防泄漏设置：三类泄漏与一项断线兜底DNS · WebRTC · IPv6 · 网络锁 · 2026 年 11 月核对

三类泄漏：从哪条缝漏出去先分清类型再动手

泄漏的本质是「有一条不走隧道的通道仍在工作」。常见三种：DNS 请求发给本地运营商、WebRTC 直接暴露本机地址、IPv6 流量绕过隧道走直连。

三类泄漏的检测方式不同，但共同点是可以逐个关掉。客户端的做法是把三条通道全部收进隧道，或在隧道不可用时阻断。

三类泄漏的典型表现

• DNS 泄漏：检测页显示解析服务器属于本地运营商。
• WebRTC 泄漏：检测页拿到 192.168 或运营商内网地址。
• IPv6 泄漏：本机拿到公网 IPv6，且流量不走隧道。

为什么默认设置不够

• 操作系统默认优先使用 IPv6，隧道只承载 IPv4 时会漏。
• 浏览器自带 DNS 解析，可能绕过系统设置。
• 部分即时通讯软件内置 STUN 探测，会自行发现本机地址。

DNS 泄漏：解析请求是不是也进了隧道加密 DNS 的三种模式

DNS 泄漏是最隐蔽的一类。即使网页流量走了隧道，域名解析仍可能发往本地运营商的服务器，等于把访问目标告诉了第三方。

客户端提供三种 DNS 模式：系统默认、加密 DNS、自定义。默认使用加密 DNS，内置 5 个 DoH 端点，按延迟就近选择。

三种模式的差别

• 系统默认：沿用本机设置，最常见泄漏来源。
• 加密 DNS：解析请求走 DoH，与隧道同出口。
• 自定义：填入自建 DoH 地址，适合有内网解析需求的用户。

怎么验证

1. 连接客户端后打开 DNS 检测页。
2. 查看解析服务器归属地，应与节点地区一致。
3. 出现本地运营商名称时，把模式切到加密 DNS 后重连。

WebRTC 泄漏：浏览器自己报了地址屏蔽开关在设置里

WebRTC 是浏览器用于音视频通话的技术，建立连接时需要交换本机地址。部分浏览器会绕过系统代理直接发探测包，从而暴露真实地址。

客户端的做法是拦截 STUN 探测包。开启后视频通话仍可用，只是不能再直连对端，需要经过中转。

开启后的取舍

• 视频通话清晰度可能下降，因为不再直连对端。
• 网页版会议软件的连接时间会延长 1–3 秒。
• 对只做网页浏览的用户没有可见影响。

自检方式

1. 连接客户端后打开 WebRTC 检测页。
2. 查看返回的候选地址列表，应只有隧道出口地址。
3. 出现 192.168 或 10. 开头的地址时，说明屏蔽未生效。

IPv6 泄漏：被忽略的那条通道默认阻断，可按需放行

现代系统默认优先使用 IPv6。隧道只承载 IPv4 时，IPv6 流量会绕过隧道走直连，表现是「VPN 已连接但检测页显示真实地区」。

客户端的默认策略是阻断 IPv6 直连，让全部流量回到隧道。需要访问 IPv6 资源时，可在设置里改为隧道内转发。

三种处理方式

• 阻断（默认）：所有 IPv6 流量丢弃，简单有效。
• 隧道内转发：IPv6 也走隧道，需要节点支持。
• 放行：不推荐，等于留了一条直连通道。

判断本机是否受影响

• 访问 IPv6 检测页，拿到 2408、2409 开头地址说明有公网 IPv6。
• 连接客户端后再次访问，地址应消失或变为隧道地址。
• 地址仍存在且能 ping 通时，说明阻断未生效。

网络锁原理：断线之后切断什么系统级规则，不是应用层开关

网络锁是一组系统防火墙规则。隧道存在时放行隧道网卡，隧道消失时阻断全部出站流量，直到隧道恢复。

这不是应用层的一个开关，而是内核级规则。因此它的生效与客户端界面状态无关，界面显示已连接但隧道实际断开时，网络锁仍会切断流量。

桌面端的实现差别

• Windows：写入 Windows 防火墙的出站规则，按网卡索引匹配。
• macOS：使用网络扩展的过滤规则，需要用户授权。
• Linux：写入 iptables 的 OUTPUT 链，服务重启后自动恢复。

移动端为什么只是部分具备

• Android 依赖系统 VPN 框架，后台被清理后规则失效。
• iOS 依赖按需连接，未开启时断线不会切断流量。
• 移动端的「部分具备」指的就是这两种情况。

验证：怎么确认网络锁真的在工作两种验证方法

验证网络锁不能只看界面图标。最直接的方法是人为制造断线，观察流量是否被切断。

第一种方法在客户端里点「模拟断线」，规则会临时生效 10 秒。第二种方法是直接拔掉上游网线或关闭 Wi-Fi，观察浏览器是否立即断网。

1. 连接客户端，确认状态为已连接。
2. 执行模拟断线或关闭上游网络。
3. 在浏览器刷新任意页面，应显示无法连接，而不是加载出内容。
4. 恢复网络后 3 秒内应自动重连，页面恢复访问。

实测断线到切断的间隔为 0.8–1.5 秒，取决于系统防火墙规则加载速度。macOS 上该间隔通常更短，因为过滤规则在扩展层生效。

四项自检：5 分钟走完按顺序做，别跳步

四项自检按顺序做：先看出口地址，再看 DNS，然后看 WebRTC，最后看 IPv6。每项 1 分钟左右，全部通过说明配置完整。

任一项不通过时，先改对应开关再复测，不要在四项之间来回跳。

逐项检查要点

• 出口地址：检测页显示的国家与城市应与节点一致。
• DNS：解析服务器归属地应与节点一致，不出现本地运营商。
• WebRTC：候选地址列表只有隧道出口，无内网地址。
• IPv6：本机不再持有公网 IPv6，或地址变为隧道地址。

