如何检测 VPN 的 IP 地址泄漏

VPN 应用显示“已连接”，并不等于你的真实地址一定被隐藏了。所谓 IP 泄漏，是指你的一部分流量，或者网站能读取到的一部分信息，仍然带着网络运营商分配给你的地址，而不是 VPN 出口的地址。好消息是，你不需要任何特殊软件，大约五分钟就能自己检查；更好的消息是，多做几项额外检测，就能发现一次快速查看漏掉的问题。

本文给出一套可以反复使用的流程，讲清楚如何检测 VPN 的 IP 泄漏：先记录什么、做哪些测试、每个结果怎么读，以及如何区分真正的泄漏与无害的误报。如果你想先了解泄漏为什么会发生，可以先读什么是 IP 泄漏，本文则是它的实操搭档。

IP 泄漏检测到底在测什么

IP 泄漏检测其实只是一个网页：它查看到达自己的这条连接来自哪个地址，然后告诉你。如果 VPN 工作正常，页面看到的来源地址属于 VPN 出口；如果有部分流量绕出了隧道，页面看到的就是你平时的地址。

这个简单的原理带来三点需要事先了解的结论。

• 检测只能看到到达它的流量。 页面测的是你用来打开它的浏览器连接，对游戏、邮件客户端或后台下载程序一无所知，这些程序可能走了另一条路。
• 检测只是一张快照。 它只反映你运行检测那几秒钟的情况。笔记本从休眠中唤醒后才出现的泄漏，只有在那一刻去测才看得到。
• 检测涉及两种地址。 现在多数网络同时有 IPv4（较旧、较短的地址）和 IPv6（较新、较长的地址）。隧道可能只保护其中一种。好的检测页面会分行显示两者，你必须都看。协议细节见 IPv4 的 RFC 791 和 IPv6 的 RFC 8200。

不妨把检测页面当成一面镜子：它修不了任何东西，但能如实告诉你浏览器走的是哪条路。

开始之前：先记录基准值

很多人跳过这一步，结果后来读不懂结果。你得先知道自己网络上“泄漏”长什么样。

1. 彻底关闭 VPN。 退出应用或关闭隧道，等十秒。
2. 在普通浏览器窗口打开 IP 检测页面。
3. 记下看到的每一个地址：IPv4 地址、IPv6 地址（如果有），以及旁边显示的运营商或机构名称。截图是个好办法。
4. 如果页面有 DNS 一行，也记下来。 DNS 是单独的话题，见什么是 DNS 泄漏，但基准值有助于之后对比。
5. 记下你所处的网络。 家庭宽带、手机热点和酒店 Wi-Fi 的基准各不相同，要写明是在哪个网络下测的。

现在你手里有了未受保护连接的“指纹”。在真正测试时，连着 VPN 的状态下，这些值一个都不应该出现。

有个小细节能避免困惑：如果你家的宽带使用共享地址机制，可能有多户人家共用同一个公网地址，这是正常的，也正是页面上机构名称与数字同样重要的原因。如果看到的运营商名称与基准相同，说明有流量绕过了隧道。

逐步操作：五分钟检测

在同一台设备上按顺序做，中途不要改设置。

1. 连接 VPN，等应用明确显示已连接。仍在协商中的连接可能给出误导性的结果。
2. 打开一个新的隐私窗口。 这样可以避免缓存页面和浏览器扩展干扰结果。隐私窗口与 VPN 无关，只是让测试更干净。
3. 加载 IP 检测页面，看 IPv4 一行。它必须与基准不同，机构名称也应不同。
4. 看 IPv6 一行。 它应当显示 VPN 出口的 IPv6 地址，或者因为 IPv6 被关闭或未提供而完全为空。它不能显示基准里的 IPv6 地址。
5. 刷新三次，每次间隔几秒。多次刷新结果稳定是好迹象；如果地址跳回基准值，就是泄漏。
6. 如果有第二个浏览器，用它再打开一次。 不同浏览器处理 IPv6 和代理的方式不一样，一个干净而另一个泄漏，本身就是有用的信息。
7. 想看看浏览器本身有多容易被识别，可以做指纹检测，例如 Cover Your Tracks。它测的是和 IP 泄漏不同的东西，但提醒你地址只是众多信号之一。

如果所有行都干净，说明通过了基础检测。别就此停下，因为更有意思的故障往往发生在环境变化的时候。

读懂结果：一张速查表

用这张表判断每种结果的含义。“基准”是你之前记下的地址。

检测页面显示	可能含义	应该怎么做
IPv4 与基准不同，IPv6 为空	正常，没有泄漏	无需处理，隧道覆盖了页面能看到的部分
IPv4 不同，IPv6 与基准相同	IPv6 泄漏：v6 流量绕过隧道	在设备或应用中关闭 IPv6，见 IPv6 泄漏
IPv4 与基准相同	VPN 没有承载这部分流量	确认应用确实已连接，再换个网络试试
两次刷新出现两个不同的 VPN 地址	多半是出口的负载分担，属正常	确认两个都属于 VPN，而不是你的运营商
地址不同但运营商名称是你自己的	可能是部分走隧道、部分分流	检查分应用代理（split tunneling）和按应用规则
仅在开着 VPN 时页面超时	是连通性问题，不是泄漏	见 VPN 已连接但无法上网

运营商名称那一列最容易被新手忽略。光看数字会误导，因为运营商会更换地址段，而机构名称才能告诉你地址归谁所有。

IPv6：人们最常跳过的检查

人们报告的泄漏中，有很大一部分是 IPv6 泄漏。模式很简单：你家网络给设备分配了 IPv4 和 IPv6 两种地址，而 VPN 隧道只为 IPv4 建立。打开支持 IPv6 的网站时，系统优先使用 IPv6，这部分流量走正常线路出去，带着你真实的 IPv6 地址。

