一个容易被忽略的错配：你的数据走了隧道，但「我要访问哪个域名」这个问题是明着问出去的。
后果有两个：一是访问记录在 DNS 层面可见；二是拿到的解析结果可能是被污染的，导致明明配置正确却访问不了。
怎么检查
在连接状态下访问任意一个 DNS 泄漏检测站点，看它报告的 DNS 服务器位置。如果显示的是你本地运营商的 DNS，就是泄漏了。
怎么修
- 在客户端里启用内置 DNS，并关掉「使用系统 DNS」
- 把 fallback DNS 设为通过代理访问的加密 DNS（DoH / DoT）
- Windows 上注意关掉「智能多宿主名称解析」，它会同时向所有网卡发查询