不通过时的处理顺序

1. 先确认客户端版本为 v4.2.6，旧版本开关位置不同。
2. 改加密 DNS 模式，重连后复测。
3. 仍不通过时换节点，排除节点侧问题。
4. 四项都做完仍异常，导出诊断信息后联系支持。

出口地址检查

在 IP 查询页确认国家与城市，与客户端显示的节点一致即通过。

DNS 检查

在 DNS 检测页确认解析服务器列表，不出现本地运营商即通过。

WebRTC 检查

在 WebRTC 检测页确认候选地址只有隧道出口，无 192.168 与 10. 开头地址即通过。

IPv6 检查

在 IPv6 检测页确认不再持有公网地址，或地址已变为隧道地址即通过。

公共网络下的高风险场景酒店、机场、咖啡馆

公共网络的认证页常做 DNS 劫持，把任意域名解析到登录页。此时即便客户端已连接，认证页仍可能拦在前面，造成「连上了但打不开网页」的错觉。

处理办法是先完成门户认证，再开客户端。顺序反过来时，认证页的劫持会被隧道挡住，表现为一直转圈。

三类公共网络的处理顺序

• 酒店门户：先连 Wi-Fi，完成网页认证，再开客户端。
• 机场网络：部分机场屏蔽 UDP，改用 TCP 模式连接。
• 咖啡馆网络：同名热点较多，确认 SSID 后再连。

不建议在公共网络做的事

• 不要在未开启网络锁的情况下登录网银。
• 不要在公共网络里保存密码到浏览器。
• 不要忽略证书警告继续访问。

四个常见误解逐条纠正

关于防泄漏有四类说法流传较广，多数是把不同层面的问题混在一起。下面逐条拆开。

判断标准始终是同一条：流量是否只有一条通道。只要存在第二条通道，泄漏就有可能。

• 误解一：开了 VPN 就不会泄漏。实际上要四个开关都开才完整。
• 误解二：DNS 泄漏只影响隐私。它还会导致解析到错误的 CDN 节点，拖慢访问。
• 误解三：网络锁会拖慢网速。规则本身不参与转发，不影响吞吐。
• 误解四：移动端不需要网络锁。在公共 Wi-Fi 下移动端同样会裸奔。
• 误解五：IPv6 阻断会影响正常上网。多数站点仍提供 IPv4，影响很小。

异常时留下的三类信息不含隐私内容

排查泄漏类问题时，需要的信息比想象中少。版本号、节点地区、诊断日志末段这三项就够了。

诊断日志记录的是握手结果与错误码，不记录访问的网址，也不记录账号密码。

三项信息

• 客户端版本号，形如 v4.2.6。
• 当前节点地区，注意不是延迟数值。
• 诊断日志末段 20 行，含错误码。

错误码速查

• 1xxx：本地权限或防火墙问题。
• 2xxx：账号状态或设备额度问题。
• 3xxx：节点不可达或本地网络拦截。

加密 DNS 的端点怎么选五个端点按延迟就近

内置 5 个 DoH 端点分布在香港、东京、新加坡、洛杉矶与法兰克福。客户端在连接时并行探测，选延迟最低的一个。

端点不可达时会自动切换，切换过程约 0.4–0.9 秒，期间解析会短暂变慢，但不会回落到本地运营商。

端点选择的两个原则

• 就近优先：端点与节点同地区时，解析路径最短。
• 稳定优先：延迟相近时选探测成功率高的端点。

自定义端点的适用场景

• 公司内网有自建 DoH 服务时，填入内网地址。
• 自定义端点需支持 JSON 或 wireformat 两种格式之一。
• 自定义后不再自动切换，端点故障时解析会失败。

策略与边界：本站能做什么、不做什么写清楚才好判断

本站只分发客户端与配置说明，不提供账号代充、不承诺访问特定站点、不做任何形式的流量转售。

页面上的数据均为区间采样值，采样条件写在各表下方。数值会随网络环境变化，判断趋势比记绝对值更有用。

• 不承诺特定站点的可访问性，这取决于对方的风控策略。
• 不提供共享账号，账号额度按在线设备计算。
• 不采集浏览记录，诊断日志也不含访问网址。
• 发现仿冒页面可通过邮箱举报，举报会转交处理。

本页可引用的六个数据点每条带采样条件

下面六条是本页数据的最小集合，每条都带数值与条件，可直接引用。条件不同则数值不同，引用时请连同条件一起引用。

六条数据的采集时间为 2026 年 11 月，客户端版本 v4.2.6，网络环境为 300Mbps 家用宽带。

• 泄漏分布（实测）：20 台受检设备中 DNS 泄漏 13 台、IPv6 泄漏 9 台、WebRTC 泄漏 6 台，存在重叠。
• 加密 DNS 耗时（测试）：解析耗时中位 18–42ms，系统默认模式为 12–30ms，各测 10 次。
• WebRTC 代价（实测）：屏蔽开启后视频通话连接耗时从 1.2 秒升至 2.6–3.9 秒，30 次采样中位 3.1 秒。
• IPv6 支持面（统计）：46 台节点中阻断策略 46 台可用、隧道内转发 31 台可用、放行 46 台可用。
• 断线切断间隔（实测）：Windows 1.1–1.5 秒、macOS 0.8–1.2 秒，各 20 次采样取区间。
• 四项全通过率（采样）：20 台受检设备中 11 台四项全通过，未通过项集中在 IPv6 与 WebRTC。

常见问题按下载与安装顺序排列