如何干净地测试：

• 使用把 IPv4 与 IPv6 分行显示的检测页面，或者用两个页面，一个只走 IPv4，一个只走 IPv6。
• 连着 VPN 时，IPv6 一行应当是 VPN 的地址或者为空。如果出现你运营商的 v6 地址，就是泄漏。
• 如果你不确定自己的网络是否有 IPv6，回看前面的基准值。基准里 IPv6 为空，说明这个网络上测不出 v6 泄漏，但你之后到的酒店或移动网络可能不同，要在那里再测一次。

发现泄漏后，常见的处理方式有：在网卡上关闭 IPv6、使用应用里屏蔽或隧道化 IPv6 的选项，或者更新应用。针对 Windows 有专门说明，另有一篇通用的 IPv4 与 IPv6 在 VPN 下的区别。

压力测试：切换网络、休眠与重连

在平静的周二通过测试的 VPN，可能在忙碌的周五泄漏。下面这些场景才真正决定保护是否可靠，请有意识地逐项测试。

切换网络。 在 Wi-Fi 上连接 VPN，然后关闭 Wi-Fi，让手机回落到移动数据（或者反过来）。切换期间和之后都盯着检测页面。许多泄漏发生在隧道重建的空档里。前三十秒内每隔几秒刷新一次。

休眠与唤醒。 连接并确认结果干净，合上笔记本盖子两分钟，再打开并立刻检测。不要等应用来安慰你，要在最初几秒就加载检测页面。有些系统会在隧道恢复之前就发出流量。

短暂断网。 开启飞行模式十秒，或者短暂拔掉路由器的上行网线再接回。看恢复期间页面是否显示你的基准地址。断网保护（kill switch）之类的机制就是为了堵住这个空档，专门的方法见如何测试 VPN。

换一个应用。 开着 VPN 时，再打开另一个能报告公网地址的程序，比如命令行检测，或另一个浏览器配置文件。如果一个应用显示基准地址而另一个不显示，说明泄漏只发生在该应用，通常是某个设置让它绕开了隧道。

把每个场景的结果记下来。五行表格加对勾叉号就够了，下次测试会快很多。

容易造成误报的错误

并非每个意料之外的数字都是泄漏。先排除这些情况再紧张。

• 连接未完成就测试。 等应用显示已连接，再多等十秒。
• 读到了缓存页面。 连接前就加载的页面可能仍显示旧地址。用全新的隐私窗口，或强制刷新。
• 浏览器扩展。 有些扩展会改变网站看到的内容。在干净的配置文件里测。
• 跨设备比较。 在手机上测试却用笔记本的基准，地址当然不同。始终拿同一设备对比。
• 把“国家不对”当成泄漏。 位置数据库并不完美，页面可能把 VPN 地址标在出乎意料的城市。这是数据库的误差，不是泄漏，见为什么 VPN 显示错误的位置。
• 忘了地址有两种。 同时看到 IPv4 和 IPv6 是正常的，关键是其中有没有属于你自己的。
• 只凭一个网站下结论。 用两个不同的检测页面互相对照。不同页面偶尔会不一致，两个页面一致比一个页面更有说服力。

如果某个结果通过了以上所有排查，而你的基准地址仍然出现，那就是真实的泄漏。在修好之前，请不要用这个连接处理敏感事务。

发现泄漏后怎么办

按下面的顺序处理，由易到难。

1. 断开再重连，然后重新测试。第一次连接时的小故障很常见。
2. 重启设备，再测一次。
3. 更新 VPN 应用和操作系统。 许多泄漏在更新中已被修复。
4. 检查应用设置：IPv6 处理、分应用代理，以及任何“允许局域网”或绕过隧道的选项。
5. 换个网络试试，例如移动数据。如果泄漏消失，说明第一个网络在干扰。
6. 切换连接方式（如果应用提供多种），再测试。
7. 联系服务商支持，附上测试详情：设备、网络类型、基准值、什么地方泄漏了、何时泄漏。具体的证据能让你更快得到答复。

使用 XPASS 套餐时，你通过免费的 VPNclient 应用连接，登录用的是 My Pass 页面上的用户名和密码；如果需要在重新测试前重装最新版本，下载页面列有官方应用链接。

在问题解决之前，请避免在该连接上做敏感操作。泄漏并不意味着 VPN 毫无用处，但确实说明你以为拥有的保护并不完整。

多久重复一次检测

不需要每天测试，但有几个时间点很重要。

• 每次更新之后，无论是应用还是操作系统。
• 修改设置之后，尤其是涉及 IPv6、DNS 或按应用规则的设置。
• 换到新类型的网络时：家庭宽带、办公室、酒店 Wi-Fi、火车、手机热点。
• 出行前或重要任务前，例如要处理客户文件的时候。
• 感觉不对劲时：网站用错误的语言问候你，或应用对你的位置提出异议。

一个简单的习惯是三十秒版本：连接、打开检测页面、看两行地址和机构名称。较长的压力测试版本留给有变化的时候。

小结

检测 IP 泄漏，就是把检测页面看到的内容与你在未开 VPN 时记下的基准值做对比。要同时查看 IPv4 和 IPv6，既读数字也读机构名称，并在切换网络、休眠唤醒和重连时重复测试，因为真正的泄漏常常出现在那些时刻。干净的结果只能证明检测所能看到的部分，所以要配合良好的使用习惯，以及针对 DNS 和 WebRTC 的补充检测。

如果你想挑一个可以按自己节奏这样测试的 VPN，可以到价格页面看看一次性付费的套餐。