代理DNS泄漏怎么测试？在线检测与 curl 复核步骤
简答：先关闭代理做一次基线，再开启代理使用在线 DNS 检测；如果仍看到本地网络解析器，不能马上认定为泄漏，还要用同一个新随机域名和 curl 的 socks5、socks5h 对照复核。普通用户做到在线检测加随机域名复测即可，命令行和受控域名验证适合需要更强证据的场景。
定义：代理 DNS 泄漏，是指应用或系统解析目标域名时仍通过代理以外的本地 DNS、浏览器 Secure DNS、IPv6 或其他分流路径发出查询。
结论速查：先做这 4 步
本文是独立技术整理，不代表任何品牌官网。代理 DNS 泄漏测试的关键不是只看检测页面显示的国家或运营商，而是比较“关闭代理”和“开启代理”两组结果，并确认测试请求确实由当前应用、当前节点和当前网络发起。
| 步骤 | 怎么做 | 通过或异常的判读 |
|---|---|---|
| 1. 建立基线 | 关闭系统代理、客户端代理和浏览器独立代理，打开 DNS 检测页面。 | 记录检测到的解析器、网络运营商、地区、IPv4/IPv6 与时间。 |
| 2. 开启代理 | 只开启一个代理客户端和一个节点，保持同一网络与浏览器。 | 重新检测并与基线比较；结果不同不等于一定通过，需看解析器路径。 |
| 3. 随机域名复测 | 使用检测页面生成的新随机域名，避免只重复旧缓存结果。 | 只有检测页面或受控域名确实记录到新查询时，证据才更有价值。 |
| 4. 命令行对照 | 对同一个新随机域名分别运行 socks5:// 与 socks5h://。 | 若本地解析与代理解析结果或失败位置不同，说明两条命令的 DNS 路径不同。 |
最短结论：普通用户先完成前 3 步；只有当结果互相矛盾、涉及 IPv6、浏览器 Secure DNS 或规则分流时，再做第 4 步和进阶验证。
前置条件：先分清你测试的是什么
- 代理类型：HTTP、HTTPS、SOCKS5、PAC、规则模式和 TUN 接管范围可能不同。网页检测只能观察浏览器实际产生的部分请求，不能自动证明所有应用都使用同一条路径。
- 测试对象：网页访问的出口 IP 与 DNS 解析器是两个观察对象。解析器所在地区和代理出口地区不一致，可能来自企业 DNS、Anycast、独立解析集群或中间服务，不能仅凭地区差异判定泄漏。
- 缓存与预取：浏览器可能使用 DNS 缓存、预取或 Secure DNS。Chrome 官方说明，Secure DNS 开启时会加密 DNS 查询；自动模式遇到问题时可能回退到非加密解析，使用自定义提供商时则不会默认回退到非加密模式。可在 Chrome 安全设置说明中核对当前配置。
- SOCKS5 的关键区别：curl 的
socks5://会在本地解析目标主机名，而socks5h://会让代理解析主机名；这是官方 curl 文档明确区分的两种行为，不能把两条命令当成同一种测试。 - 记录条件：两次测试应使用同一个新随机域名、同一网络、同一代理节点、相近时间，并记录成功、解析失败、连接失败和 HTTP 请求成功这几个不同结果。
最短流程：在线检测加随机域名复测
- 关闭代理建立基线。退出或暂停代理客户端，关闭浏览器独立代理和系统代理；如果使用规则模式，还要确认没有其他代理进程接管流量。打开一个 DNS 泄漏检测页面，先记录检测到的 DNS 服务器、运营商、地区、IPv4 和 IPv6 信息。不要把页面显示的出口 IP 直接当成 DNS 服务器。
- 清理可影响结果的缓存。Windows 可在管理员或普通命令提示符中执行
ipconfig /flushdns；Microsoft 文档说明该命令会清空并重置 DNS 客户端解析缓存。也可以关闭检测页面后重新打开，减少页面缓存和旧结果的干扰。命令说明见 Microsoft ipconfig 文档。 - 开启代理并保持其他条件不变。只开启一个客户端和一个节点，优先使用明确知道代理覆盖范围的模式。重新打开同一个检测页面，记录解析器列表、查询时间、IPv4/IPv6 结果和出口信息。若出现新的解析器，不要只按国家或城市判断，应继续看它是否属于代理服务使用的解析路径。
