使用代理后仍暴露本地 IP？DNS、WebRTC 与 IPv6 泄露原理

很多人认为浏览器显示的公网 IP 已经变化，就代表所有流量都经过代理。实际上，HTTP 请求、DNS 解析、WebRTC 通信和 IPv6 可能采用不同路径，只检查一个网页显示的出口并不足以确认网络状态。DNS 泄露是常见情况。浏览器访问域名前需要先完成解析，如果代理只转发网页流量，而系统仍使用本地运营商 DNS，权威服务器就可能看到本地网络的递归解析出口。它通常不会直接显示用户的精确地址，但会暴露网络运营商和大致区域，并造成解析结果与代理出口不一致。WebRTC 用于浏览器实时通信，会通过 ICE 机制收集连接候选。现代浏览器已经加强隐私保护，但在部分配置、扩展或旧环境中，WebRTC 仍可能提供局域网地址或与代理不同的公网出口。是否能够检测到候选，也会受到浏览器策略和网络类型影响。IPv6 则容易被忽略。如果代理只支持 IPv4，而系统具备原生 IPv6，浏览器访问支持 IPv6 的网站时可能直接走本地线路。于是普通 IPv4 检测显示代理地址，IPv6 请求却显示真实网络出口。排查时应同时比较 HTTP、DNS、WebRTC 和 IPv6 结果。发现不一致后，优先检查代理是否启用远程 DNS、是否接管 IPv6、浏览器是否存在绕过规则，以及系统是否配置了分流。不要盲目关闭所有网络功能；企业网络、智能 DNS 和规则代理本来就可能按业务分流，关键是结果是否符合自己的预期和安全要求。