本地DNS与远程DNS的关键区别
在排查VPN泄漏时，区分本地DNS和远程DNS是核心。本地DNS指设备在断开VPN或VPN隧道建立前，通过操作系统默认设置向ISP分配的DNS服务器发起的查询。远程DNS指数据包经过VPN加密隧道传输后，由VPN服务提供商配置的DNS服务器处理的查询。两者的根本区别在于查询路径是否被隧道完全接管。若存在泄漏，说明部分流量（通常是DNS）未经过隧道，而是直接通过本地网络发出，导致IP地址与DNS记录不一致，暴露真实地理位置或ISP信息。
选择检查工具的适用场景
选择基于浏览器或基于系统的诊断工具，取决于你希望验证的层面。如果你只想快速确认“是否泄漏”，使用在线IP检测网站（如DNS泄漏测试工具）是最直接的。这类工具发送特定DNS请求，观察返回的IP归属地与VPN IP是否一致。其优点是零配置，适合普通用户；缺点是它只能证明“有泄漏”，无法定位“哪条规则导致泄漏”。
如果你希望深入排查“为何泄漏”并修复，则必须使用系统级网络抓包工具（如Wireshark）或操作系统自带的网络日志功能。这类工具能精确捕获DNS查询的数据包流向，判断其是否被标记为隧道流量。这适用于技术用户，或在线测试显示泄漏但重启后恢复，需固定复现问题的场景。两者的比较在于：在线测试解决“有无”问题，抓包分析解决“根源”问题。
在终端中执行DNS泄漏诊断，确保网络流量路径安全。
具体诊断步骤与操作
无论使用哪种工具，首要步骤是确认当前VPN状态。确保客户端显示“已连接”，且网关指向VPN服务器。随后，执行一次明确的DNS查询。在使用抓包工具时，观察DNS报文（UDP 53端口）的源IP地址。如果源IP是你本地的物理网卡IP，而目标是ISP的DNS服务器，即为泄漏。如果源IP是VPN分配的虚拟网卡IP，且目标是供应商的DNS服务器，则正常。对于在线测试工具，袋鼠若结果显示“Local DNS”，则直接判定为泄漏。
注意，单一测试失败不能证明所有流量泄漏。DNS泄漏常由“DNS劫持”或“UDP 53流量未强制路由”引起。此时应检查VPN软件是否拥有“强制全量路由”或“Kill Switch”功能。若软件无此功能，需手动检查操作系统的路由表，确认默认网关是否已切换至VPN接口。在Windows系统中，可通过`route print`查看；在macOS或Linux中，袋鼠加速器安装教程使用`netstat -rn`。若默认路由未指向VPN接口，则其他流量也可能绕过隧道，需进一步排查。
