IPv6 泄漏与 VPN：实用指南

VPN 承诺你访问的网站看到的是 VPN 的地址，而不是你的。这个承诺有一个不起眼的漏洞：如今互联网同时运行着两套地址体系，如果 VPN 只处理其中一套，另一条车道就是敞开的。流量从这条敞开的车道溜出去，就叫 IPv6 泄漏，许多 VPN 明明工作正常的人其实也有这个问题，只是自己不知道。

本指南讲究实用。它说明这个缺口为什么存在，泄漏的 IPv6 地址到底透露什么，怎样在大约五分钟内测试，以及应该按什么顺序从最轻到最重地修复。如果想先了解泄漏的整体面貌，可以读 什么是 IP 泄漏，这里只专注 IPv6 一侧。

为什么两套地址体系会造成缺口

互联网上的每台设备都需要地址。较早的体系 IPv4 使用 203.0.113.7 这样的短数字，地址空间已经用尽。较新的体系 IPv6 由 RFC 8200 定义，使用长得多的地址，容量大得多。过渡进行得很慢，所以如今大多数网络同时运行两套，这称为双栈（dual stack）。

在双栈网络里，你的设备同时拥有 IPv4 和 IPv6 地址。访问一个两种方式都能到达的网站时，由设备来选。现代系统往往在 IPv6 可用时优先使用它，因为它避免了地址共享，路径通常也更直接。浏览器还会加入自己的逻辑，让几种连接竞速，使用更快的那条。

现在加上 VPN。许多 VPN 产品是围绕 IPv4 构建的：创建一个隧道接口，给它一个 IPv4 地址，并让 IPv4 流量走隧道。IPv6 可能被放在一边，这就意味着它仍然走普通网络连接，在隧道之外。结果就是分流：IPv4 请求经 VPN 出去，IPv6 请求直接出去。支持 IPv6 的网站会看到运营商分配给你的真实 IPv6 地址，旁观这条路径的人也一样看得到。

这种泄漏要同时满足三个条件：你的网络提供 IPv6，VPN 没有把它放进隧道或阻断，目标网站支持 IPv6。缺任何一个，就没有东西可泄漏。很多家庭用户在不知不觉中三条全满足。

泄漏的 IPv6 地址透露了什么

IPv6 地址很长，看看里面有什么是值得的。典型地址分为两半。

• 前缀（前半部分）。 由你的运营商分配给家庭或线路，标识网络，往往还能反映地区或运营商。看到它的网站通常能判断你用的是哪家运营商、大致在什么区域，而且对同一家庭来说它长期稳定。
• 接口部分（后半部分）。 在你的网络内标识设备。较老的系统根据网卡的硬件地址生成，这是该设备的稳定标签。现代系统对外发起的连接使用临时随机地址，目的就是防止这类长期追踪。

所以泄漏做了两件事：告诉目标网站你用的运营商，并在前缀里给出一个稳定的家庭标识。它不会透露你的姓名、电话或具体门牌地址，但它与 VPN 的目的相冲突，因为 VPN 本该用自己的信息替换这些内容。网站通常能从你的地址了解什么、不了解什么，可参考 VPN 会隐藏你的 IP 吗。

泄漏发生的四种方式

同样的症状有不同的成因，知道属于哪一种，就知道该试哪种修复。

成因	发生了什么	典型迹象
VPN 只处理 IPv4	隧道没有 IPv6 路由，IPv6 走普通连接	测试页面显示 VPN 的 IPv4，但显示你运营商的 IPv6
IPv6 路由在隧道之后添加	系统选择了比 VPN 默认路由更具体的 IPv6 路由	在某些网络泄漏，在另一些不泄漏
路由器下发 IPv6 设置	路由器向设备通告 IPv6，设备在隧道建立后开始使用	路由器重启后或新设备加入时出现泄漏
VPN 掉线后重连	隧道断开期间 IPv6 仍然可用	短暂暴露，单次测试很难发现

最后一行与 kill switch 有关，它应当在隧道掉线时切断所有流量。读 什么是 VPN kill switch 可以看到两种保护如何协同，以及为什么忽略 IPv6 的 kill switch 只能算半个。

五分钟自测

你需要一台设备、一个浏览器，以及任意一个能同时检测两种地址的 IP 测试页面。EFF 的 Cover Your Tracks 能展示浏览器透露的许多信息，许多通用的 IP 检测工具也会分别显示 IPv4 和 IPv6。

1. 记录基线。 关闭 VPN，打开测试页面，记下 IPv4 地址，以及（如果显示）IPv6 地址。这些地址标识你的运营商。如果页面没有显示 IPv6，说明你的线路很可能只有 IPv4，可以到此为止：目前没有东西可泄漏。
2. 连接 VPN。 等应用显示连接稳定后，重新加载测试页面。
3. 对比。 IPv4 地址应该与基线不同。再看 IPv6 一行，有三种结果。
   • 不显示 IPv6。 VPN 阻断或不提供 IPv6，通过。
   • IPv6 地址与基线不同。 VPN 把 IPv6 放进了隧道，通过。理想情况下它属于 VPN 的地址段，而不是你的。
   • IPv6 地址与基线相同。 这就是泄漏。
4. 换一个网络再测。 在家里的 Wi-Fi 和移动数据上分别测试，因为有的网络提供 IPv6，有的不提供。在一个网络通过，并不能说明另一个网络也通过。
5. 测试重连。 断开再重连，或在 VPN 开启时从 Wi-Fi 切换到移动数据，再测一次。某一种状态下结果良好，并不代表所有状态都良好。