- 生成新随机域名并复测。在检测页面中生成新的随机测试名称，使用它触发一次新的访问或查询。随机域名只有在检测页面或受控域名确实记录到新查询，且没有被预取、缓存或其他组件代查时，才能提供较强证据；它不能单独证明查询一定来自代理或本地路径。
通过标准：代理开启后，测试页面不再稳定显示明显属于本地网络的解析路径；同一新随机域名的查询有可解释的记录；浏览器访问与命令行结果没有明显冲突。若只能看到地区变化、解析器名称变化或一次超时，结论应写成“需要复核”，不要直接写成“确定泄漏”。
curl 复核：对比 socks5 与 socks5h
以下命令中的 proxy.example:1080 和 random.example.test 仅为格式示例，需替换成你自己的代理地址和同一个新随机域名。不要把命令中的示例域名当成真实检测站点。
| 测试 | 命令示例 | 它主要验证什么 |
|---|---|---|
| 本地解析再走 SOCKS5 | curl -v --proxy socks5://proxy.example:1080 https://random.example.test/ | curl 先在本地解析目标主机名，再通过 SOCKS5 连接。 |
| 让代理解析主机名 | curl -v --proxy socks5h://proxy.example:1080 https://random.example.test/ | 目标主机名交给 SOCKS5 代理解析，适合与上一条命令做路径对照。 |
curl 官方文档将 socks5:// 定义为 SOCKS5 代理并在本地解析主机名，将 socks5h:// 定义为由代理解析主机名；也可以使用等价的 --socks5 与 --socks5-hostname 选项，详见 curl 命令手册。
- 命令成功：说明这次 HTTPS 请求完成，不代表所有浏览器、应用或 UDP 流量都没有 DNS 泄漏。
- 解析失败：重点看是哪一条命令失败。
socks5://失败可能涉及本地解析；socks5h://失败可能涉及代理端解析、代理规则或目标域名本身。 - 连接失败：可能是代理地址、端口、认证、节点或网络问题，不能直接归因于 DNS。
- 结果不一致：把两条命令的完整
-v输出、时间、节点和随机域名保存下来，再与在线检测记录比对。
分层排错：结果异常时按这个顺序查
- 先查浏览器 Secure DNS。Chrome 路径通常是“设置—隐私和安全—安全—使用安全 DNS”，但菜单名称可能随版本变化。官方说明显示，自动模式存在非加密回退行为，因此排查时可以临时记录当前模式，再按需切换或关闭做对照；测试结束后恢复原配置。来源见 Chrome 官方帮助。
- 再查 PAC、规则和 TUN 覆盖范围。如果只有部分网站或某个应用出现异常，可能是分流规则、应用独立代理、系统代理未接管，或者 TUN 没有覆盖 DNS 请求。把浏览器、命令行和目标应用分开测试，不要用一个网页结果代表所有应用。
- 检查 IPv6 旁路。分别记录 IPv4 与 IPv6 结果。若代理只覆盖 IPv4，而系统或浏览器仍能通过 IPv6 建立解析或连接，应检查客户端的 IPv6 接管能力与规则；没有确认前，不要直接断言一定存在泄漏。
- 检查本地 DNS 缓存。Windows 使用
ipconfig /displaydns可以查看 DNS 客户端缓存，使用ipconfig /flushdns清理缓存；Microsoft 文档说明/displaydns会显示本地缓存内容，/flushdns会刷新缓存。需要注意，清缓存只能减少旧结果干扰，不能自动修复代理接管问题。 - 最后再做受控验证。如果你拥有自己的域名和权威 DNS 记录，可以为每次测试生成唯一子域名，再观察权威侧是否收到查询。该记录更适合确认“查询经由哪个解析器或路径到达”，通常不能直接确认最终设备或应用，也不能仅凭一条日志判断代理是否接管全部流量。
边界与延伸：什么结果不能直接下结论
| 现象 | 不能直接推出的结论 | 下一步 |
