花了钱开VPN，结果上网记录还是被ISP看光了为什么会这样？因为很多VPN客户端默认只转发网页流量，不接管DNS查询。操作系统的DNS配置是按网卡走的，VPN网卡和本地WiFi网卡各有各的DNS设置，一不小心就漏了。当然，就算你不用VPN、只用私人DNS，也可能有泄露——比如你的系统同时配了好几个DNS服务器，某些情况下会绕过你指定的私人DNS，走回明文。怎么检测自己有没有DNS泄露？两个免费在线工具检测DNS泄露非常简单，不用装任何软件，浏览器打开网页就能测。推荐用下面两个站交叉验证：工具一：DNSLeakTest.com（最常用）先连上你要用的VPN或私人DNS（如果你是在测VPN场景的话）浏览器打开 https://www.dnsleaktest.com/首页会自动显示你当前出口IP和ISP信息点击「Extended test」（扩展测试）按钮，不要只点Standard Test等十几秒，它会列出所有解析你查询的DNS服务器怎么看结果：如果你连的是VPN，列表里的DNS服务器应该都属于你的VPN服务商，IP归属地也应该在VPN服务器所在地如果列表里出现了你本地运营商的DNS（比如中国移动、中国电信），那就是泄露了工具二：ipleak.net（更全面）同样先连上VPN/私人DNS打开 https://ipleak.net/页面会自动检测你的IP地址、DNS服务器、甚至WebRTC泄露往下滚到「DNS Addresses」区域，看列出的DNS服务器列表这个站的好处是它除了DNS泄露，还会顺便检测IPv6泄露和WebRTC泄露，一次测全。测之前记得先做个基线：断开VPN、恢复默认DNS的时候先跑一次，记下你本地运营商的DNS名称和IP段。连上VPN之后再跑一次对比，如果两边DNS列表不一样、连上VPN之后没有出现你本地运营商，说明没泄露。DNS泄露最常见的几个原因原因一：VPN没接管DNS这是最普遍的情况。很多VPN客户端默认配置下，只路由IP流量，不接管DNS查询。你的系统还是在用本地网卡的DNS设置发明文查询。解决办法：在VPN客户端设置里找「Kill Switch」或「DNS Leak Protection」选项，打开它。好的VPN客户端都会提供这个功能，它会强制所有DNS查询都走VPN隧道。原因二：IPv6泄露很多人不知道：IPv4的流量走了VPN，但你的设备同时还有IPv6地址，IPv6的DNS查询可能完全绕过了VPN，直接走本地网络发出去了。现在国内不少地方已经分配了IPv6地址，如果你的VPN不支持IPv6隧道，这一块就是个漏勺。解决办法：要么在VPN里开启IPv6支持，要么干脆临时关闭系统的IPv6（测试隐私的时候最稳妥）。原因三：系统配了多个DNS服务器有些操作系统会自动给每个网卡都配上DNS服务器，如果你只改了WiFi网卡的私人DNS，手机流量网卡的DNS还是默认的，切换网络的时候就可能漏。原因四：路由器层面的DNS如果你家路由器自己配了DNS，所有内网设备的DNS查询可能被路由器「劫持」回路由器自己的DNS设置，你在手机上改私人DNS也可能不生效。这个问题在私人DNS不生效怎么办那篇里有详细排查方法。怎么防止DNS泄露？四步走第一步：用靠谱的VPN客户端，开启DNS保护选VPN的时候，别只看价格和速度，一定要确认它支持「DNS Leak Protection」。主流的付费VPN（比如Mullvad、ProtonVPN、IVPN）默认都会开启这个功能，把所有DNS查询强制走隧道。第二步：私人DNS + VPN 组合使用如果你已经在手机上开了私人DNS（DoT），再配合VPN使用，其实是双重保险：VPN把你的整体流量加密走出去私人DNS把域名查询再加密一层两者叠加，就算VPN那边漏了，DNS这一层还是加密的但要注意：有些VPN客户端会覆盖你系统的私人DNS设置，具体看组合效果。本站之前讲过私人DNS和VPN冲突怎么办，可以参考。第三步：堵住IPv6泄露路径如果你暂时不用IPv6，可以直接关掉系统的IPv6支持：Windows：网络适配器属性里取消勾选「Internet 协议版本 6 (TCP/IPv6)」Android：开发者选项里或者网络设置里关闭IPv6路由器：关闭IPv6分发这样就不会有IPv6 DNS绕出去了。第四步：路由器层面统一配置如果你家所有设备都想统一用加密DNS，可以直接在路由器层面配置。这样不管手机还是电脑，连上来就自动走你指定的DNS，不会出现「某个设备忘了设置」的情况。路由器设置私人DNS的方法本站也有专门教程。验证：改完之后怎么确认不泄露了？改完配置之后，别以为就万事大吉了，一定要再跑一次检测确认：重新连好你的VPN/私人DNS配置再开 dnsleaktest.com 跑一遍Extended Test对照之前记下的「基线」——现在的DNS列表里还有没有你本地运营商？如果干净了，说明配置生效了顺便再去 ipleak.net 测一下IPv6泄露和WebRTC泄露建议每次改完网络配置都测一遍，有时候系统更新或者APP更新会偷偷改回去。常见问题Q：我只用私人DNS不用VPN，也会有DNS泄露吗？A：一般不会有传统意义上的「DNS泄露」（泄露是个VPN场景下的概念），但你的私人DNS可能不生效——比如某些APP自己硬编码了DNS服务器，绕过了系统设置。这种情况不算泄露，但效果上类似。Q：DNS泄露了会怎么样？严重吗？A：如果你只是普通上网，泄露的后果就是你的ISP知道你访问了哪些域名，但看不到具体内容。但如果你用VPN是为了隐私保护，那DNS泄露等于VPN白开了——你的完整浏览记录还是被ISP看着。所以用VPN的人一定要重视DNS泄露问题。Q：免费VPN是不是都有DNS泄露？A：大部分免费VPN确实不做DNS保护，泄露概率很高。而且很多免费VPN本身就在卖你的浏览数据。如果真的在意隐私，建议用付费的、明确承诺无日志+DNS泄露保护的VPN服务。参考来源DNSLeakTest官方网站 — 支撑DNS泄露检测工具使用方法与Extended Test流程ipleak.net官方网站 — 支撑多维度IP/DNS/WebRTC泄露检测方法DNSLeakTest - 什么是DNS泄露 — 支撑DNS泄露的定义与风险说明ipleak.net - DNS泄露原因说明 — 支撑Windows多网卡DNS配置导致泄露的技术原因相关阅读私人DNS防跟踪与零日志：隐私保护型DNS怎么选明文DNS有多危险？DNS劫持、污染、泄露风险与私人DNS能做什么私人DNS和VPN冲突怎么办？共存与优先级设置教程私人DNS不生效怎么办？多设备通用排查方法与常见原因公共DNS服务商对比：Cloudflare/Google/阿里/腾讯/114 哪个更适合你？选服务比选协议更影响体验：本站自建的 dns.23-4.cn 支持 DoT / DoH 双协议，解析的同时拦掉广告与跟踪器——配置教程。
