如何进行VPN泄露测试：IP、WebRTC、IPv6与DNS

VPN“正常工作”是什么意思

泄露是指流量逃出了你希望VPN执行的路由或隐私策略。关键在于你的意图：有意排除的应用或分离隧道目的地，并不自动意味着故障。在评判观测结果之前，请先明确哪些浏览器、应用、地址族和DNS解析服务器应当使用隧道。本检测无法检查整台设备，也无法证明断网保护（Kill Switch）可靠。

大多数泄露并不是严重的故障。它们通常来自VPN应用原本就没有设置承载的流量（例如IPv6），或来自会自行建立连接的浏览器功能。完整的检测要查看以下四条独立的路径：

• IPv4公网IP——大多数网站看到的地址。
• IPv6公网IP——许多连接同时拥有的第二个地址。
• WebRTC——视频通话背后的浏览器功能，它可以自行发现地址。
• DNS——把example.com之类的域名转换为地址的查询。

两分钟内完成测试

你只需要在浏览器中打开IPNixa，再准备好VPN应用。请按以下顺序检查，这样前后对比才有意义。

1. 在关闭VPN的状态下，打开IPNixa的VPN检测，点击“保存当前连接”。记下已确认的IPv4和IPv6地址以及网络信息。保存的对比数据会在此标签页中保留最多30分钟。
2. 连接VPN，等待应用报告已连接。
3. 点击“再次检测并比较”。将每个已确认地址族的地址、国家和网络与保存的连接逐一比较。
4. 查看WebRTC和IPv6的观测结果。出现额外的公网地址或国家不一致时需要复核；仅凭国家一致并不能排除泄露。
5. 使用单独的VPN识别页面查看VPN、代理、Tor和托管信号。分类结果描述的是观测到的地址，而不是你的隧道是否安全。
6. 最后，使用VPN提供商的DNS泄露测试或专门的DNS测试服务完成检查。

如何解读各项结果

用这张表判断每一项是没问题、需要再看看，还是需要处理。

为什么IPv6需要单独检测

许多家庭宽带和移动网络都是双栈连接：同时拥有IPv4和IPv6地址。有些VPN应用只把IPv4流量送入隧道。浏览器仍会通过IPv6访问支持双栈的网站，而且往往优先使用IPv6，这些网站看到的是运营商分配的IPv6地址——由此可以看出你的运营商和大致位置。

IPNixa会分别检测IPv4和IPv6。出口国家不同是需要检查路由或地理定位的信号；即使VPN出口与你位于同一国家，也仍需比较地址。探测失败并不能证明IPv6已被安全屏蔽。请检查VPN应用中的IPv6路由或防泄露设置。

浏览器中的WebRTC泄露

WebRTC让浏览器可以在人与人之间直接通话和共享视频。为了找到直连路径，浏览器会向STUN服务器询问自己看起来是什么公网地址。如果这个请求是在VPN之外发出的，就可能暴露网站通过普通网页流量从未看到的地址。

现代浏览器默认会隐藏本地网络地址，所以真正要看的是：是否出现了VPN地址以外的公网地址。IPNixa的检测通过Cloudflare的公共STUN服务器收集WebRTC候选地址，并与通过网页确认的地址进行比较。如果出现了其他公网地址，请开启VPN的WebRTC保护，或使用能把WebRTC限制在VPN内的浏览器设置或扩展。

“已观测”指看到了某个地址或其他信号。“已比较”指对各项数值进行了相互核对，并不代表VPN的保护已获认证。“未确认”包括公网地址结果为空、超时或执行失败；“不支持”指浏览器没有提供WebRTC API。测试已完成但没有公网地址，可能是浏览器隐私控制或STUN端点被屏蔽所致。

为什么DNS泄露测试需要单独的服务

浏览器加载网站之前，需要由DNS解析服务器把域名转换为地址。如果这些查询发往你的宽带运营商的解析服务器而不是VPN的，那么即使网页内容本身经由隧道传输，运营商仍然可以看到你访问了哪些网站。

网页无法看到是哪台解析服务器响应了你的查询。真正的DNS泄露测试是让你的设备查询唯一的随机域名，再在权威DNS服务器上观察是哪些解析服务器来请求这些域名。这需要专门的DNS基础设施，因此本检测把DNS标记为“未检测”，而不是去猜测。请使用VPN提供商的泄露测试页面或专门的DNS泄露测试服务，并开启应用的DNS防泄露保护。

“检测到VPN”有误时

在VPN识别页面上，IPNixa会把网络名称、ASN和WARP线索与可选的外部提供商分类分开标注。VPN、代理、Tor和托管是彼此独立的信号。仅凭托管地址不能证明正在使用VPN，而未被收录的VPN可能得到否定或未知的分类。请查看结果旁列出的数据来源和确切的请求IP。

iCloud专用代理主要保护Safari浏览；Cloudflare WARP的覆盖范围取决于其模式。WARP的仅DNS模式只加密DNS，不会让设备的其他流量走隧道。不要因为出现中继或WARP标签就推断覆盖范围相同：请确认产品模式以及实际测试的浏览器或应用。