如何测试 VPN 是否支持 IPv6 并防止泄漏

很多人连上 VPN，打开 IP 检测页面，看到一个新地址就觉得大功告成。但那个页面可能只显示了连接中 IPv4 的那一半。如果你的网络同时分配了 IPv6 地址，另一个更长的地址就可能仍沿着老路，直接经过运营商出去，而你毫无察觉。认真做一次 VPN 的 IPv6 测试大约只需十分钟，就能告诉你自己的环境属于三种情况中的哪一种：IPv6 被带进隧道、被拦截，或者泄漏。

本文是一份操作流程，不是理论课。我们会依次讲：记录基线、连接后的检测、如何读懂三种结果、结果不好时怎么修，以及之后如何复测。如果想先了解泄漏为什么会发生，可以先读 IPv6 泄漏和 IPv4 与 IPv6 的区别，再带着笔记本回来照着做。

你到底在测试什么

“测试 VPN 对 IPv6 的支持”听起来像一个问题，其实是三个独立的问题，混在一起很容易得出错误结论。

1. 你的网络有 IPv6 吗？ 如果家里宽带、手机流量或咖啡馆 Wi-Fi 只给设备分配 IPv4 地址，就没有什么可泄漏的，后面的步骤只是走个过场。
2. VPN 会把 IPv6 流量放进隧道吗？ 有些 VPN 服务两种地址族都能承载，有些只承载 IPv4，对 IPv6 要么拦截要么放任不管。
3. 如果 VPN 不承载，设备会阻止 IPv6 溢出吗？ 这就是防泄漏的部分。好的配置要么把 IPv6 放进隧道里，要么在 VPN 连接期间把它关掉。

只有第三个问题决定你是否暴露。“支持 IPv6”是锦上添花，“不泄漏”才是隐私上真正重要的事。很多人用纯 IPv4 的隧道也完全没问题，因为设备在连接期间根本不使用 IPv6。

为什么这很重要？IPv6 地址由运营商分配给你的线路，往往对应到具体的家庭或手机，而且每个支持 IPv6 的网站都能看到它。如果 VPN 藏住了 IPv4，但浏览器通过 IPv6 访问了某个网站，对方看到的就是运营商分配给你的地址。你得到的是“看起来受保护”，却没有真正受保护。IPv6 规范说明了地址如何构成，也解释了为什么一台设备可以同时拥有多个地址。

开始之前：准备一个干净的测试环境

好的测试需要可控的条件，花两分钟准备一下。

• 选两个检测页面。 一个要能把 IPv4 和 IPv6 分开显示，另一个是互相独立的页面。不同页面检测方法不同，结果不一致本身就是线索。
• 使用新的浏览器窗口。 关闭多余标签页，如果装有会改变网络行为的浏览器扩展，测试期间先暂停。
• 打开一个记事文件。 要记录四个值：IPv4 地址、IPv6 地址（如果有）、显示的 DNS 服务器，以及时间。
• 清楚自己的网络类型。 写下是家庭宽带、手机流量还是公共 Wi-Fi。IPv6 在移动网络和较新的宽带上比小型办公室或酒店网络常见得多。
• 不要在认证页面还没通过时测试。 如果还停在酒店的登录页，先完成登录，因为登录前 VPN 的表现并不可靠。

如果你以前没测过 VPN，如何测试 VPN 还涵盖了速度和断网保护（kill switch）。本文只处理 IPv6 这一块。

第 1 步：关闭 VPN，记录基线

把 VPN 彻底关掉，不要只是暂停，因为有些应用会让隧道的一部分继续运行。打开第一个检测页面，把看到的内容记下来。

常见的基线有三种。

检测页面显示	含义	下一步
只有带点的短地址	网络是纯 IPv4	可以继续，但泄漏可能性低
既有短地址又有带冒号的长地址	双栈：两种都有	需要完整测试
只有带冒号的长地址	带地址转换的纯 IPv6 网络	少见，仍可测试，但最好向网络运营方了解其工作方式

记下 IPv6 地址最前面的几组。同一家运营商的地址通常开头几组相同，这段前缀就成了“运营商的指纹”。之后开着 VPN 时如果再看到同样的前缀，就说明运营商分配的地址正在泄漏。

DNS 服务器也要记。许多检测页面会显示是哪个解析器回答了测试。基线状态下，通常是运营商的解析器或某个公共解析器。连上 VPN 后，这个值一般应该变化，你就能对比。如果你主要担心 DNS，可以参考 DNS 泄漏了解要看什么。

