如何進行VPN洩漏測試：IP、WebRTC、IPv6與DNS
依照VPN洩漏測試檢查清單確認公開IP、WebRTC與IPv6，了解各項結果的意義，以及何時需要另外進行DNS洩漏測試。
VPN「正常運作」是什麼意思
洩漏是指流量脫離了你希望VPN執行的路由或隱私政策。關鍵在於你的意圖：刻意排除的應用程式或分割通道目的地，並不自動代表故障。在評斷觀測結果之前，請先釐清哪些瀏覽器、應用程式、位址家族與DNS解析器應該使用通道。本檢測無法檢查整台裝置，也無法證明斷線保護（Kill Switch）可靠。
大多數洩漏並不是嚴重的故障。它們通常來自VPN應用程式原本就沒有設定承載的流量（例如IPv6），或來自會自行建立連線的瀏覽器功能。完整的檢查要查看以下四條獨立的路徑：
- IPv4公開IP——大多數網站看到的位址。
- IPv6公開IP——許多連線同時擁有的第二個位址。
- WebRTC——視訊通話背後的瀏覽器功能，能自行找出位址。
- DNS——把example.com這類網域名稱轉換成位址的查詢。
兩分鐘內完成測試
你只需要在瀏覽器中開啟IPNixa，再準備好VPN應用程式。請依照以下順序檢查，前後比較才有意義。
- 在關閉VPN的狀態下，開啟IPNixa的VPN檢測，點選「儲存目前連線」。記下已確認的IPv4與IPv6位址以及網路資訊。儲存的比較資料會在這個分頁中保留最多30分鐘。
- 連上VPN，等待應用程式回報已連線。
- 點選「重新檢測並比較」。將每個已確認位址家族的位址、國家與網路，逐一與儲存的連線比較。
- 查看WebRTC與IPv6的觀測結果。出現額外的公開位址或國家不一致時需要複查；光憑國家一致並不能排除洩漏。
- 使用另外的VPN偵測頁面查看VPN、代理伺服器、Tor與主機代管訊號。分類結果描述的是觀測到的位址，而不是你的通道是否安全。
- 最後，使用VPN供應商的DNS洩漏測試或專門的DNS測試服務完成檢查。
如何解讀各項結果
用這張表判斷每一項是沒問題、需要再看一次，還是需要處理。
| 檢測項目 | 預期的觀測結果 | 需要複查 | 處理方式 |
|---|---|---|---|
| 公開IP | 已變成VPN網路中的位址 | 與未開VPN時的位址相同 | 重新連線，並確認分割通道沒有把瀏覽器排除在外 |
| 網路 / ASN | 與所選的出口網路一致 | 出現意外的供應商，或與基準結果相比沒有改變 | 檢查路由；光憑主機代管業者或ISP名稱無法下結論 |
| 位置 | 推估位置與所選伺服器一致 | 城市或國家與預期不符 | 檢查伺服器選擇；位置資料庫可能更新較慢 |
| WebRTC | 收集完成，且只暴露了預期的位址 | 出現額外的公開位址，或收集未能完成 | 複查觀測到的位址；結果為空、逾時或不支援，都無法證明已受保護 |
| IPv6 | 已確認的位址走的是預期路由 | IPv4已改變但IPv6仍是儲存的位址，或出現意外的出口國家 | 連上VPN前先儲存，再比較兩個位址家族；光憑國家一致無法下結論 |
| DNS（需另用服務） | 解析器與預期的DNS設定一致 | 出現該設定以外的意外解析器 | 使用專門的DNS測試，並檢查VPN的DNS設定 |
為什麼IPv6需要另外檢測
許多家用寬頻和行動網路都是雙堆疊連線：同時擁有IPv4和IPv6位址。有些VPN應用程式只把IPv4流量導入通道。瀏覽器仍會透過IPv6連上支援雙堆疊的網站，而且往往優先使用IPv6，這些網站看到的是網路服務供應商配發的IPv6位址——從中可以看出你的供應商和大致位置。
