如何测试浏览器 VPN 扩展是否泄漏

浏览器 VPN 扩展会告诉你它已连接，显示一个友好的绿色图标，也会让查询页面上的地址发生变化。这很令人鼓舞，但还不是测试。浏览器做的事远不止加载网页：它会解析域名、建立实时连接、在可用时优先使用 IPv6，还同时运行多个配置文件和窗口。这些路径中的任何一条，行为都可能与你检查过的那条不同。浏览器 VPN 泄漏测试，就是用来弄清扩展是否真的覆盖了它们。

本文提供一套大约十五分钟、只需要一个浏览器和一个记事本就能完成的可重复流程，重点针对运行在浏览器内部的扩展。覆盖整台设备的更宽泛版本见 如何测试 VPN；这里我们只谈浏览器能看到什么、如何记录，以及怎样应对结果。

开始之前：准备一次干净的测试

测试只有在能与某个参照对比时才有价值。下面这些准备能让结果可信。

1. 使用同一个浏览器配置文件。 关闭其他窗口，使用装有该扩展的配置文件。如果打算在隐私窗口中浏览，请先在其中启用扩展，因为扩展在隐私窗口里通常默认是关闭的。
2. 暂停其他隐私工具。 广告拦截器、跟踪拦截器和其他代理，都会改变测试页面所看到的内容。测试期间先关掉，结束后再打开。
3. 打开记事本。 纯文本文件就行。你要把数值写下来，而不只是看一眼。
4. 清楚自己用的网络。 记下是家里 Wi-Fi、手机热点还是公共网络。咖啡馆的结果可能与家里不同。
5. 挑几个信誉良好的测试网站。 选一个查 IP 和位置的，一个查 DNS 的，一个查 WebRTC 的，可能的话再选一个测 IPv6 的。像 EFF 的 Cover Your Tracks 这样的浏览器指纹工具也值得看看，它检测的是另一类暴露。

在笔记最上面写下日期、浏览器名称和版本、扩展名称和版本，以及所用网络。半年后你一定不记得了。

第 1 步：关闭扩展，记录基线

停用扩展，或者至少确保它处于断开状态，然后访问你的测试页面。写下：

• 页面显示的公网 IP 地址，以及是 IPv4 还是 IPv6
• 页面推测的位置或网络服务商名称
• DNS 测试列出的 DNS 服务器，通常以你的网络服务提供商或某个公共解析器命名
• WebRTC 测试列出的地址，包括看起来像 192.168.x.x 或 10.x.x.x 的本地地址

这就是你的基线，也就是没有保护时外界看到的东西。你需要它，因为不知道自己的真实数值长什么样，就没法说什么是泄漏。如果想回顾这些条目的含义，关于 IP 泄漏、DNS 泄漏 和 WebRTC 泄漏 的文章分别做了解释。

第 2 步：连接并做四项检查

现在连接扩展，等几秒钟让它稳定，然后重新加载每个测试页面。不要只刷新缓存的标签页，要重新打开每个页面。

检查 A：IP 地址。 页面应显示与基线不同的地址。如果仍显示你自己的地址，说明扩展根本没有处理这个请求。如果显示了新的 IPv4 地址，但同时列出的 IPv6 地址与基线相同，就是部分泄漏。

检查 B：DNS 服务器。 DNS 测试不应列出基线里的那个解析器。如果仍列出你的网络服务提供商的服务器，说明域名查询在扩展的路径之外离开了浏览器。许多充当简单代理的扩展，会把查询留给系统处理。

检查 C：WebRTC。 WebRTC 测试不应暴露你的真实公网地址或真实本地地址。现代浏览器通常显示被遮盖的本地名称而不是数字，这没问题。如果出现与基线一致的真实公网地址，就是泄漏。

检查 D：IPv6。 如果你的基线里有 IPv6 地址，请在明确检测 IPv6 的网站上重做测试。扩展可能只处理 IPv4 而忽略 IPv6，于是通过 IPv6 访问的网站会看到你的真实地址。

写下连接后每个页面显示的内容。先别总结，只记录原始数值。

第 3 步：解读结果

把基线与连接后的数值并排放好。在笔记里画一个简单的表格就很好用。

检查项	基线	开启扩展后	结论
IPv4 地址	你的真实 IPv4	不同的地址	通过
IPv6 地址	你的真实 IPv6	与基线相同	泄漏
DNS 服务器	ISP 的解析器	ISP 的解析器	泄漏
WebRTC 公网	你的真实 IPv4	不同的地址	通过
WebRTC 本地	192.168.x.x	被遮盖的名称	通过

