chrome存在dns泄露时，即使ip显示国外，dnsleaktest.com实测仍会暴露本地isp dns；必须关闭doh与dns预取，并通过命令行参数或组策略强制chrome走代理dns。
谷歌浏览器使用代理后仍向本地运营商DNS服务器发请求，导致你访问的网站清单和真实地理位置被暴露，即使IP显示在国外，DNS泄露检测工具也会立刻报出你家宽带的DNS地址。
确认是否真存在DNS泄露
打开 Chrome，访问 https://dnsleaktest.com → 点击“Standard Test” → 等待结果加载完成。
重点看“Your DNS Servers”下方列出的服务器IP归属地。如果出现你所在城市、省份或运营商名称（如“China Telecom”“China Unicom”），说明泄露已发生；哪怕只有一条是本地ISP的，就代表防护失败。
注意：不要仅凭系统设置或代理开关状态判断，【必须以 dnsleaktest.com 实测结果为准】，因为 Chrome 的 DNS 解析逻辑完全独立于 Windows/macOS 设置。
关闭 Chrome 自带的 DNS 预取与加密功能
Chrome 默认启用 DNS Prefetch 和 DoH（DNS over HTTPS），这两项会主动绕过系统代理，直连本地或预设的加密DNS服务。
在地址栏输入：chrome://settings/security → 向下滚动到“高级安全保护”区域 → 关闭“使用安全 DNS”开关。
再输入：chrome://flags/#dns-prefetching → 将“DNS prefetching”下拉菜单改为 Disabled → 点击右下角“Relaunch”重启浏览器。
这一步不可跳过。很多用户改了系统DNS、开了代理，却没关 Chrome 这两个后台机制，结果所有域名解析依然走本地通道，泄露持续发生。
强制 Chrome 使用代理内置 DNS（方法一：命令行启动）
方法一适用于需要临时验证或快速生效的场景：
退出所有 Chrome 进程（任务管理器中结束 chrome.exe）→ 右键桌面 → 新建快捷方式 → 目标栏粘贴以下完整命令（注意路径需匹配你本机安装位置）：
"C:\Program Files\Google\Chrome\Application\chrome.exe" --proxy-server="127.0.0.1:1080" --host-resolver-rules="MAP * ~NOTFOUND , EXCLUDE 127.0.0.1" --ignore-certificate-errors
其中 127.0.0.1:1080 替换为你实际代理监听的地址和端口；【--host-resolver-rules 参数必须保留，缺它 Chrome 仍会 fallback 到系统DNS】。
双击该快捷方式启动 Chrome，此时所有 DNS 请求将严格跟随代理通道，不再查询本地DNS服务器。
替换 Chrome 的默认 DNS 解析行为（方法二：策略组配置）
方法二适合长期稳定使用，尤其在企业环境或需批量部署时：
第一步：下载并安装 Google Chrome Enterprise Bundle（含 ADMX 模板）；
第二步：按 Windows 路径 C:\Windows\PolicyDefinitions 放入 admx 文件；
第三步：打开组策略编辑器（gpedit.msc）→ 计算机配置 → 管理模板 → Google → Google Chrome → 网络 → 启用“为 DNS 解析指定自定义 DNS 服务器” → 填入代理服务提供的 DNS 地址（如 10.8.0.1 或 1.1.1.1）；
第四步：同时启用“禁止使用系统 DNS 服务器”策略。
该策略会直接覆盖 Chrome 内核的 DNS 分发逻辑，比命令行更底层、更彻底，且重启浏览器后自动生效，无需每次手动启动。
验证修复效果
重启 Chrome 后，再次访问 https://dnsleaktest.com → 执行 Standard Test。
结果中“Your DNS Servers”应全部显示为代理服务商的 IP（例如新加坡、日本、美国节点），且国家/地区与你代理节点一致；若仍有本地 ISP 条目，说明某处配置未生效，需回溯检查 Chrome 的 flags 设置与组策略是否冲突。
