什么是 IP 泄漏？IPv4 与 IPv6 泄漏详解

你连上了 VPN，应用显示绿色状态，你以为真实 IP 地址已经被隐藏。大多数时候确实如此，但偶尔并非如此。少量流量可能从另一条路径溜出去，网站看到的是互联网服务商分配给你的地址，而不是 VPN 的地址。这种情况就叫 IP 泄漏。

本文介绍 IP 地址是什么、泄漏如何在 IPv4 和 IPv6 上发生、怎样测试，以及普通人能做些什么。它与我们关于 DNS 泄漏和 WebRTC 泄漏的文章一起，构成可识别信息逃出 VPN 的三种常见情形。

什么是 IP 泄漏

IP 地址是你的连接在互联网上收发数据时使用的号码。你访问的每个网站都能看到请求来自哪个地址。公网 IP 地址一文介绍了基础知识。

VPN 改变了这一点：你的流量通过加密隧道到达 VPN 服务器，网站看到的是服务器的地址。IP 泄漏指任何一个时刻，流量绕过隧道，带着你的真实地址到达目的地。VPN 看起来已连接，但对这部分流量来说，它没有起作用。

需要说明白什么不属于泄漏。VPN 服务商看到你的地址不是泄漏，因为它必须看到才能连接你。网站通过登录知道你是谁也不是，这一点在VPN 能隐藏你的 IP 地址吗中有讨论。IP 泄漏专指你的真实地址出现在本该由隧道替换的地方。

用通俗的话讲 IPv4 与 IPv6

互联网同时使用两个版本的地址体系。理解这两者，是理解大多数泄漏的关键。

特征	IPv4	IPv6
外观	四组数字，例如 203.0.113.25	由冒号分隔的一长串字母和数字
规模	32 位，约四十亿个地址	128 位，地址数量极其庞大
规范	RFC 791	RFC 8200
地址共用	非常普遍：家庭和办公室常通过地址转换共用一个公网地址	每台设备都可以有自己的公网地址
私有地址段	家庭网络内部使用 RFC 1918 定义的私有地址段	设备往往拥有全球可达的地址
现状	仍然随处在用	持续增长，许多网络和网站已在使用

IPv4 于 1981 年在 RFC 791 中定义。按今天的标准，它的地址空间很小，所以家庭和办公网络通常把许多设备藏在一个共用的公网 IPv4 地址后面，内部使用 RFC 1918 中描述的私有地址段。RFC 8200 规定的 IPv6 则是为了用大得多的地址空间取代它而设计的。

如今大多数网络同时运行两者，这被称为双栈（dual stack）。你的设备可能既有 IPv4 地址，也有 IPv6 地址。当网站两者都支持时，许多系统会优先使用 IPv6。这个细节与泄漏密切相关。

IPv4 泄漏是如何发生的

IPv4 泄漏是经典类型，通常来自以下原因：

1. VPN 连接中断。 设备退回到普通路径，应用继续使用你的普通地址。Kill Switch 就是为阻止这种情况而设计的，但它必须处于开启并有效的状态。
2. 使用了分流（split tunneling）。 有些应用被有意排除在隧道之外，因此显示真实地址。这是设置，而不是缺陷，但很容易忘记。
3. 路由错误。 配置有误的配置文件、第二块网络适配器，或自行设置路由的软件，都可能让部分流量绕过隧道。
4. 连接只建立了一部分。 在睡眠唤醒或网络切换后重连的过程中，隧道承载全部流量之前可能有一小段空档。
5. 本地网络例外。 发往你自己网络内设备（比如打印机）的流量正常地留在隧道之外。这不是泄漏到互联网，但会让一些人困惑。

IPv6 泄漏是如何发生的

VPN 的 IPv6 泄漏是大多数人从没听说过的一种，过程大致如下：

1. 你的家庭或移动网络同时给设备分配了 IPv4 和 IPv6 地址。
2. 你的 VPN 建立的隧道只承载 IPv4 流量，或者没有把 IPv6 一侧的流量送进隧道。
3. 你访问了一个支持 IPv6 的网站。设备在 IPv6 可用时优先使用它，于是通过普通网络以 IPv6 连接。
4. 网站看到你真实的 IPv6 地址，尽管你的 IPv4 地址显示的是 VPN 的地址。

并没有什么“坏掉”。隧道完全按设置在工作，也就是只承载了部分流量。这正是测试时 IPv4 与 IPv6 的区别如此重要的原因。

IPv6 地址也可能比 IPv4 地址暴露得更多。因为每台设备都可能有自己的公网地址，而地址前半部分与你的网络相关联，所以 IPv6 地址能比共用的 IPv4 地址更直接地指向你家庭的连接。这不是灾难，但让泄漏更值得修复。

三个日常例子

家庭用户。 小岛的互联网服务商给她提供了双栈连接，而她的 VPN 只承载 IPv4。她打开一个 IP 查询页面，看到 VPN 的 IPv4 地址，就以为一切正常。如果再用一个会显示 IPv6 的页面检查，就会看到她的服务商的 IPv6 地址。

出行的人。 小品连上酒店 Wi-Fi，VPN 连接成功，他只检查了 IPv4 地址。酒店网络支持 IPv6，一个支持 IPv6 的网站因此看到了他所在酒店的 IPv6 地址。

