从域名到 IP 地址发生了什么
浏览器访问一个域名时，需要先查询对应的 IP 地址，然后才能建立连接。这个查询过程通常很快，因此用户平时很少注意到它。
当 DNS 服务器响应慢、返回错误地址或网络阻止查询时，网页会在下载内容之前就停住，看起来像是 VPN 速度慢，实际上数据传输尚未开始。
系统 DNS 与客户端 DNS 为什么会冲突
操作系统、路由器、浏览器和 VPN 客户端都可能配置 DNS。多个组件同时强制接管时，查询可能循环、超时或绕过预期路径。
排查时应先恢复一个清晰的基线：系统使用自动 DNS，浏览器暂时关闭自定义安全 DNS，客户端使用默认设置。确认正常后，再逐项启用需要的功能。
常见 DNS 异常表现
- 网页打开前等待很久，但下载开始后速度正常。
- 使用 IP 地址可以访问，使用域名却失败。
- 切换网络后短时间正常，随后再次异常。
- 只有部分域名或某一类应用无法解析。
加密 DNS 并不是越多越好
DoH 和 DoT 可以保护 DNS 查询在传输过程中的完整性与隐私，但它们仍然依赖可达的服务地址。浏览器、系统和客户端同时启用不同的加密 DNS，不会形成多重保护，反而增加排查难度。
对于需要按域名分流的客户端，DNS 结果还会参与规则判断。随意替换解析方式可能让分流与预期不一致。
什么是 DNS 泄漏
当网络流量通过 VPN，但 DNS 查询仍发送给本地网络提供的解析服务时，通常称为 DNS 泄漏。这不等于所有内容都未加密，但本地解析方可能看到查询过的域名。
是否需要完全由隧道处理 DNS，取决于使用场景和连接模式。比起只看在线检测网站，更重要的是确认解析路径稳定、规则一致，并符合自己的隐私需求。
可靠的排查顺序
先对比断开和连接状态下的域名解析，再关闭浏览器自定义 DNS，最后测试客户端的默认与兼容选项。每一步都使用相同域名复测。
如果只有某个接入网络出现问题，可以在 Wi-Fi 与移动网络之间切换。差异明显时，应优先检查路由器或该网络对 DNS 的处理。
DNS 优化没有适用于所有网络的固定答案。稳定、可达且与分流模式一致，比堆叠多个热门 DNS 地址更重要。