先区分解析器与查询路径
DNS 负责把域名转换为地址，网站访问与 DNS 查询可能经过不同链路。DoH 加密的是查询传输，是否经代理仍由路由决定。检测页列出某个解析器或国家，不能单凭这一项判定泄漏；应对照你设定的解析器与分流策略。
规则模式允许选定目标直连，对应的本地解析可能是预期行为。要检查严格代理场景，先确认 TUN 已开启，切到全局模式，并确认首页显示禁直连已生效，再开始测试，避免拿不同模式的结果相互比较。
在本机发起一次可核对的查询
连接后打开日志 → 内核 → DNS。在 Windows 终端运行 nslookup example.com，再按时间寻找对应记录；若机器有 nslookup，其他桌面系统也可用同一命令。接着查看连接的去向、目标与命中规则，核对解析设置，而不是只看命令是否返回地址。
启用 fake-ip 时，出现 198.18.0.0/15 范围的地址可以是正常映射，不是网站真实服务器的位置。缓存可能使重复查询的记录不同，必要时改查 example.org。查询成功或拿到 fake-ip，都不能单独证明所有 DNS 已受保护。
浏览器检测需要与本机结果一起看
可信的 DNS 检测页面可以补充观察当前浏览器使用的解析器，但浏览器自带的安全 DNS、扩展和独立代理设置可能改变路径。先记下这些设置，再与客户端日志对照；浏览器的一次通过，不能代表后台程序和其他应用也通过。
如果结果不符，先确认模式、远程与本地 DNS、应用直连规则，再排查是否有第二个代理或 VPN 同时接管。保留最少量的本机记录即可，无需公开完整日志、订阅地址或抓包文件。
godusevpn 让解析与防护协同
godusevpn 的远程 DoH 经代理发送，本地 DoH 按策略处理直连目标与节点域名，DNS 协议及 53 端口流量由内核接管。macOS 还会在连接期间接管系统 DNS，避免系统继续向位于隧道之外的路由器查询。
严格全局下，节点域名仍需要隧道建立前的解析；配置生成器会把这里的 system 解析替换为按地址连接的 DoH。它与普通访问的远程解析用途不同。核对这些具体路径，比只看一个绿色检测结果更能确认隐私设置是否真正落实。