VPN连接建立后仍发生DNS泄漏，通常是因为操作系统或应用层未将域名解析流量完全强制经由VPN隧道传输。当浏览器或系统服务发起DNS查询时，若本地网络适配器仍拥有默认路由权或存在未覆盖的例外规则，请求便会绕开VPN直接发往本地ISP的DNS服务器，小鸟VPN导致流量路径与预期不符。
技术人员正在排查路由器与笔记本电脑之间的网络连接状态，以定位DNS解析流量异常。
检查本地DNS接口配置
在Windows系统中，可通过“netsh interface ip show config”查看当前活动网卡的DNS服务器地址。若连接的是有线或WiFi，且看到非127.0.0.1或VPN虚拟网卡分配的DNS IP，说明系统仍在使用本地ISP的解析器。在macOS中，使用“scutil --dns”可列出当前生效的解析器优先级。正常配置下，VPN激活后，系统DNS解析器应指向VPN服务端分配的地址，或指向本地DNS代理程序，该代理再将请求加密转发至隧道。
验证DNS流量路径
确认系统配置后，需验证实际流量走向。在浏览器中输入支持显示查询记录的DNS检测工具，观察返回的DNS服务器地址。若结果显示为本地ISP的DNS IP，而VPN状态显示为已连接，则存在泄漏。另一种方法是使用“nslookup”查询一个公共域名，检查解析结果中的“Server”字段是否对应VPN服务端或本地代理IP。注意，部分VPN软件采用UDP 53端口封装，若防火墙阻止出站UDP 53，可能导致解析失败而非泄漏，此时需区分“无响应”与“响应错误”。
排查路由表例外规则
某些网络环境会设置静态路由例外，将特定子网或0.0.0.0/0流量指向本地网关。执行“route print”（Windows）或“netstat -rn”（macOS/Linux）查看路由表。若发现默认网关（0.0.0.0）指向本地物理网卡而非VPN虚拟网卡（如TAP-Windows、utun等），DNS流量将优先走本地网络。部分VPN客户端仅覆盖应用层流量，小鸟若系统级DNS解析由网络层处理，需确保VPN客户端具备系统级路由接管能力，或配置全局代理模式。
确认VPN协议支持DNS推送
不同VPN协议对DNS配置的推送机制不同。OpenVPN通常通过配置文件中的“dhcp-option DNS”指令显式推送DNS地址，客户端若未正确解析该指令，可能保留原有配置。WireGuard在多数实现中不自动推送DNS，需依赖客户端软件额外配置或使用本地代理。IPsec协议可自动配置DNS，但部分移动端实现存在兼容性差异。检查VPN配置文件或服务端日志，确认是否下发了DNS地址。若服务端未推送，客户端将无法自动更新解析器，需手动在系统中指定VPN服务端提供的DNS IP。
