当你在浏览器里输入一个网址时，电脑首先要把这个域名翻译成 IP 地址才能建立连接，这个翻译过程由 DNS（域名系统）完成。理想情况下，使用 VPN 时所有 DNS 查询都应该通过加密隧道发往 VPN 提供的 DNS 服务器。但如果某些查询绕过了隧道、直接发给了你的 ISP（网络运营商）或本地默认的 DNS，那么这些查询的内容和来源就暴露在了 VPN 之外——这就是「DNS 泄露」。
DNS 泄露的危害常被低估。即使你的网页流量本身是加密的，泄露的 DNS 查询依然会把你访问过哪些网站、在什么时间访问，明明白白地告诉 ISP。运营商可以据此记录、分析甚至出售你的上网行为；在某些地区，这些记录还可能被用于追踪与审查。更直接的是，DNS 查询会暴露你真实的地理位置与运营商身份，让 VPN 的「换地区」功能大打折扣——你以为自己在国外，DNS 却出卖了你在国内的真实出口。
造成泄露的原因有很多：操作系统的 DNS 配置没有被 VPN 完全接管；Windows 的「智能多宿主名称解析」会同时向多个网卡发查询；IPv6 流量未被 VPN 覆盖，导致 IPv6 的 DNS 走了原路；或者你手动设置了固定的公共 DNS（如 8.8.8.8）却没有让它走隧道。这些情况单看配置都不明显，往往要靠实际检测才能发现。
检测方法很直接：在连接 VPN 的状态下打开检测工具，它会触发多次 DNS 查询并显示实际响应你的 DNS 服务器归属。如果列表里出现了你本地 ISP 的服务器，或与 VPN 出口不在同一地区，就说明存在泄露。你可以使用 LabIP.NET 的 DNS 泄露测试工具 查看所有响应服务器，并配合 IP 查询 核对它们的归属地与运营商。
修复同样有章可循：优先选用内置 DNS 泄露防护、强制隧道内解析的 VPN 客户端；在系统或路由器层面禁用 IPv6，或确保 VPN 支持 IPv6；Windows 用户可关闭智能多宿主名称解析策略；进阶用户可启用 DoH（DNS over HTTPS）或 DoT（DNS over TLS）对查询本身加密。每次更改后都应重新检测，确认所有 DNS 查询都已收敛到 VPN 隧道内。
如需检测，请使用LabIP.NET DNS 泄露测试工具。