DNS 泄漏
DNS 查询跑到了代理隧道之外，ISP 能看到你访问了哪些网站。
当你在浏览器输入 example.com，浏览器会向 DNS 解析器（通常是 ISP 的）请求把域名解析成 IP。如果你用的是承诺 DNS 隐私的代理，所有 DNS 查询都应该走代理。DNS 泄漏就是部分查询跑出去了——到达 ISP 的解析器，ISP 会记录域名（在某些司法管辖区还会卖数据）。
浏览器无法直接读取操作系统解析器，所以「真正的」DNS 泄漏测试需要原生客户端。IPCombo 观察公网侧：查询 DoH 端点和一个普通 HTTPS 端点，比较两次响应。如果不同，路径上某处在重写 DNS——通常是透明代理或 VPN 配置错。
修复方法是：在浏览器（或系统）启用 DNS-over-HTTPS，并确认代理把所有 DNS——包括 DoH 端点的引导 IP——都路由进隧道。大多数现代 VPN 客户端自动处理；老一点或自己搭的方案常常漏掉这一步。