第 2 步：连接 VPN，用同一页面再测一次

连上 VPN，等应用显示已连接，再多等十秒左右。这段等待很重要，因为有些设备会让旧连接多保留几秒。然后刷新同一个检测页面，进行对比。

按下面的清单逐项检查。

1. IPv4 变了吗？ 带点的地址应该与基线不同。如果完全一样，说明 VPN 根本没在承载你的流量，问题比 IPv6 大得多，请先看帮助文章 检查 VPN 是否正常工作。
2. IPv6 那一行如何？ 与基线对比。
3. DNS 那一行如何？ 解析器有没有变化。
4. 第二个检测页面是否一致？ 打开独立页面，确认画面相同。

截图，或把数值抄进记事文件。别靠记忆，因为这些地址又长又相似，一眼看过去很难分辨。

第 3 步：读懂三种可能的结果

连接后检测，你的结果会落入三组之一，其中只有一组是问题。

结果 A：VPN 承载了 IPv6

检测页面显示的 IPv6 地址与基线不同，也不带你运营商的前缀。这是通过。你的 VPN 服务把两种地址族都放进了隧道，所以使用 IPv6 的网站在这一侧同样看到的是 VPN 的地址。

这里还有一项值得检查：看 IPv4 和 IPv6 的结果指向的运营方或大致位置是否一致。如果 IPv4 显示一个地方、IPv6 显示另一个地方，这并不是泄漏，但某些网站可能因为两个地址互相矛盾而表现奇怪。

结果 B：IPv6 被拦截或关闭

检测页面显示 VPN 的 IPv4 地址，完全没有 IPv6 地址，或提示 IPv6 不可用。这同样是通过。要么 VPN 应用在连接期间关闭了 IPv6，要么设备没有对应的路由。个别页面第一次打开可能略慢，因为浏览器先尝试 IPv6 失败，再退回 IPv4，这是正常的。

结果 C：IPv6 泄漏

检测页面显示的是你运营商的 IPv6 地址，前缀与基线一致，而 IPv4 却是 VPN 的。这就是不通过。VPN 对 IPv4 起作用，设备却仍直接用 IPv6 通信。凡是经 IPv6 出去的流量，可能包括不少热门网站和应用，都不在隧道的保护之内。

结果	显示的 IPv4	显示的 IPv6	结论
A：已承载	VPN 地址	另一个非运营商地址	通过
B：已拦截	VPN 地址	无	通过
C：泄漏	VPN 地址	你运营商的地址	不通过
D：未连接	你自己的地址	你自己的地址	VPN 没有生效

如果是结果 D，先停下来修复连接。隧道没通时做泄漏测试没有意义。

第 4 步：同一轮里顺便测 DNS 和 WebRTC

VPN 开着的时候，再花两分钟看看 IPv6 的“邻居”，因为它们常常一起出问题。

• DNS。 打开 DNS 测试页面，列出的解析器不应该是你基线里记下的那些。要记得，DNS 服务器即使在 IPv4 路径已受保护时，也可能通过 IPv6 访问，所以确实存在 IPv6 的 DNS 泄漏。如果这些术语不熟，可以看 DNS 是什么。
• WebRTC。 浏览器可以通过为视频通话设计的功能暴露本地和公网地址。打开 WebRTC 测试页，确认没有出现属于你运营商的 IPv6 地址，详见 WebRTC 泄漏。
• 混合测试。 访问一个已知支持 IPv6 的网站和一个不支持的网站，两者都应能打开。如果 VPN 开着时支持 IPv6 的网站打不开，可能是拦截了 IPv6 但回退机制失效。

每一项都要记录。“IPv4 正常，IPv6 的 DNS 泄漏”这样的模式，能非常具体地告诉你该往哪里排查。

第 5 步：修复 IPv6 泄漏

如果得到了结果 C，不用慌。泄漏很常见，可以修，而且通常只影响一台设备。按从简单到复杂的顺序处理。

1. 先看 VPN 应用的设置。 找提到 IPv6、泄漏防护或阻止隧道外流量的选项，其他设置保持默认。如果找不到，就向 VPN 客服询问 IPv6 是如何处理的，不要想当然。
2. 重新连接并复测。 有时一次新连接就能让保护完整生效，而刚从睡眠中醒来的设备可能漏掉这一步。
3. 在当前使用的网络适配器上关闭 IPv6。 在 Windows 上，是适配器属性里的一个复选框；在 macOS 上，可以把该网络服务的 IPv6 设为“仅本地链路”；Android 和 iPhone 很少有简单开关，所以要在路由器上处理或换网络。文章 Windows 上的 VPN 与 IPv6 会带你逐步完成 Windows 的操作。
4. 在路由器上关闭 IPv6。 如果路由器有 IPv6 选项，关掉它就能覆盖家里所有设备。更改前记下原来的设置。
5. 重新测试一切。 重复第 1 到第 4 步。只有检测页面显示结果 A 或 B，才算真正修好。