IPNixa會分別檢測IPv4和IPv6。出口國家不同，代表應該檢查路由或地理定位；即使VPN出口與你位在同一國家，也仍需比對位址。探測失敗並不能證明IPv6已被安全封鎖。請檢查VPN應用程式中的IPv6路由或防洩漏設定。
瀏覽器中的WebRTC洩漏
WebRTC讓瀏覽器可以在人與人之間直接通話與分享影像。為了找出直連路徑，瀏覽器會向STUN伺服器詢問自己看起來是哪個公開位址。如果這個請求是在VPN之外送出的，就可能暴露網站透過一般網頁流量從未看過的位址。
現代瀏覽器預設會隱藏區域網路位址，所以真正要看的是：是否出現了VPN位址以外的公開位址。IPNixa的檢測會透過Cloudflare的公用STUN伺服器收集WebRTC候選位址，並與透過網頁確認的位址相比較。如果出現其他公開位址，請開啟VPN的WebRTC保護，或使用能把WebRTC限制在VPN內的瀏覽器設定或擴充功能。
「已觀測」是指看到了某個位址或其他訊號。「已比較」是指各項數值經過相互比對，並不代表VPN的保護已獲認證。「未確認」包括公開位址結果為空、逾時或執行失敗；「不支援」是指瀏覽器沒有提供WebRTC API。測試已完成卻沒有公開位址，可能是瀏覽器的隱私控管或STUN端點遭到封鎖所致。
為什麼DNS洩漏測試需要獨立的服務
瀏覽器載入網站之前，需要由DNS解析器把網域名稱轉換成位址。如果這些查詢送往你的網路服務供應商的解析器，而不是VPN的解析器，那麼即使網頁內容本身經由通道傳輸，業者仍然看得到你造訪了哪些網站。
網頁無法得知是哪台解析器回應了你的查詢。真正的DNS洩漏測試，是讓你的裝置查詢獨一無二的隨機網域名稱，再在權威DNS伺服器上觀察是哪些解析器前來查詢這些名稱。這需要專門的DNS基礎設施，因此本檢測把DNS標為「未檢測」，而不是去猜測。請使用VPN供應商的洩漏測試頁面或專門的DNS洩漏測試服務，並開啟應用程式的DNS防洩漏保護。
「偵測到VPN」有誤時
在VPN偵測頁面上，IPNixa會把網路名稱、ASN與WARP線索，和選用的外部供應商分類分開標註。VPN、代理伺服器、Tor與主機代管是彼此獨立的訊號。光憑主機代管位址不能證明正在使用VPN，而未被收錄的VPN可能得到否定或未知的分類。請查看結果旁列出的資料來源與確切的請求IP。
iCloud私密轉送主要保護Safari瀏覽；Cloudflare WARP的涵蓋範圍取決於其模式。WARP的僅限DNS模式只加密DNS，不會讓裝置的其他流量走通道。不要因為出現中繼或WARP標籤就推斷涵蓋範圍相同：請確認產品模式，以及實際測試的瀏覽器或應用程式。
常見問題
怎麼知道我的VPN是否正常運作？
在適當的情況下先儲存一份直連的基準結果，然後連上VPN，逐一比較每個已確認的位址家族。複查額外出現的WebRTC位址，並依照你預期的DNS解析政策（包括你設定的加密DNS）另外測試DNS。結果一致可以支持這次比較的結論，但無法保證所有應用程式或日後的每次連線都沒有問題。
什麼是VPN洩漏？
指繞過了你希望VPN執行的路由或隱私政策的流量。刻意設定的排除項目與意外的繞行是兩回事。位址、WebRTC與DNS測試，各自只能為不同路徑提供部分證據。
IPNixa能測試DNS洩漏嗎？
不能。網頁無法得知你的裝置使用哪個DNS解析器，這需要專門的DNS測試服務。檢測會把DNS標為「未檢測」，而不是給出一個它無法測量的結果。
我沒有使用VPN，IPNixa為什麼說偵測到VPN？
偵測服務供應商的資料可能已經過時，也可能出現誤判。網路名稱與ASN線索會標註為「線索」；主機代管與VPN偵測是分開的兩項。下結論前，請確認資料來源、請求IP與時間戳記。
VPN洩漏測試可以在手機上使用嗎？
可以，在手機的瀏覽器中使用即可。它只檢測瀏覽器的流量；其他應用程式可能遵循不同的路由規則，開啟分割通道時尤其如此。