IPv4 与 IPv6 对 VPN 用户意味着什么

你的设备很可能同时拥有 IPv4 和 IPv6 地址。本文说明这对 VPN 意味着什么、两者在隐私和安全上有何不同，以及如何检查自己的环境。

阅读约 10 分钟更新于 2026年10月15日作者：XPASS Editorial Team

很多人第一次接触 IPv4 与 IPv6 的区别，是在一个意想不到的地方：某个 VPN 测试页同时显示两个地址，一个形如 203.0.113.25，另一个形如 2001:db8:85a3::8a2e:370:7334；或者应用声称保护了一切，页面却提示“检测到 IPv6 泄漏”。这些页面默认你已经知道两种地址是什么、为什么并存。本文为 VPN 用户补上这一课。

我们不会重复泄漏方面的指南，检测的详细方法见什么是 IP 泄漏。这里关注更基础的问题：这两套地址体系是什么、你的设备拿它们做了什么、两者在隐私和安全上有哪些关键差别，以及你应该检查自己环境里的哪些地方。

同时运行的两套编号体系

互联网上的每台设备都需要一个地址，回复才能找到回来的路。RFC 791 描述的 IPv4 使用 32 位数字，写成四组，例如 203.0.113.25。它大约有 43 亿个可能的地址，在上世纪 80 年代听起来无比庞大，但当手机、电视、摄像头和灯泡都接入网络后，就远远不够了。

RFC 8200 规定的 IPv6 使用 128 位数字，写成十六进制分组，例如 2001:db8:85a3::8a2e:370:7334，其中双冒号代表一串连续的零。它的空间大到每台设备都可以拥有全球唯一的地址，而不必与别人共用。

特征	IPv4	IPv6
地址长度	32 位	128 位
示例	203.0.113.25	2001:db8:85a3::8a2e:370:7334
地址供应	已经耗尽，只能共用	极其充足
典型家庭配置	所有设备通过 NAT 共用一个公网地址	每台设备可能获得自己的公网地址
本地网络地址	私有地址段，如 192.168.x.x（RFC 1918）	唯一本地地址和链路本地地址
移动网络中的共用	常有许多用户经运营商级 NAT 共用一个地址	通常每台设备有独立地址
防火墙习惯	NAT 无意中隐藏了设备	设备可被访问，除非防火墙拒绝

互联网多年来一直在从前者迁移到后者，并且将在很长时间内同时运行两者。今天大多数设备都是双栈（dual-stack）：同时拥有两种地址，并针对每个网站使用效果最好的那一种。

为什么 IPv4 要共用，而 IPv6 不用

IPv4 地址短缺时，网络靠共用来应对。在家里，路由器从运营商那里拿到一个公网地址，并向你的设备分发私有地址（192.168 这一类，由 RFC 1918 定义）。路由器负责在两者之间转换，这就是 NAT。所以你家里的所有设备在网站看来都是同一个地址。

运营商走得更远。由于连给客户的公网地址都不够，许多运营商现在把客户放在运营商级 NAT 之后，数百个家庭共用一个公网地址。RFC 6598 为客户与运营商之间的链路保留了一段特殊地址 100.64.0.0/10。如果你的路由器 WAN 地址以 100.64 到 100.127 开头，说明你处在这额外的一层之后。

IPv6 则消除了这些需要。地址足够每台设备使用，路由器通常从运营商分配的地址块中向设备分发地址，设备无需转换就能与互联网通信。如今许多移动网络把 IPv6 作为主要地址，只在网站需要时才转换成 IPv4。

