防止IP泄漏的最佳设置方法

凌晨1:47，我正窝在酒店床上刷剧。手机突然弹出一条推送：“您的账户在新设备登录，IP属地：俄罗斯”。

我愣住了。手机就攥在手里，电脑合着放在桌上，房间里只有空调的嗡鸣。那台“新设备”不是我，那个IP也不是我。我下意识地看了一眼WiFi——酒店公共网络，没有密码，连验证页面都懒得弹。

那一刻我意识到：我的真实IP，连同我的位置、浏览记录、甚至酒店房间号对应的网络出口，可能已经成了暗网上某个数据包里的一行字段。

这不是电影桥段。这是每一个不设防的联网者，都可能撞上的现实。

大多数人对IP泄漏的认知，错得离谱

很多人以为，IP泄漏就是“黑客黑进了我的电脑”。但真正的泄漏往往更安静——它可能是你打开了一封钓鱼邮件里的追踪像素，可能是你连接了一个伪装成“免费WiFi”的恶意热点，也可能是你手机里的某个App在后台悄悄发起了WebRTC请求，把你的家庭IP从浏览器缝隙里“挤”了出去。

我见过最讽刺的案例：一个朋友为了“保护隐私”专门买了VPN，结果用了三个月，某天测试发现，他的真实IP依然通过WebRTC通道裸露在外。VPN的隧道建好了，但浏览器自己开了个“后门”，数据直接从系统网络层绕过了VPN。他全程蒙在鼓里。

这就是IP泄漏最阴险的地方——它不破坏你的使用体验，它只是安静地、持续地把你暴露在探照灯下。

第一道防线：你的VPN，可能正在“假保护”你

要防泄漏，先得搞清楚VPN是怎么工作的。简单说，VPN在你的设备和目标服务器之间挖了一条加密隧道，你的流量从隧道里走，出口IP变成VPN服务器的IP。但这条隧道不是万能的——它只管“经过它”的流量。

问题来了：如果你的系统里，有流量没走这条隧道呢？

检查你的VPN是否真的“全隧道”工作

打开你的终端或命令提示符，输入ipconfig（Windows）或ifconfig（Mac/Linux），看你的默认网关。如果VPN连接后，默认网关还是你本地路由器的IP，那说明你的流量很可能还在走本地网络。真正的VPN连接，应该把默认网关改成虚拟网卡的IP。

更直接的测试：连接VPN后，访问ipleak.net。这个网站会同时检测你的IPv4、IPv6和DNS服务器地址。如果你看到任何一项不是你VPN服务器所在地区的IP，恭喜你，你漏了。

启用“Kill Switch”（紧急断网开关）——这不是可选项

很多人嫌Kill Switch麻烦——VPN一断就断网，多影响效率？但你要想清楚：VPN断线的那几秒钟，你的真实IP会像脱缰的野马一样冲到互联网上。哪怕只有0.5秒，足够让网站服务器记录下你的真实地址。

我现在的做法是：任何设备上安装VPN，第一件事就是打开Kill Switch，并且设置为“严格模式”——即VPN断开时，直接切断所有网络流量，而不是“仅阻止非VPN流量”。这会导致偶尔的断网，但比起IP裸奔，我宁可等那十秒重连。

协议选择：OpenVPN和WireGuard，别用PPTP

PPTP协议在1999年就被认为不安全了，现在还有人在用。它的加密强度相当于用纸糊的盾牌。推荐OpenVPN（兼容性最好）或WireGuard（速度更快，内核级更稳定）。如果你用的VPN客户端默认协议是IKEv2，那也还行，但记得确认它是否支持“重连后自动恢复隧道”功能——有些实现会在重连间隙泄漏流量。

第二道防线：浏览器是IP泄漏的重灾区

你的VPN再稳，浏览器也能给你捅娄子。最臭名昭著的就是WebRTC泄漏。

WebRTC：浏览器自己开的“后门”

WebRTC是浏览器用于音视频通话的功能，它允许网页直接获取你的本地网络信息和公网IP。即使你连接了VPN，WebRTC在特定情况下会绕过代理，直接向STUN服务器发送请求，暴露你的真实IP。

