前几天用 ChatGPT 的时候，明明挂着 VPN，结果一登录就提示账号异常，直接给我踢下线了。更离谱的是，我尝试上某个金融 App，开着代理还是被检测到真实位置，直接触发了二次验证。
折腾了一整晚，我才搞明白：不是 VPN 不行，而是你的真实 IP 从别的地方"漏"出去了。
今天就把我踩过的坑整理一下，聊聊几种常见的 IP 泄露方式以及怎么防。
一、WebRTC 泄露：最常见的"隐形杀手"
什么是 WebRTC？
WebRTC 是浏览器内置的一个实时通信协议，本来是用来做视频通话、语音聊天的。但问题是，它为了建立点对点连接，会主动收集你的所有网络接口信息——包括你的局域网 IP 和公网 IP。
最坑的是，这个收集过程是绑定在浏览器层的，根本不走代理。也就是说，你挂着 VPN，浏览器照样能把你的真实 IP 抖出去。
我是怎么发现的？
有一次我测试一个海外支付平台，明明全程开着代理，结果提交订单的时候直接被拒了，提示"检测到异常网络环境"。后来我用 WebRTC 检测工具一查，好家伙，我的真实公网 IP 明晃晃地显示在那儿。
怎么修复？
有两个办法：
方法一：安装浏览器插件
最简单的方式是装一个 WebRTC Protect 插件，直接禁用 WebRTC 的 IP 收集功能。
方法二：启动 Chrome 时添加参数
如果你是重度用户，可以在启动 Chrome 的时候加上这些参数：
"$chrome_app" \
--disable-features=WebRTC,WebRTCHideLocalIPsWithMdns \
--force-webrtc-ip-handling-policy=disable_non_proxied_udp \
--webrtc-ip-handling-policy=disable_non_proxied_udp
这样 Chrome 就会强制禁用 WebRTC 的非代理 UDP 请求，从根源上防止泄露。
二、DNS 泄露：你以为加密了，其实没有
DNS 泄露是怎么发生的？
很多人不知道，当你访问一个网站的时候，浏览器会先发一个 DNS 请求去查域名对应的 IP 地址。问题是，这个 DNS 请求可能并没有走你的 VPN 通道。
如果你用的是本地运营商提供的 DNS 服务器（比如电信、联通的默认 DNS），那 DNS 服务器就能看到你的真实公网 IP。
Netflix、Disney+ 这些流媒体平台就特别喜欢用这招。它们会检测你的 DNS 请求来源，如果发现你的 DNS 请求来自中国电信的服务器，但访问 IP 显示在美国，那明显不对劲——直接判定你用代理，给你降级或者封号。
我掉过的坑
有一次我用代理看 Netflix，结果提示"您正在使用代理或解绑器"，看不了任何内容。后来我才发现是 DNS 泄露了：我的代理是美国节点，但 DNS 请求还在走国内的 114.114.114.114，这不是明摆着告诉人家我在用代理吗……
怎么解决？
换成公共 DNS：用 Google DNS（8.8.8.8）或者 Cloudflare DNS（1.1.1.1），这些 DNS 服务器分布在全球各地，不会直接暴露你的地理位置。
开启 VPN 的 DNS 保护：一些好的 VPN 工具会自动把 DNS 请求也导入到 VPN 通道里，比如 SkyVPN 的全局模式就会自动处理 DNS 流量，不需要你手动配置。
检查 DNS 是否泄露：可以用 dnsleaktest.com 测一下，看看你的 DNS 请求到底是从哪儿出去的。
三、STUN 穿透泄露：软件层面的隐患
什么是 STUN？
STUN（Session Traversal Utilities for NAT）是一种用于 NAT 穿透的协议。简单说，就是帮助你的设备在复杂的网络环境下建立直接连接。
问题在于，STUN 服务器需要知道你的真实公网 IP 才能工作。如果你安装的某个软件（比如一些 P2P 下载工具、游戏加速器）启用了 STUN 功能，它就会绕过代理直接联系 STUN 服务器，暴露你的真实 IP。
这种泄露容易被忽略
STUN 泄露跟浏览器无关，是系统层面的问题。我之前用一个 BT 下载软件，明明系统代理已经开了，结果还是被版权方发了警告信。后来才发现是软件自带的 STUN 穿透功能把我的 IP 给泄露了。
怎么防止？
在路由器层面禁用 UPnP 和端口映射：这样软件就没法自动打开端口做 NAT 穿透了。
检查软件设置：很多软件有"禁用 STUN"或"禁用 NAT 穿透"的选项，记得关掉。
使用 TUN 模式：如果你的 VPN 支持 TUN 模式（类似虚拟网卡），开启后所有流量都会强制走 VPN，包括那些试图绕过代理的连接。
四、总结：怎么彻底避免 IP 泄露？
踩了这么多坑，我总结几条经验：
1. 用全局模式 / TUN 模式
如果你的 VPN 支持 TUN 模式，一定要开。TUN 模式会在系统层面创建一个虚拟网卡，把所有网络流量都导入 VPN 通道，从根源上杜绝泄露。
2. 选择"干净"的 IP
我后来换用了 SkyVPN 的独享住宅 IP，主打一个"接近真实家庭宽带"。因为 IP 画像干净，不像数据中心 IP 那样一眼就被识别出来，用在 AI 平台、支付系统上基本不会触发风控。
而且 SkyVPN 支持固定出口，不用每次连接都换 IP，对那些检测"IP 频繁变动"的平台特别友好。
3. 定期检测
建议养成习惯，定期用下面这些工具检测一下：
WebRTC 检测：browserleaks.com/webrtc
DNS 泄露检测：dnsleaktest.com
全面 IP 检测：ipleak.net
4. 不要只依赖浏览器代理
很多人只设置了浏览器代理，以为万事大吉。但实际上，浏览器之外的软件（系统更新、后台同步、IM 工具等）可能都在直接联网。所以一定要开全局代理或者 TUN 模式。
最后说一句，VPN 只是工具，用好用坏全看细节。这几种 IP 泄露的方式，任何一个没防住，都可能让你的真实身份暴露。
希望这篇踩坑记录能帮到同样被风控折腾过的朋友。如果你也有类似的经历，欢迎留言交流！