这对 VPN 用户很重要，因为网站所看到的“你的地址”取决于设备那次连接使用了哪一种，以及有多少人与你共用它。

你的设备大概率有什么

大多数人两种都有，只是自己不知道。几分钟就能查清楚。

打开一个把 IPv4 和 IPv6 分开显示的 IP 查询页。记下每一行的内容，或者记下根本没有报告 IPv6。
分别在家里的 Wi-Fi 和移动数据下检查，因为两者常常不同。有些家庭宽带服务商仍不提供 IPv6，而许多移动运营商把 IPv6 放在首位。
在电脑上打开网络详情。以“inet6”或“IPv6 地址”开头的行显示设备持有的地址。以 fe80 开头的是链路本地地址，不会离开本链路。以 2 或 3 开头的较长地址是公网 IPv6 地址。
查看路由器的状态页。如果列出了 WAN IPv6 地址和下发的前缀，说明你家有 IPv6。
注意你的 IPv4 地址是否落在 100.64 段，这表示处在运营商级 NAT 之后。

如果测试页只显示 IPv4 地址而没有 IPv6，说明你处在仅 IPv4 的网络上。这没有任何问题，只意味着目前这一连接上与 IPv6 相关的顾虑并不适用。

VPN 如何处理这两种地址

VPN 会建立一个虚拟网络接口，发往该接口的流量在隧道内传输。隧道可以设计为传输 IPv4、IPv6，或两者。接下来发生什么，取决于 VPN 对每一种类型的处理方式。

隧道传输两种。 VPN 给设备分配两种类型的隧道地址，网站看到的是 VPN 的地址，没有任何流量绕行。这是完整的方案。
隧道传输 IPv4 并阻断 IPv6。 IPv6 数据包在设备上被丢弃，连接只使用 IPv4。简单而安全，不过只提供 IPv6 访问的网站将无法加载。
隧道只传输 IPv4 而忽略 IPv6。 这种方案会带来麻烦。设备在本地网络上仍有可用的 IPv6 连接，偏好 IPv6 的应用或浏览器会把流量从常规路径发出，也就是隧道之外。网站因此看到你真实的 IPv6 地址，哪怕 IPv4 一侧显示的是 VPN。这种故障的完整说明见什么是 IP 泄漏。

两者都可用时设备会优先选择 IPv6，所用的方法常被称为 Happy Eyeballs，即两种都尝试，选更快的。因此只支持 IPv4 的隧道不只是没能保护 IPv6，而是在设备首选的类型上失效了。

你无法从外部判断某个 VPN 采用了哪种设计，所以必须测试。步骤见下文。

你可以付诸行动的隐私差异

两种地址类型向网站透露的关于你的信息不同。

IPv4。 在家里，一个地址代表整个家庭，并且会不时变化。在运营商 NAT 网络中，它同时代表很多个家庭，因此是一个模糊的标识。VPN 会把它替换成 VPN 自己的、与其他用户共用的地址。

IPv6。 家庭通常会获得一段下发的地址块，常见为 /56 或 /64，设备在其中形成自己的地址。前半部分保持不变，标识着这个家庭，即使后半部分在轮换。操作系统通常启用 RFC 4941 定义的隐私扩展，生成临时随机的接口标识。这有帮助，但无法隐藏前缀。一个网站如果几周内都看到同一个前缀，就可能把多次访问关联到同一个家庭。

这意味着，在共用网络上泄漏的 IPv6 地址可能比泄漏的 IPv4 地址更具辨识度。不过它仍然只是众多信号之一。浏览器指纹、Cookie 和登录同样能识别你，EFF 的追踪测试就演示了这一点。能正确处理两种地址族的 VPN 隐藏了地址这一层，但不会隐藏其余部分。

防火墙与暴露面的差异

在 NAT 之后使用 IPv4，设备拥有互联网无法直接访问的私有地址。这是副作用，不是安全设计，但确实把未经邀请的连接挡在外面。使用 IPv6 时，设备可以拥有公网地址，保护就来自路由器的防火墙，它应当默认阻止未经请求的入站连接。

需要检查的事项：

路由器的 IPv6 防火墙是开启的。多数新路由器默认开启，但较旧的固件可能没有。
你不打算对外暴露的家用设备，如摄像头、打印机和存储盒，无法从互联网访问。用可信的工具从外部做一次端口扫描就能回答这个问题。
使用远程访问功能（包括端口转发）时，两种地址族都已正确配置。VPN 端口转发详解讲了这类规则的工作方式。

