什么是 IPv6 泄漏？看到 IPv6 地址不等于代理失效
IPv6 泄漏是指你要求某类流量都经代理，却有 IPv6 请求从本地网络直出。检测页只看到 IPv6 并不能定性，先核对日志、TUN 路由和出口归属。
先看重点看到 IPv6 不一定是泄漏：代理出口本身也可能提供 IPv6。只有当你明确要求流量由代理接管，而检测到的 IPv6 属于本地运营商、请求又没有进入客户端日志时，才有绕过迹象。固定同一浏览器和目标，对比 TUN 开关、日志与 IPv4/IPv6 出口。
IPv4 和 IPv6 是两套可并存的网络路径。设备可能通过 IPv4 进入代理，同时保留一条本地 IPv6 默认路由。若 TUN、系统代理或应用只接住其中一类，网站就可能从另一类地址看到本地出口，这才是常说的 IPv6 泄漏场景。
但检测页显示 IPv6 地址本身不是证据。代理节点也可能正常提供 IPv6 出口。
先辨认看到的是谁的 IPv6
记录三个状态下的结果：
- 客户端完全关闭时的 IPv4/IPv6；
- 系统代理开启时的 IPv4/IPv6；
- TUN 开启时的 IPv4/IPv6。
同时查看客户端日志是否出现检测请求。如果代理开启后的 IPv6 与直连时相同、归属本地运营商，且日志没有对应连接，才有明显绕过迹象。如果地址变成节点或代理提供商的出口，则不能叫本地 IPv6 泄漏。
不要公开粘贴完整 IPv6 地址；保留运营商、国家/地区以及前缀差异已经足够排查。
为什么系统代理更容易出现两条路径
系统 HTTP 代理依赖应用主动使用代理端口。浏览器网页可能遵循它，但某些 UDP、WebRTC、后台服务或自带网络栈的程序不一定遵循。IPv6 并不是特殊地“穿透”代理，而是那项连接根本没有进入代理入口。
TUN 通过虚拟网卡接管范围更广，但也必须存在正确的 IPv6 地址和路由。Mihomo 文档说明，TUN 的 inet6-address 需要顶层 ipv6: true 才生效；strict-route 用于更严格地把连接导入 TUN。只开一个界面开关，不能代替实际路由验证。
DNS 有 AAAA 不等于业务已经泄漏
AAAA 记录只表示域名具有 IPv6 地址。Mihomo 的 dns.ipv6 控制是否返回 IPv6 解析；真正的业务连接仍要经过系统选路和代理入口。
所以这两种情况不同：
- 检测到一次 AAAA 查询：说明解析器知道 IPv6 目标；
- 网站看到本地 IPv6：说明至少一条业务请求从该出口到达。
不要因为 DNS 日志出现 AAAA 就直接关闭网卡 IPv6。
出现绕过后按最小范围修复
- 系统代理只漏某个 App：优先给该 App 配置代理，或单独测试 TUN；
- TUN 漏 IPv6：检查顶层 IPv6、TUN IPv6 地址、自动路由和其他 VPN；
- 本地 IPv6 本身不稳定：先向网络侧排障，再决定是否临时关闭客户端的 IPv6 响应；
- 只有 WebRTC 暴露地址：按 WebRTC 的 ICE 候选与浏览器策略处理。
不建议为了让检测页“全绿”永久禁用操作系统 IPv6。先解决接管不一致；确实无法建立完整 IPv6 代理路径时，再在客户端内做可撤销的关闭对照。
验收不是只刷新一次
修复后重启浏览器和目标 App，在两三个实际站点重复测试，再切换一次 Wi‑Fi/蜂窝或睡眠唤醒。确认 IPv4、IPv6 请求都在日志中，且出口符合预期。缓存、连接复用和网络切换会让一次刷新看起来正常，却不能证明路径长期一致。
如果你还在决定 Clash 的 IPv6 总开关，先看IPv6 应该开启还是关闭；两篇分别回答配置选择与泄漏判定，不能互相替代。
资料来源
以下来源于 2026/8/8 复核。版本、支持平台和发布状态以后续官方页面为准。
持续更新
收到新教程，也欢迎纠错
想收到新文章，可以关注 TG 频道；发现下载失效、套餐变化或步骤不一致，请附上页面链接和可公开的截图。不要发送订阅链接、密码或完整账户信息。
读者互动
这篇内容对你有帮助吗？
最新评论
- 正在加载评论……