dnsleaktest.com，30 秒有位比较懂技术的用户来问：「客户端一直配置不成功 DNS 来防止泄漏。」 来回试了很多组 DNS 服务器地址，都觉得「没配对」。
实际情况是：他的连接本来就没有泄漏。小火箭在连接状态下 DNS 查询默认走代理， 他花时间调的那个参数，解决的是另一个问题。
⇒ 先花 30 秒测一次，比调半小时参数有用。
这两个词在中文社区里经常被混用，但它们是两个不同的问题，修法也不同。 绝大多数「DNS 怎么配都不对」的困惑，源头都在这里。
| DNS 泄漏 | DNS 污染 | |
|---|---|---|
| 性质 | 隐私问题 | 可用性问题 |
| 发生了什么 | 域名查询没走隧道，本地运营商看得到你在查什么 | 查询被返回了错误的地址 |
| 你的体感 | 网站照样能开，完全没感觉 | 连不上、全部节点超时 |
| 怎么修 | 让查询走隧道（小火箭默认就是） | 换 DNS 服务器 / 换公网 IP |
「改 DNS 服务器」主要是治污染的，不是治泄漏的。
泄漏的关键不在于你查哪台服务器，而在于这个查询有没有从隧道里出去。
如果查询本来就没走隧道，那么把它从运营商的 DNS 改成 8.8.8.8，
运营商依然看得见你在查什么 —— 泄漏一点没少。
⇒ 所以顺序是：先测有没有泄漏，有才处理； 连不上才去调 DNS 服务器地址。
1先连上代理，确认能正常打开国外网站。
2用 Safari 打开 dnsleaktest.com，跑一次测试
（标准测试即可，想更细可以跑扩展测试）。
3看结果里列出的 DNS 服务器归属：
✅ 显示节点所在地区、或代理方的服务器 → 查询走了隧道，没有泄漏，什么都不用配
❌ 显示你本地的运营商（比如你自己的宽带商）→ 这才是泄漏，往下看
同一个页面通常也会显示出口 IP。如果出口 IP 显示的是你本地的地址， 那不是 DNS 的问题，是代理压根没生效 —— 先去解决连接本身。
两种情况值得动 DNS 覆写：测出来确实泄漏，或者 遇到 DNS 污染导致全部节点超时（后者更常见）。
1底部切到「配置」
2点当前正在使用的配置文件右边的 i 图标
3找到「DNS 覆写」，打开开关
4填入服务器地址，例如 8.8.8.8,1.1.1.1。
多个之间用英文逗号分隔，不要用中文逗号，也不要加空格 —— 格式错了不会报错，只会不生效。
5保存，回首页重新连接一次。改完不重连，不会生效。
改完再跑一次 dnsleaktest.com 对比。
如果测试结果和改之前没有区别，说明问题不在这一层 ——
不要继续换别的 DNS 地址反复试，那是在错误的方向上使劲。
电脑上有个比逐项配 DNS 更彻底的办法：TUN 模式。 它在系统层面接管流量，包括那些不遵守系统代理设置的程序，DNS 也一并被接管。
必须先完成「服务模式」的安装与授权，然后才能打开 TUN 开关。 直接开 TUN 会失败 —— 因为它需要系统级权限来创建虚拟网卡， 而那个权限是服务模式装上去的。
很多人卡在这里，以为是软件有问题，其实只是两步做反了。
系统代理开关就不必再开了 —— TUN 的接管范围更大。
同样建议开完跑一次 dnsleaktest.com 确认效果，不要凭感觉。
如果你的网络启用了 IPv6，而代理配置只处理了 IPv4， 部分流量可能绕过隧道从 IPv6 出去。这是一类和 DNS 泄漏并列的常见泄漏路径， 但它不在本文的 DNS 覆写能解决的范围内。
检测方法同样是先测再说：测试页面上如果出现了你本地的 IPv6 地址，就说明存在这条路径。 本站没有对各家客户端的 IPv6 行为做过系统测试，所以这里不给具体结论 —— 知道有这回事、自己测一下即可。
多数情况不需要。小火箭在连接状态下会接管系统流量，DNS 查询默认也走代理， 这本身就避免了把域名暴露给本地运营商。反复配置却「配不成功」， 通常不是配置失败，而是本来就没有需要解决的问题。
连上代理后，用 Safari 打开 dnsleaktest.com 跑一次测试，
看结果里列出的 DNS 服务器归属。显示节点所在地区或代理方的服务器 = 没有泄漏；
显示你本地的运营商，那才是泄漏。
不是。泄漏是隐私问题：查询没走隧道，运营商能看到你查了什么， 但网站通常还是能打开。污染是可用性问题：查询返回了错误的地址， 表现是连不上、全部节点超时。搞混了，就会用改 DNS 服务器的办法 去解决一个其实并不存在的泄漏问题。
「配置」→ 点当前配置文件右边的 i → 「DNS 覆写」→ 打开开关并填地址，
多个之间用英文逗号分隔且不加空格 → 保存后重新连接一次。
开启 TUN 模式，它在系统层面接管流量，包括不遵守系统代理设置的程序。 注意顺序：先完成服务模式的安装与授权，再打开 TUN 开关，直接开会失败。
操作路径基于 Shadowrocket iOS 版与 Clash Verge 桌面端，不同版本菜单文案可能略有差异。 文中「真实用户反馈」为本站收到的用户咨询场景，已去除品牌与个人信息。 本文不含任何测速或解锁数字，也不对各家客户端的 IPv6 行为下结论 —— 本站只发布做过实测的数据。