|---|---|---|
| DNS 服务器地区与代理出口不同 | 不等于 DNS 泄漏。 | 核对解析器归属、重复查询和代理服务的解析说明。 |
| 在线检测显示一个本地运营商 | 不等于所有应用都在本地解析。 | 关闭浏览器 Secure DNS，清缓存后用新随机域名复测。 |
| socks5 与 socks5h 结果不同 | 不等于代理节点故障。 | 先确认两条命令使用同一域名、节点、网络和端口，再区分解析失败与连接失败。 |
| 只看到 IPv4 结果 | 不等于没有 IPv6 路径。 | 单独检查系统、浏览器和客户端是否启用 IPv6。 |
| 一次检测没有记录 | 不等于没有发起查询。 | 排除缓存、预取、超时、NXDOMAIN 和检测页面自身的记录延迟。 |
SOCKS5 协议本身支持把目标地址作为 IPv4、IPv6 或域名发送给服务器；RFC 1928 对域名地址类型和请求结构有明确规定，具体客户端是否选择远程解析，则取决于客户端选项或实现。可参阅 IETF RFC 1928。
如果你要验收一套代理配置，建议保留一张复测表：日期、系统、浏览器、客户端模式、节点、代理类型、测试域名、解析器、IPv4/IPv6、命令结果、失败阶段和恢复设置。没有抓包、受控域名日志或客户端调试记录时，结论应使用“未发现明显本地解析”“结果不足以确认”“需要进一步验证”等表述，而不是写成绝对安全。
常见问题
1. DNS 检测网站显示的解析器和代理出口不在同一个地区，是泄漏吗？
不一定。解析器可能使用 Anycast、企业网络、独立解析集群或中间服务，地区差异只能作为线索。应结合关闭代理基线、开启代理后的重复结果、随机域名记录和 curl 对照判断。
2. socks5 和 socks5h 哪个更适合测试 DNS 泄漏？
两者适合做对照，不是简单的“哪个更安全”。curl 文档说明，socks5:// 在本地解析目标主机名，socks5h:// 让代理解析目标主机名。若想检查代理是否能承担远程解析，应重点观察 socks5h://，同时保留 socks5:// 作为基线。
3. 浏览器开启 Secure DNS 后，在线检测还准确吗？
它仍能观察浏览器发出的部分解析行为，但测试对象已经可能变成浏览器自己的加密 DNS 路径，而不是系统 DNS 或代理客户端 DNS。Chrome 官方说明自动模式可能在异常时回退到非加密解析，因此排查时应记录模式，并做一次临时对照。
4. 清空 DNS 缓存后仍然显示本地解析器，怎么办？
清缓存只会减少旧记录影响。继续检查浏览器 Secure DNS、PAC 或规则分流、应用独立代理、IPv6、TUN 覆盖范围，以及是否有其他网络工具在后台运行。
5. 权威 DNS 日志能否证明是哪台设备泄漏？
通常不能直接证明最终设备或应用。权威服务器更适合确认查询经由哪个递归解析器或中间路径到达；要定位设备，还需要结合本机日志、抓包、时间戳和受控实验。
常见问题
代理DNS泄漏怎么测试最快？
关闭代理做基线，开启代理后重新检测，再用检测页面生成的新随机域名复测。普通用户先完成这三步即可；结果冲突时再用 curl 对比 socks5 和 socks5h。
DNS 服务器和代理出口不在同一地区就是泄漏吗？
不是。Anycast、企业 DNS、独立解析集群和中间服务都可能造成地区差异。必须结合基线、随机域名记录和命令行结果判断。
socks5 和 socks5h 有什么区别？
curl 中 socks5 会在本地解析目标主机名，socks5h 会让代理解析目标主机名。两者使用同一节点和同一新域名对照，才能观察解析路径差异。
Chrome Secure DNS 会影响测试吗？
会。Chrome 的 Secure DNS 可能使用浏览器自己的加密 DNS 路径，自动模式还可能回退到非加密解析。排查时应记录当前模式并按需做临时对照，完成后恢复配置。
权威 DNS 日志能直接证明设备泄漏吗？
通常不能。它主要帮助确认查询经过哪个解析器或路径到达，定位最终设备还需要结合本机日志、抓包和时间戳。