测试方法：访问browserleaks.com/webrtc，如果页面显示出的IP和你的VPN IP不一致，那就是漏了。

解决办法： - Chrome/Edge：安装扩展WebRTC Network Limiter，把设置改为“禁用非代理UDP”和“禁用代理”。 - Firefox：地址栏输入about:config，搜索media.peerconnection.enabled，双击设为false。这是最彻底的办法，但会牺牲所有网页音视频通话功能。 - Safari：在“开发”菜单里，没有直接开关。最稳妥的办法是使用Brave浏览器，它默认屏蔽WebRTC泄漏。

IPv6泄漏：被忽视的“第二身份”

很多VPN只保护IPv4，而你的系统如果同时启用了IPv6，流量可能直接从IPv6网卡出去，绕过VPN。这就像你家大门锁了，但窗户没关。

检查方法：连接VPN后访问test-ipv6.com，如果显示“你的IPv6地址为：xxx”，且这个地址不是你VPN服务器的，那就是漏了。

解决方案： - 在系统网络设置里，直接禁用IPv6（最省事，但可能影响某些现代网络）。 - 或者，在VPN客户端里强制“仅使用IPv4”。大多数主流VPN（如NordVPN、ExpressVPN）在高级设置里都有这个选项。 - 如果你用的是WireGuard，你可以在配置文件的[Interface]部分添加Address = 10.0.0.2/32来强制只走IPv4。

DNS泄漏：你问路的纸条，被人偷看了

即使你的IP没漏，DNS查询也会暴露你访问了哪些网站。如果你用的是本地运营商的DNS，而VPN隧道没接管DNS，那么你每访问一个网站，运营商都看得一清二楚。

测试：访问dnsleaktest.com，运行“Extended Test”。如果结果里出现你本地ISP的名字，那就是DNS泄漏了。

解决：在VPN客户端的设置里，把DNS服务器强制改为1.1.1.1（Cloudflare）或8.8.8.8（Google），并且确保“仅使用VPN提供的DNS”选项是勾选的。有些VPN客户端（如Mullvad）默认就会阻止所有非VPN DNS流量。

第三道防线：场景化防御——你在哪里上网，决定你怎么防

场景一：咖啡店公共WiFi

这是IP泄漏的高发地。公共WiFi通常没有加密，任何同网络的人都能用抓包工具看到你的明文流量（如果没开VPN的话）。但开了VPN也有风险——公共WiFi的网关可能会强制弹出认证页面，这个页面会加载外部资源，从而在VPN隧道建立前就暴露你的IP。

最佳做法：先连上公共WiFi，不要打开任何网页。立刻启动VPN，等待隧道完全建立（客户端显示“已连接”且流量开始走隧道），然后再打开浏览器。如果你用的是Windows，可以在VPN连接后，用route print命令确认所有0.0.0.0路由都指向VPN接口。

场景二：酒店/民宿网络

酒店网络通常是“伪有线”——房间里一个路由器，背后是整个酒店的出口IP。这种网络下，最危险的不是IP泄漏，而是设备被发现。如果你开了文件共享或打印机共享，你的设备名、MAC地址、甚至共享文件夹都可能被同网段的人扫描到。

最佳做法：连接任何陌生网络后，立即在系统设置里关闭“网络发现”和“文件和打印机共享”。在Windows上，把网络配置文件设为“公用”。同时，确保你的防火墙是开启状态。这虽然不直接涉及IP，但能防止你的设备成为“跳板”，间接导致IP被追踪。

场景三：手机热点（你给电脑开热点）

你以为手机热点很安全？错。如果你手机本身没连VPN，而电脑连了VPN，那么电脑的流量从VPN隧道走，但手机的流量（包括你电脑的DNS查询，如果没配置好）可能走的是运营商网络。更微妙的是，如果手机开启了“智能切换网络”功能，当VPN不稳定时，手机会自动切到4G/5G，而电脑的VPN隧道会短暂中断，这时候电脑的流量会瞬间从手机热点泄漏出去。