这个例子展示了常见的模式：可见的地址变了，但 IPv6 和 DNS 没变。随便瞥一眼某个查询页面，会判定为成功；表格则把它判为部分泄漏。

几条解读建议：

• 不同并不总等于受保护。 测试页面看到了新地址，但你的 DNS 仍可能告诉网络服务提供商你访问了哪些网站。
• 通过一项不代表覆盖另一项。 每项检查测试的是不同的路径。
• 结果可能与位置选择有关。 如果扩展允许选择服务器，用第二个选项把检查再做一遍，看看规律是否一致。
• 有些警告是误报。 页面可能把某个公共解析器标为“意外”，而它其实是扩展设计的正常部分。请与你的基线对照，而不是听页面的意见。

第 4 步：测试真正重要的情形

大多数泄漏不会出现在刚连接后的那一刻，而是出现在情况发生变化的时候。基础检查之后，试试下面这些。

1. 切换标签页和窗口。 打开新窗口、隐私窗口，如果用到的话再开第二个配置文件，在每一个里重做 IP 和 WebRTC 检查。
2. 断开再重连。 把扩展关闭再打开一次。重连后再测试，因为有些扩展恢复规则时并不完整。
3. 切换网络。 从 Wi-Fi 换到手机热点，或反过来。检查扩展是否重新连接，结果是否保持不变。
4. 让电脑休眠。 合上盖子，等一分钟，再唤醒并查看图标，然后再次测试。
5. 重启浏览器后再测。 完全退出浏览器再重新打开，在打开任何其他内容之前先测试。
6. 留意连接中断。 如果扩展没有明确警告就断开了，浏览器可能继续通过你的普通连接工作。这就是 kill switch 要防止的情况在浏览器层面的版本，可参阅对 kill switch 的说明。

如果其中任何一步显示出你的基线数值，请记下是哪一步造成的。这个细节正是开发者或支持团队帮你所需要的。

实例：旅行者与远程工作者

莉娜，正在旅行。 她出发前装了一个浏览器扩展。在酒店里她跑了一遍流程。IP 检查通过，但 DNS 检查列出了她家里服务商的解析器。她判断这个扩展不覆盖域名查询，而她对酒店 Wi-Fi 上这样的情况并不放心。于是住店期间她改用完整的 VPN 应用，扩展则不再用于任何事情。她记下了结果，以免重复测试。

马可，远程工作者。 他用一个扩展从家里访问一个网页工具。他的流程在 Chrome 中发现了 WebRTC 泄漏，但扩展提供了一个限制它的设置。他启用该设置，重新测试，只看到被遮盖的本地名称。他保存了测试结果的副本，并在每次浏览器更新后重新测试。

两个人都得到了清晰的下一步，因为他们有基线和表格。没有的话，任何一人都可能带着错误的信念离开。

测试显示泄漏时怎么办

别慌，按顺序处理下面这些选项。

1. 干净地重测。 关闭所有窗口，重新连接，把同样的检查再做一遍。一次失败的结果可能只是页面缓存过期。
2. 查看扩展的设置。 可能有 WebRTC、DNS 或 IPv6 的选项可以打开。
3. 检查浏览器自身的设置。 有些浏览器提供 WebRTC 和安全 DNS 的控制项。更改可能影响其他网站，所以每改一次就测一次。
4. 全部更新。 更新浏览器和扩展，然后再测试。
5. 与完整应用对比。 在连接完整 VPN 应用、关闭扩展的情况下做同样的流程。如果应用通过全部检查，你就知道哪个工具更完整了。XPASS 客户可以从 下载页面 获取免费的 VPNclient 应用。
6. 联系支持或停止使用。 如果泄漏无法修复而你需要保护，就换一个工具。不要继续依赖连自己的测试都通不过的东西。

浏览器泄漏测试的局限

要实事求是地看待泄漏测试能说明什么。

• 它只测试某一时刻。 今天通过，并不保证明天也通过。
• 它看不到服务提供商。 泄漏测试不说明服务会如何处理你的数据。这个问题请看 VPN 服务提供商能看到什么。
• 它看不到浏览器之外。 其他应用完全没有被测试。对它们请使用设备级测试。
• 第三方测试网站不是中立的裁判。 它们质量参差。请多用几个，并优先选择说明清楚的。
• 指纹识别是另一回事。 即使泄漏结果完美，浏览器版本、字体和屏幕尺寸仍可能识别出你。

总结

测试浏览器 VPN 扩展，要先在关闭状态下记录基线，连接后检查 IP、DNS、WebRTC 和 IPv6，把数值放进一张小表格里对比，再测试会引起变化的情形：新窗口、重连、切换网络和重启。仅凭 IP 变了，几乎证明不了什么。发现泄漏时，先重测、查看设置、更新，并与完整的 VPN 应用对比，再决定信任什么。

如果完整应用对你来说是更好的答案，价格页面 列出了到期自动结束的预付选项。