VPN 不会改变你家路由器的防火墙。它改变的是流量看起来来自哪里，并让流量通过服务商的网络，而该网络有自己的过滤规则。

场景示例

连接顺畅的游戏玩家。 奥马尔在家用游戏主机联网玩游戏。运营商提供 IPv6 时，主机会优先使用它，而 VPN 只装在他的笔记本上。他什么都不用改：游戏并没有经过 VPN，所以笔记本的地址类型与之无关。后来他在笔记本上开 VPN 工作，并运行 IP 测试页，只看到 VPN 的 IPv4 地址，没有 IPv6，这与阻断或处理了 IPv6 的隧道一致。

使用移动网络的旅行者。 普丽娅在国外落地后用本地 SIM 卡。测试页显示了一个 IPv6 地址，而 IPv4 地址是共用的。支持 IPv6 的网站看到前者，较旧的网站则通过转换看到后者。开启 VPN 后，两行都显示 VPN 的地址。她还发现一个旧的支付门户在 IPv6 下失败，在 SIM 卡的网络设置中关闭 IPv6 后就能用。这是网站兼容性问题，不是 VPN 的错。

远程办公者与泄漏测试。 马库斯连上 VPN 并运行测试页。IPv4 一行显示 VPN 的地址，IPv6 一行显示来自他家运营商的地址。IPv6 正绕过隧道泄漏。他按顺序尝试：更新 VPN 应用、重新连接，并检查应用里是否有处理 IPv6 的设置。如果没有，他就在该网卡上禁用 IPv6 作为变通办法并重新测试。更改之后，IPv6 一行为空，问题消失。

宿舍里的学生。 琳与数百名住户一起共用运营商 NAT 之后的网络。她的 IPv4 地址在共用段内，某个流媒体网站因为其他住户也用过这个地址而报告她的地址有异常活动。VPN 改变不了其他住户的行为，但能为她自己的流量提供一个不同的地址。

该怎么做：简短清单

关闭 VPN，运行显示两种地址的 IP 测试页，记下结果。
连接 VPN 后重复一次。你希望两行都显示 VPN 的地址，或者 IPv6 一行为空。
如果出现了来自平时运营商的 IPv6 地址，先更新应用，再重新连接。
如果问题仍然存在，检查应用设置里与 IPv6 有关的选项，或考虑暂时在该网卡上关闭 IPv6 作为变通办法。
在你常用的每个网络上都检查一遍，因为家里 Wi-Fi、移动数据和办公室 Wi-Fi 往往各不相同。
操作系统和应用更新后重新测试，因为更新可能改变行为。
然后按如何检查你的 VPN 是否正常工作做完整的一套检查。

如果你自己管理路由器，并打算在那里运行 VPN，路由器 VPN 与应用 VPN 解释了这个选择如何影响哪些设备被覆盖。

常见错误

把“IPv6 泄漏”理解为 VPN 坏了，而实际上只是需要改个设置或更新一下。
不经测试就永久关闭所有地方的 IPv6，然后疑惑为什么有些网站变慢或打不开。
只检查了一个网络，就以为结果适用于所有网络。
把本地的 fe80 地址误认为公网 IPv6 地址。
只看测试页上的 IPv4 一行。
以为共用的 IPv4 地址就意味着连接是私密的。
认为 IPv6 天生更不安全，而实际上它只是需要用防火墙取代 NAT。

总结

IPv4 和 IPv6 是并行运行的两套地址体系。IPv4 稀缺且共用，IPv6 充足且常常每台设备独有。当 VPN 能够传输或阻断两种类型时才算工作良好，只处理 IPv4 的隧道则可能让 IPv6 流量留在隧道之外。请查明自己拥有哪些地址，在常用网络上开启 VPN 进行测试，并通过更新应用或调整设置来弥补 IPv6 的缺口。正确的配置隐藏了地址这一层，但不会让你变得匿名。

如果你想用简单的办法在自己的设备上做这些检查，可以到下载页面获取免费的 VPNclient 应用。