最佳做法：给手机也装上VPN，并且开启“始终开启”模式。在Android上，可以在VPN设置里打开“始终开启VPN”和“阻止未通过VPN的连接”。在iOS上，使用“按需连接”并配合“断开时阻止所有流量”的配置（需要描述文件或企业级VPN）。

第四道防线：高级玩家的“纵深防御”

如果你对隐私要求极高，比如你是个记者、律师，或者你正在处理敏感商业信息，那么基础设置不够。

双VPN（Multi-hop）——让追踪者绕晕

双VPN就是你的流量经过两个不同国家的VPN服务器。第一个VPN加密你的流量，送到第二个VPN，第二个VPN再解密并发送到目标网站。这样，即使第一个VPN服务器被入侵，对方也只能看到你来自第二个VPN的IP。

设置方法：Mullvad和ProtonVPN支持多跳。在客户端里选择两个节点即可。注意，速度会减半，但安全级别是平方级的。

使用Tor + VPN（Onion over VPN）

先连接VPN，再通过Tor浏览器上网。VPN隐藏你“连接Tor”这个事实（ISP看不到你在用Tor），Tor隐藏你的最终目的地。这是目前对抗国家级监控的黄金组合。

注意：千万不要用“Tor over VPN”（即先连Tor再连VPN），那样反而会暴露你用了Tor。顺序必须是：VPN → Tor。

物理隔离：最笨但最有效的方法

如果你真的担心IP泄漏，那就别让敏感设备联网。用一台没有WiFi模块、没有蓝牙、只插网线的旧电脑，专门处理机密工作。这台电脑的IP只通过路由器的有线端口出去，而路由器上配置了VPN。这样，即使电脑被植入木马，它也无法通过无线方式偷偷发包。

定期“体检”——像刷牙一样测试你的IP

你不能装上VPN就高枕无忧。网络环境在变，VPN客户端在更新，系统也在悄悄改网络配置。我给自己定了一个“每周五下午5点”的例行检查：

1. 连接VPN，打开ipleak.net，检查IPv4、IPv6、DNS三项是否全部是VPN服务器IP。
2. 打开browserleaks.com/webrtc，确认WebRTC不泄漏。
3. 打开dnsleaktest.com，跑一次Extended Test，确认没有本地ISP的DNS服务器。
4. 用ping 8.8.8.8和tracert 1.1.1.1，确认路由路径经过VPN节点（如果第一跳就是本地网关，说明VPN没接管路由）。

这些测试总共花不了5分钟，但能让你在下一个“深夜两点”来临前，有机会把漏洞补上。

回到那个酒店夜晚

那天晚上，我关掉了手机WiFi，改用4G流量，然后打开我的VPN，手动选择了“瑞士”节点——因为我知道，瑞士的日志法对隐私保护最严格。我改了所有账户的密码，启用了两步验证。第二天早上，我找到酒店前台，要求他们检查路由器日志——果然，有一个不属于酒店住客的MAC地址在凌晨时段接入过。

我没法确定那个人是谁，但我知道，如果不是我那天睡前多看了一眼推送，我的IP地址、房间号、以及我浏览过的所有内容，可能已经成了某个数据包里的商品。

现在，我的所有设备都严格遵循着上面那套规则。我甚至把家里的路由器刷成了OpenWrt，在路由器层面强制所有流量走VPN——这样，即使我家人用的设备没装VPN客户端，也不会泄漏。

因为IP泄漏这件事，从来不是“会不会发生”的问题，而是“什么时候发生”的问题。而你要做的，就是让那个“什么时候”永远不来。

---

附：一键自查清单（保存到手机备忘录）

• [ ] VPN已连接，且协议是WireGuard或OpenVPN
• [ ] Kill Switch已开启，且为“严格模式”
• [ ] WebRTC已禁用（浏览器扩展或Firefox配置）
• [ ] IPv6已禁用或强制走VPN
• [ ] DNS设置为1.1.1.1或8.8.8.8，且无本地DNS泄漏
• [ ] 系统防火墙已开启，文件共享已关闭
• [ ] 手机热点场景下，手机也连了VPN
• [ ] 每周五做一次完整泄漏测试