VPN的IP和DNS泄漏检测方法及解决办法
IP或DNS泄漏是指部分流量绕过VPN加密隧道直接暴露真实身份，几分钟内用免费工具就能自查，本文教你排查方法和修复思路。
IP或DNS泄漏，指的是即使已经打开了VPN连接，仍有部分请求绕过加密隧道，直接通过本地网络运营商发出。结果就是，设备的真实地址或访问的域名在加密通道之外被暴露出来，而用户自己却以为全部流量都已经受到保护。
为什么会出现泄漏
泄漏的原因通常是技术层面的问题，而不是服务本身“坏了”：
- DNS请求走的是旧路线。 操作系统默认使用路由器或运营商指定的DNS服务器，并不会在开启VPN后自动切换到VPN提供的DNS服务器。
- IPv6和IPv4并行工作。 很多应用只保护IPv4流量，如果设备没有关闭IPv6，相关请求就会直接走原始网络。
- 浏览器的WebRTC。 浏览器用于视频通话的WebRTC技术，即使在VPN已连接的情况下，也可能暴露真实IP地址——这是浏览器本身的特性，与VPN应用无关。
- 网络切换瞬间断开。 在Wi-Fi切换到移动网络等时刻，VPN通道可能会有一两秒的中断，部分请求会趁机绕道发出。
5分钟自查IP和DNS的方法
流程很简单，适用于任何设备：
- 先关闭VPN，记住自己原本的IP地址——大多数IP检测网站会在页面上直接显示这一串数字。
- 打开VPN并连接到服务器。
- 刷新IP检测页面——地址应该完全变成所连接服务器的IP，看不到任何原始地址的痕迹。
- 打开一个专门的DNS泄漏检测网站——它会列出实际处理你请求的DNS服务器。列表里应该只有VPN服务商的服务器，而不能出现你家宽带运营商的服务器。
- 如果用的是浏览器，再额外测一下WebRTC——网上有专门的免费检测页面，一秒钟就能看出浏览器API有没有把真实地址泄露出去。
检测结果对照表
| 检测结果 | 说明 | 该怎么办 |
|---|---|---|
| IP完全变了，DNS只显示VPN的服务器 | 一切正常 | 无需处理，连接已正确保护 |
| IP变了，但DNS列表里出现了本地运营商的服务器 | DNS泄漏 | 在应用设置里开启DNS保护，或更换协议 |
| WebRTC在浏览器里显示真实地址 | 浏览器层面泄漏 | 在浏览器设置里关闭WebRTC，或安装屏蔽插件 |
| IP完全没变 | VPN没有真正连接上 | 检查应用是否确实已连接到服务器 |
怎样从根本上降低泄漏风险
单次检测只能反映当下的状态，更重要的是提前配置好设置，避免泄漏反复出现：
- 打开kill switch（网络锁）。 一旦VPN连接意外断开，这个功能会直接切断网络，而不是让流量偷偷绕道走本地网络。
- 如果应用只保护IPv4流量，就在设备上关闭IPv6，这样全部流量都会走同一条协议线路。
- 选择自带DNS保护的协议。 现在主流的VPN协议通常会让DNS请求和其他流量走同一条加密隧道，不需要额外单独设置。
- 网络切换后随手检测一次。 从Wi-Fi切到移动网络后花几秒钟重新查一下IP，比事后排查问题省时得多。
什么情况需要认真对待
如果换了不同服务器、甚至重装应用之后，检测结果依然稳定地显示泄漏，这时候该做的是带着具体的检测结果（截图）联系客服，而不是自己反复瞎调设置。靠谱的客服应该能说清楚原因，或者直接给出一个不会泄漏的协议方案。
这个话题在公共网络环境下尤其值得关注——详见公共Wi-Fi安全指南；至于如何核实服务商的数据存储承诺，可以看看关于无日志政策的文章。套餐和订阅详情见价格页面。