解析归属为什么需要单独检查？
DNS 泄漏指连接建立后解析请求仍发往本地解析器的现象，域名记录会留在本地一侧。隧道只覆盖数据转发路径，解析是独立环节，因此连接状态正常不等于解析也进入了隧道。
归属判定按哪几步执行？
检测按基线记录、连接后查询、归属比对三步执行，使用在线检测页面读取当前解析器及其归属。
记录基线解析器
在未连接状态记录解析器数量与归属，作为基线。
连接后重新查询
建立连接并确认出口地址切换后，重新加载检测页面读取解析器列表。
比对归属差异
比对两次结果：归属应发生变化，仍出现本地运营商解析器即判定泄漏。
判定标准怎么定？
判定依据是连接后返回的解析器是否全部归属所选节点一侧；页面若列出 WebRTC 暴露地址，该项也需核对。
查出泄漏后按什么顺序处理？
处理顺序为：确认 DNS 接管开关开启、关闭或桥接 IPv6、重连后复测；仍泄漏则更换协议再测。
- 确认客户端的 DNS 接管或防泄漏开关已开启。
- 在网卡或路由器侧关闭 IPv6，或改用支持 IPv6 的隧道。
- 重建隧道后再次检测，确认解析器归属已切换。
握手时序的完整拆解见从握手时序看公共 Wi-Fi 加密连接的建立过程；客户端下载入口见下载页。