提醒一句：关闭 IPv6 只是权宜之计，并非一劳永逸。少数网站和服务在 IPv6 上表现更好，随着网络逐渐迁移，纯 IPv6 的服务会越来越多。对大多数人来说，眼下这个代价很小。把你改过的地方写下来，需要时可以恢复。

三个人，三种结果

小琳，住宿舍的学生。 小琳的宽带运营商提供双栈。基线里两个地址都能看到。连上 VPN 后，IPv4 地址变了，但一个带着运营商前缀的长地址仍在。这是结果 C。她在笔记本的 Wi-Fi 适配器上关闭了 IPv6，重新连接，检测页面现在只剩下 VPN 的 IPv4 地址，变成结果 B，并且她把改动记进了文件。

阿鹏，住酒店的远程办公者。 阿鹏的基线只有 IPv4，因为酒店网络不提供 IPv6。连接后他看到新的 IPv4 地址、没有 IPv6，没有东西可泄漏。他记下这个结果只适用于当前网络，并计划回家后再测。

小美，用手机流量出行的旅行者。 小美的移动网络大量使用 IPv6。基线里她看到一个长地址，以及一个经过转换的 IPv4 地址。开启 VPN 后，两行都变成了与移动运营商无关的地址，属于结果 A。但在做 DNS 检查时，她发现有一个解析器与运营商吻合，于是把这一点反馈给 VPN 客服，而不是自己猜测。

三个故事的共同点是：决定你网络今天真实状况的，是这套流程，而不是某个应用的名字。

浏览器测试的局限、常见错误与复测

要诚实地说明你证明了什么。浏览器测试通过，只说明该浏览器是经由隧道访问检测页面的，并不保证每个应用和系统服务都这样。

• 应用可能走不同路径。 聊天软件、游戏或系统服务，可能在浏览器没有这样做的时候直接尝试 IPv6。
• 网络会变。 从 Wi-Fi 切换到手机流量，基线和结果都可能改变。
• 睡眠与唤醒很关键。 设备唤醒时，可能在 VPN 重新连接之前短暂使用未受保护的路径。断网保护能起作用，可看 kill switch 说明。
• 检测页面并不完美。 有的页面会缓存结果，或报告路由器的地址。两个页面比一个好。
• 通过测试不等于匿名。 通过只证明 IP 路径整洁，账号、Cookie 和浏览器指纹依然能识别你，文章 使用 VPN 时仍会被追踪吗有详细解释。

如果想要更多把握，可以用命令行分别通过两种地址族查询自己的公网地址，或用抓包工具查看是哪个网络接口在传输流量。这超出多数人的需要，但原理一样：把连接前后的状态做对比。

IPv6 测试中的常见错误

• 只在一个网络上测一次，就当成永久有效。
• 跳过基线，之后不知道“自己的地址”长什么样。
• 只比较 IPv4 那一行，忽略下面的长地址。
• 看到页面只显示一个地址，就以为只有一个地址。
• 关闭 IPv6 后忘了复测，导致另一种泄漏没被发现。
• 浏览器扩展或第二个 VPN 同时开着，结果混杂了两个工具。
• 以为笔记本上通过了，手机上也一定通过。
• 把关闭 IPv6 后第一次页面加载慢，误当成 VPN 坏了。

何时、多久复测一次

在日历里设个提醒，遇到下列情况就重新测一遍。

1. 第一次安装任何 VPN 应用之后。
2. 操作系统大版本更新之后，因为它可能重置适配器设置。
3. 换到新网络时，比如新家、新办公室或新手机卡。
4. VPN 应用更新说明里提到网络或泄漏设置之后。
5. 更换路由器，或运营商把你切换到新的接入类型之后。
6. 感觉不对劲时，比如出现莫名的定位提示，或网站显示你的真实地区。

一套简短流程就够了：基线、连接、对比、DNS，结束。把记事文件留着，下次就能拿上次的数值对比，不必从零开始。

小结

VPN 的 IPv6 测试其实就是一次简单的对比：关闭 VPN 记录地址，连接后再记录一次，然后读结果。VPN 承载 IPv6 或拦截 IPv6 都算通过，而你运营商的 IPv6 地址出现则是泄漏。同一轮里加上 DNS 和 WebRTC 检查，用 VPN 应用设置、设备上的 IPv6 开关或路由器修改来修复泄漏，并在更新和更换网络后重复测试。测试只能证明它测过的内容，所以把它当作一个好习惯，而不是一种保证。

如果你正在选 VPN，想用一个简单的预付通行证来按这些步骤试一试，可以到价格页面查看当前选项，并在下载页面找到各设备的免费应用。