VPN 泄漏是指用户的真实 IP 地址或 DNS 查询在 VPN 连接时意外暴露的问题。以下是常见泄漏类型和防护方法：
常见泄漏类型
1. DNS 泄漏
原因：
- 操作系统绕过 VPN 的 DNS 设置
- VPN 客户端未正确配置 DNS
- 使用 ISP 默认的 DNS 服务器
检测方法：
- 访问 dnsleaktest.com 或 ipleak.net
- 对比 VPN 开启前后的 DNS 服务器
防护措施：
- 强制使用 VPN 提供的 DNS 服务器
- 禁用操作系统 DNS 缓存
- 使用 DNS over HTTPS (DoH) 或 DNS over TLS (DoT)
- 在防火墙规则中阻止非 VPN DNS 查询
2. IPv6 泄漏
原因：
- VPN 只处理 IPv4 流量，IPv6 流量直接通过 ISP
- 操作系统优先使用 IPv6
检测方法：
- 访问 test-ipv6.com
- 检查是否显示 IPv6 地址
防护措施：
- 在 VPN 客户端中禁用 IPv6
- 在操作系统层面禁用 IPv6
- 使用支持 IPv6 的 VPN 协议（如 WireGuard）
3. WebRTC 泄漏
原因：
- WebRTC API 可以绕过 VPN 获取真实 IP
- 浏览器直接建立 P2P 连接
检测方法：
- 访问 browserleaks.com/webrtc
- 查看显示的 IP 地址
防护措施：
- 在浏览器设置中禁用 WebRTC
- 使用浏览器扩展（如 uBlock Origin）阻止 WebRTC
- 使用不支持 WebRTC 的浏览器（如 Tor Browser）
4. Kill Switch 失效
原因：
- VPN 连接意外断开
- Kill Switch 未正确配置或失效
- 应用程序在 VPN 断开后继续使用网络
防护措施：
- 启用并测试 Kill Switch 功能
- 使用防火墙规则阻止非 VPN 流量
- 选择可靠的 VPN 服务商
5. 应用程序泄漏
原因：
- 某些应用程序绕过 VPN（如 BitTorrent）
- 系统服务使用独立网络连接
防护措施：
- 使用 Split Tunneling 配置
- 在防火墙中强制特定应用使用 VPN
- 监控所有网络连接
6. 时间泄漏
原因：
- 系统时间与 VPN 服务器时区不一致
- 某些网站通过时区推断位置
防护措施：
- 同步系统时间
- 使用 VPN 服务器所在时区
7. 超级 Cookie
原因：
- Flash Cookie 或 LocalStorage 泄露位置信息
- 浏览器指纹识别
防护措施：
- 定期清理浏览器数据
- 使用隐私模式
- 使用反指纹浏览器扩展
综合防护策略
1. 选择可靠的 VPN 服务
- 无日志政策
- 经过独立审计
- 提供泄漏保护功能
- 支持多种协议
2. 正确配置 VPN 客户端
- 启用所有泄漏保护选项
- 使用 VPN 提供的 DNS
- 启用 Kill Switch
- 定期更新客户端
3. 系统级防护
- 禁用 IPv6（如不需要）
- 配置防火墙规则
- 定期检查网络连接
- 使用隐私保护工具
4. 浏览器防护
- 禁用 WebRTC
- 使用隐私模式
- 安装隐私保护扩展
- 定期清理 Cookie
5. 定期测试
- 使用多个泄漏检测网站
- 测试不同应用程序
- 检查日志文件
- 监控网络流量
检测工具推荐
- 综合检测：ipleak.net、dnsleaktest.com
- WebRTC 检测：browserleaks.com/webrtc
- IPv6 检测：test-ipv6.com
- DNS 检测：dnsleak.com
- 综合隐私检测：privacy.net/analyzer
最佳实践
- 在使用 VPN 前进行泄漏测试
- 定期检查和更新 VPN 配置
- 使用多个检测工具交叉验证
- 关注 VPN 服务商的安全公告
- 了解不同协议的泄漏风险
- 保持系统和应用程序更新
- 使用多层防护策略