远程办公的人。 小凯为了降低延迟，把视频通话应用排除在隧道之外。该应用把他真实的 IPv4 地址显示给了通话服务。这是有意为之，但依然属于他的真实地址可见的情形。

为什么重要，又为什么不必惊慌

IP 泄漏值得修复，因为它抵消了你想从 VPN 得到的一部分效果：网站，或任何观察这部分流量的人，会看到互联网服务商分配给你的地址。这个地址能大致显示你所在的位置和所用的服务商，服务商还能把它与你的账户关联。

同时也要保持分寸：

• 泄漏暴露的是地址，不是你的消息内容。如果连接使用 HTTPS，内容在你与网站之间仍是加密的。
• 通常只是部分泄漏，而不是全部。
• 修复往往很简单，比如调整一项设置或换一种配置。
• 泄漏本身并不意味着你的 VPN 服务商不值得信任，只说明配置不完整。

如何测试 IP 泄漏

不需要特殊工具，一套简短的流程就够了。另请参阅我们的帮助指南如何检查 VPN 是否正常工作。

1. 断开 VPN。 打开 IP 查询页面，记下它显示的两个地址：IPv4，以及如果有的话 IPv6。有些页面只显示一个，所以请使用两者都显示的页面，或者查两次。
2. 连接 VPN。 等到应用显示已连接。
3. 再查一次。 重新加载同一个页面。IPv4 地址应当与原来不同。
4. 看 IPv6 那一行。 它应该不存在（页面显示 IPv6 不可用），或是与你记下的不同的地址。如果仍与原来的 IPv6 地址相同，就是出现了 IPv6 泄漏。
5. 在中断之后再测。 切换 Wi-Fi 网络，或开关一次飞行模式，然后再检查。这是在测试连接变化时设置的表现。
6. 用你实际使用的应用测试。 浏览器里的 IP 查询页面并不能证明所有应用都一样，尤其是当你使用了分流功能时。

解读结果

你看到的现象	可能的含义
IPv4 已变，不显示 IPv6	隧道在工作，IPv6 未被使用或已被阻止
IPv4 已变，IPv6 与原来相同	IPv6 泄漏到了隧道之外
IPv4 与原来相同	隧道根本没有承载这部分流量
两者都已改变	本次测试中没有发现泄漏迹象
IPv4 改变，几分钟后又恢复原样	连接在中断并退回

一次干净的测试是个令人鼓舞的信号，但不是证明。请在你实际使用的网络上重复测试。

Windows、IPv6 与应对办法

Windows 是 IPv6 问题经常出现的地方，因为系统默认支持 IPv6。内置的 VPN 功能在 Microsoft 关于在 Windows 中连接 VPN 的支持页面上有说明，但该页面讲的是如何设置连接，而不是泄漏测试。

如果测试显示 Windows 上存在 IPv6 泄漏，合理的应对顺序是：

1. 检查应用设置。 找找有关 IPv6 处理或泄漏保护的选项，并启用它们。
2. 更新应用和操作系统。 网络行为会随更新而变化。
3. 谨慎考虑系统级的办法。 许多指南建议在网络适配器上关闭 IPv6。Microsoft 不建议完全禁用 IPv6，因为某些系统组件可能依赖它，所以只应视为临时的权宜之计，并记下你改了什么，以便恢复。
4. 再次测试。 每次更改之后都重复测试。

在 macOS 上，网络设置通常可以按网络服务分别调整 IPv6 的处理方式。在 Android 和 iOS 上，大部分工作由 VPN 应用和操作系统完成，所以主要步骤就是测试。不同版本的设置和措辞有所不同。

降低风险：简短清单

• 两种地址都要测试。 检查 IPv4 和 IPv6，而不只是看到的第一个数字。
• 如果你的环境有 Kill Switch，就保持开启，并测试它。
• 检查分流设置。 清楚哪些应用被排除在外。
• 优先选择明确说明了 IPv6 处理方式的连接方式和应用。
• 保持应用和系统为最新。
• 有变化时重新测试，例如换了新路由器、新网络，或系统更新之后。
• 综合检查。 IP 泄漏测试是三项之一，也要检查 DNS 和 WebRTC 的表现。

局限与注意事项

• 测试页面只能告诉你它在那一刻看到的情况。只在重连期间发生的泄漏很容易漏掉。
• 不同测试网站的报告方式不同，有些只显示 IPv4。
• 修复 IP 泄漏并不会让你匿名。账号、Cookie 和浏览器指纹仍能识别你。关于 VPN 能否让你匿名的文章对此有说明。
• 关闭 IPv6 这类功能是一种取舍，不是免费的修复。
• 本文是一般性的科普。你的实际结果取决于网络、设备和 VPN 设置。

小结

IP 泄漏是指在 VPN 看起来已连接时，你的真实 IP 地址到达了网站的任何时刻。它可能发生在 IPv4 上，通常因为连接中断、应用被排除或路径绕过了隧道；也可能发生在 IPv6 上，即隧道只承载 IPv4，而设备的 IPv6 仍可正常使用。补救办法是相同的：测试两种地址，弄清自己的设置，保持 Kill Switch 开启，并在改动之后重新测试。

如果你想在自己的连接上做这些检查，可以在 XPASS 定价页面了解短期预付套餐，然后在自己的设备上运行这些测试。