VPN 或代理连接成功后仍然出现 DNS 泄露的原因和修复方法，覆盖浏览器安全 DNS、系统私有 DNS、规则分流和全局模式。
VPN 或代理显示已连接，不代表 DNS 请求也一定走了同一条线路。DNS 泄露常见于浏览器安全 DNS、系统私有 DNS、规则分流、TUN 未接管、Fake DNS 配置不完整或客户端只代理了部分应用。
先确认是不是 DNS 泄露
先打开 VPN 泄露检测中心页 或 NetScope，记录公网 IP、DNS 服务器、WebRTC 和 IPv6 结果。如果公网 IP 已经变成代理地区，但 DNS 仍显示本地运营商、公司网络、校园网或家庭宽带，就需要继续排查。
第一步：排除浏览器安全 DNS
Chrome、Edge、Firefox 等浏览器可能单独启用安全 DNS 或 DoH。浏览器 DNS 没有跟随系统代理时，会出现“网页走代理，但 DNS 还走浏览器自选服务商”的情况。排查时先临时关闭浏览器安全 DNS，再重新打开检测页。
第二步：检查系统私有 DNS
Android 的私有 DNS、Windows 或 macOS 的自定义 DNS、路由器下发的 DNS 都可能覆盖 VPN 客户端设置。安卓用户尤其要检查系统私有 DNS 是否固定为第三方域名；如果是，先改为自动或关闭，再重新连接 VPN。
第三步：切换全局模式测试
如果你使用 Clash、V2RayN、Nekoray 或 Shadowrocket for Android，先把规则模式临时切到全局模式。全局模式下 DNS 正常，说明节点本身可用，问题多半在规则、域名匹配、Fake DNS、远程 DNS 或分应用代理。
第四步：检查客户端 DNS 设置
- Clash 用户检查 DNS 是否启用，Fake IP/Fake DNS 是否和 TUN 模式匹配。
- V2Ray/Xray 用户检查 remote DNS、routing 和 domain strategy 是否符合当前规则。
- Shadowrocket for Android 用户检查是否有分应用代理、规则模式或系统 VPN 权限异常。
- 如果只是免费节点测试，换一个协议和地区再测，避免把节点问题误判成 DNS 问题。
相关排查路径
- VPN 泄露检测中心页：从 IP、DNS、WebRTC、IPv6 和浏览器信号整体判断。
- Fake DNS、远程 DNS 和 DoH 怎么选：适合 Clash/V2Ray 技术配置。
- VPN IPv6 泄露是什么：排查双栈网络绕过代理的问题。
- Clash/V2Ray 配置中心页：回到订阅、规则、TUN 和 DNS 统一排查。
什么时候该换方案
如果多个节点、多个客户端都反复出现 DNS 泄露，并且你需要稳定使用银行、邮箱、工作账号或长期浏览环境，就不要只依赖临时免费节点。可以先用 免费节点中心页 测试客户端，再评估更稳定的 VPN 试用或付费订阅。