核心解答：所谓的“DNS 泄漏（DNS Leak）”，是指用户在使用代理服务时，虽然 Web 内容流量通过了加密隧道传输，但操作系统在请求目标网站域名前，却依然悄悄向本地网络服务商（电信/联通/移动）的传统 53 端口发起明文查询。这样会导致你正在访问的网站域名被运营商日志清晰记录。通过配置加密 DNS 或启用 Fake-IP 虚拟映射，可以 100% 杜绝这一隐患。
一、如何检测自己是否存在 DNS 泄漏
打开浏览器，访问公认的在线 DNS 泄漏测试站点（如 dnsleaktest.com 或 whoer.net）。点击“Extended Test（扩展测试）”。
- 正常状态（零泄漏）：测试结果中展示的所有 DNS 服务器 IP，均属于你当前所连接的海外节点所在机房（如 Cloudflare、Google 或节点自有机房），看不到任何中国本土运营商的 IP。
- 泄漏状态：虽然网页能打开且出口 IP 是海外，但测试列表中赫然出现了中国电信或本地宽带的 DNS 服务器 IP，这表明系统发生了典型的 DNS 泄漏。
二、三大根治 DNS 泄漏的有效技术手段
- 启用客户端的 Fake-IP 模式：在 Clash / Sing-box 等主流内核中，Fake-IP 可以将所有的域名请求截获在本地并直接返回一个保留地址，真实 DNS 查询被打包在加密隧道内部由远端节点代为完成，本地完全不产生任何明文查询流量。
- 配置 DoH / DoT 加密 DNS：在浏览器（如 Chrome / Edge）设置中开启“使用安全 DNS”，并填入支持 HTTPS 加密的服务器地址（如
https://dns.alidns.com/dns-query或https://1.1.1.1/dns-query）。 - 开启 TUN 虚拟网卡接管：TUN 模式接管了系统所有的 UDP 53 端口流量，无论软件如何发起直连解析，都会被虚拟网卡强行抓取并导入分流核心，消除漏网之鱼。
相关指引
若在开启防泄漏设置后遇到解析超时，请阅读：DNS 解析失败与防劫持方案；关于 TUN 模式的开启与排错请参考：TUN 模式与系统代理故障排查。