DNS 泄漏、IPv6 泄漏与 Kill Switch：用 VPN 时怎么确认真的没有漏

“我连了 VPN，所以我的真实信息被隐藏了”——这句话有时成立，有时不成立。VPN 连着，仍然可能在几个地方”漏”。这篇讲常见的泄漏类型、检测和修复。

四种常见泄漏

泄漏类型	发生了什么	暴露了什么
DNS 泄漏	流量走了隧道，但域名解析请求仍发给本地运营商的 DNS	你访问了哪些域名
IPv6 泄漏	VPN 只处理 IPv4，IPv6 流量绕过隧道直接发出	你的真实 IPv6 地址与访问行为
WebRTC 泄漏	浏览器的实时通信功能暴露真实 IP	你的真实公网 IP
断线泄漏	VPN 连接意外断开，流量自动回到普通网络	断线期间的所有访问

Kill Switch：断线时先断网

**Kill Switch（断网保护）**的作用是：一旦 VPN 连接中断，立即阻断所有网络流量，直到隧道恢复，避免”裸奔”。

类型	说明
应用级	只关闭指定应用的联网
系统级	阻断整机网络，更彻底

对需要稳定保护的场景（公共 Wi-Fi、敏感操作）建议开启。

怎么检测

1. DNS 泄漏测试：打开专门的 DNS 泄漏检测网站，看显示的 DNS 服务器是否属于你的 VPN 或可信 DNS，而不是你本地运营商。
2. IP 检测：看显示的 IP 是不是 VPN 服务器的，而不是你家宽带的。
3. IPv6 检测：检测网站里看有没有显示真实的 IPv6 地址。
4. WebRTC 检测：用 WebRTC 泄漏测试页面查看是否暴露了本地与公网 IP。
5. 断线测试：在 VPN 连接时临时断开网络或停掉 VPN，观察 Kill Switch 是否生效。

怎么修复

问题	处理
DNS 泄漏	在 VPN 设置里开启 DNS 保护，或手动设置使用 VPN 提供的 DNS，或使用加密 DNS（DoH、DoT）
IPv6 泄漏	在 VPN 里开启 IPv6 泄漏保护，或在系统里临时禁用 IPv6
WebRTC 泄漏	在浏览器里禁用 WebRTC 或使用相应的扩展
断线泄漏	开启 Kill Switch

和机场的关系

用机场时，类似的问题表现为”DNS 走哪里”。客户端里的 DNS 设置同样重要，见DNS 与 fake-ip。TUN 模式也能让整机流量统一经过代理，见TUN 模式是什么。

一个小建议

不要只看”已连接”的图标。连上之后，主动测一次，尤其是准备做敏感操作之前。基础概念见VPN 是什么。

自测流程：十分钟做完

1. 断开 VPN，打开 IP 检测网站，记下你真实的 IP 与 DNS 服务器。
2. 连接 VPN，刷新检测页，对比：IP 应该变成 VPN 的，DNS 服务器不应是你本地运营商的。
3. 打开 IPv6 检测，如果显示了你真实的 IPv6，说明有泄漏。
4. 打开 WebRTC 检测，看是否暴露真实 IP。
5. 模拟断线：保持 VPN 连接状态，临时关闭网络再恢复，或直接停止 VPN 服务，观察 Kill Switch 是否阻断了流量。
6. 把结果记下来，下次换 VPN 或升级后再测。

检测结果怎么解读

现象	说明	处理
IP 变成 VPN 的，DNS 也是 VPN 的	正常	无需处理
IP 变了，DNS 还是本地运营商	DNS 泄漏	开启 DNS 保护或换 DNS
显示真实 IPv6	IPv6 泄漏	开启 IPv6 保护或临时禁用 IPv6
WebRTC 暴露真实 IP	浏览器泄漏	禁用 WebRTC 或使用扩展
断线后仍能联网	Kill Switch 未生效	开启并确认级别

多久测一次

• 第一次使用某个 VPN 时。
• VPN 或系统有大更新后。
• 换网络环境（家里、公司、公共 Wi-Fi）后。
• 准备做敏感操作之前。