更全面的指南 如何测试 VPN 把这项检查与 DNS 和 kill switch 测试放在一起。若想在帮助中心快速检查，可看 如何检查 VPN 是否正常工作。

修复办法，按顺序来

从上往下试，每一步后重新测试，一旦通过就停止。

1. 更新 VPN 应用和操作系统。 许多泄漏在新版本中已经修复。不花钱，常常有效。
2. 在 VPN 应用设置里找 IPv6 选项。 有些应用允许在连接期间阻断 IPv6，或让它走隧道。二选一，不要两者都不选。各应用和版本的措辞不同，请读应用自己的标签，其他设置保持默认，除非客服建议调整。
3. 重连后再测。 切换设置后，断开再连接，让路由重新建立。
4. 在所用的网络适配器上关闭 IPv6。 这是直接而可靠的办法。多数系统里，它是网络选项中按适配器设置的一个勾选项。措辞因系统和版本而异，请在 Wi-Fi 或以太网连接的属性里找 IPv6 条目。
5. 在路由器上关闭 IPv6。 如果路由器有 IPv6 设置，关闭后整个家庭都不会再收到 IPv6 设置，手机、电视、游戏机这些无法单独配置的设备也一并覆盖。改之前先记下原值。
6. 联系客服。 如果应用不处理 IPv6，设备又不肯放弃该地址，就向服务商询问针对你的设备有什么建议。

这些步骤都不激烈。关闭 IPv6 是已用多年的常见且可逆的变通办法，绝大多数网站仍可通过 IPv4 访问。

各设备的注意事项

不同平台对 IPv6 的处理不同，泄漏的表现也不一样。

• Windows。 IPv6 默认开启，按适配器配置。通常关闭正在使用的适配器上的 IPv6，或更新应用即可。注意在一个适配器上关闭，不影响另一个。
• macOS。 IPv6 按网络服务设置，比如 Wi-Fi。可以更改，但属于该服务，新增的服务需要同样的修改。
• Android。 系统设置里通常没有简单的 IPv6 开关。可靠的做法是使用能处理它的应用，在运营商提供时使用移动网络设置，或在路由器上为 Wi-Fi 做调整。
• iPhone 和 iPad。 同样没有普通的 IPv6 开关。可行的办法是看应用的行为、为 Wi-Fi 调整路由器，并在 Wi-Fi 和移动数据上都做测试。
• 路由器与游戏机。 无法运行 VPN 应用的设备常位于提供 IPv6 的路由器之后。如果你在路由器上运行 VPN，请确保 IPv6 一侧也在那里得到处理。整体情况见 路由器设置指南。

移动网络与纯 IPv6 环境

有些移动运营商以 IPv6 为主：手机拥有 IPv6 地址，由转换系统提供对仅支持 IPv4 网站的访问。因此，即使家里的 Wi-Fi 没有 IPv6，你在移动数据上也可能看到 IPv6 地址。这是正常的，也是为什么两个网络都要测试。

如果你的移动网络是带转换的纯 IPv6，手机上也许根本无法关闭 IPv6，在别处尝试还可能让连接中断。这种情况下，正确的做法是使用能正确支持 IPv6 的 VPN 应用，而不是变通。如果变通办法引发问题，先撤销，并重新测试正常状态。

副作用与如何撤销

在任何地方关闭 IPv6 之前，请注意三点。

• 记下原来的设置。 截图或在备忘录里记一行就行。
• 预期变化很小。 大多数网站、应用和游戏仍可通过 IPv4 工作。少数偏好 IPv6 的服务可能感觉略有不同。
• 知道如何撤销。 重新启用就是同一步骤反向操作。如果出现无关的故障，比如网络上的某台家用设备出问题，就撤销改动再测。

如果你管理工作设备，更改网络设置前请先问管理员，因为公司的策略和工具可能依赖 IPv6。

什么时候要重新测试

一次通过并不永远有效。请在以下情况再测一次：

• 操作系统或 VPN 应用更新之后。
• 换到新网络之后，例如酒店或新家。
• 更换路由器或其固件之后。
• kill switch 或相关设置变化之后。
• 测试页面显示了意料之外的运营商或位置时。

总结

IPv6 泄漏发生在具备 IPv6 的设备把部分流量发到只处理 IPv4 的 VPN 隧道之外时。它会向支持 IPv6 的网站暴露运营商分配给你的 IPv6 地址，削弱 VPN 的主要作用。测试方法是在至少一个以上的网络里，对比 VPN 关闭与开启时的地址。修复顺序是：更新、使用应用里的 IPv6 选项、重连、在适配器上关闭 IPv6、再到路由器上关闭，若都无效就询问客服。任何可能改变路由的变动之后，都要重新测试。

如果你正在挑选 VPN 通行证，可以在价格页面比较各个选项。