很多人以为装了一个 VPN、能连上外网，就等于「隐身」了。但VPN 泄漏这个问题，其实被严重低估了，尤其是在中国这种对网络审查和流量监控都比较敏感的环境里。你以为走在「秘密通道」里，实际上可能已经一路裸奔给运营商、网站甚至攻击者看了个底儿掉。😅
我们口中常说的「VPN 泄漏」，其实主要包括几类：IP 泄漏、DNS 泄漏、WebRTC 泄漏以及流量指纹暴露。IP 泄漏比较直观，本来你希望网站看到的是 VPN 服务器的 IP（比如日本、美国），结果因为客户端 Bug、系统路由配置错误，或者突然断流回落到本地网络，目标网站又看到了你的真实公网 IP，这在国内基本就等于能被精确定位到城市甚至运营商节点。DNS 泄漏则更隐蔽一点：你访问 Google、YouTube，看上去是走的 VPN，但 DNS 解析请求却悄悄直接发给了中国境内的 DNS 服务器（比如运营商自带的 114/电信/联通），等于你访问了什么域名，人家一清二楚。
很多人忽略的还有 WebRTC 泄漏。你在浏览器里开着 Chrome、Edge 或者国产套壳浏览器，哪怕已经连接 VPN，WebRTC 也有可能直接通过本地网络接口把你的内网 IP、甚至真实公网 IP 暴露给网页上的 JS 脚本。简单说，只要你开着某些「视频会议」「P2P 传输」「在线测速」网站，对方就有机会绕过 VPN，看到你真实网络环境。这种泄漏在使用一些「全局模式但浏览器没正确配置」的场景中特别常见。
再说一个比较被误解的点：很多所谓“加速器”“游戏梯子”“海外加速 VPN”根本不是严格意义上的安全 VPN。有的只是简单的 HTTP/HTTPS 代理，甚至是明文传输；有的连最基本的 DNS 泄漏防护、IPv6 禁用、防断流保护都没有，更别提什么「无日志政策」了。你以为自己是在「科学上网」，实际上可能是把自己的所有浏览记录完整打包送给一个来路不明的小团队，连服务器在哪个国家都说不清。这种情况下谈什么隐私保护都是奢侈。
那怎么降低 VPN 泄漏的风险？先说几个实用点：
- 选服务商时，尽量找支持 Kill Switch（断线保护）、DNS 泄漏防护、自家加密 DNS 或 DoH/DoT的，少用免费 VPN 和来历不明的破解版。
- 连接之后，用
ipleak.net、dnsleaktest.com这类网站测试一下，看看显示的 IP、DNS 服务器是不是都在你选的节点所在国家。 - 在浏览器里手动关闭 WebRTC 或用扩展屏蔽相关请求（Firefox 相对容易设置，Chrome 需要插件或策略）。
- 尽量避免多开「梯子套梯子」，比如系统开一个 VPN，浏览器再开一个插件 VPN，这种叠加往往更容易出错导致泄漏。
- 不要对 VPN 有「绝对安全」幻觉，翻墙只是绕过了地理和封锁层面，不等于你在互联网上隐形。Google、Facebook 仍然可以用 Cookie、指纹识别精准锁定你。
总之，VPN 是工具，不是护身符。在中国用 VPN 翻墙，既要考虑「连得上」，也要认真想想「有没有在泄漏」。与其只关心速度和节点多少，不如花点时间搞清楚自己到底暴露了哪些信息——因为在这个时代，被谁看到什么，比看到什么更重要。
什么是 VPN 泄漏：最常见的几种类型
很多人以为，连上 VPN、节点一选，IP 一改，自己就从此“隐身”了。其实未必。所谓 VPN 泄漏，就是在你以为所有流量都乖乖走 VPN 通道的时候，操作系统或应用却绕开了这条“加密隧道”，把真实 IP、DNS 请求甚至位置等信息直接暴露给外网服务器或运营商。对国内用户来说，这种情况在翻墙上网、登录敏感账号、下载种子时都会埋下风险：一边显示自己在“美国加州”，另一边真实流量还在从“成都电信”大摇大摆地出去。😅
常见的几种 VPN 泄漏类型，其实大多数跟系统默认设置和协议细节有关：
1. IP 泄漏
这是最直观的一种。正常情况下，你访问网站时对方只应该看到你的 VPN 出口 IP。但如果 VPN 客户端出现短暂断线重连、路由表没配置好，或者某些软件（比如游戏启动器、云盘客户端）强行走本地网络直连，就可能出现 真实公网 IP 被直接暴露 的情况。尤其是使用浏览器分应用代理、拦截广告插件时，如果规则没写好，就会出现“这个请求走代理，那个请求走直连”的诡异场面。
2. DNS 泄漏
很多人只盯着 IP，看不到更隐蔽的 DNS。DNS 泄漏指的是：你访问 Google、YouTube 时网页内容是走 VPN 的，但域名解析请求却直接发给了本地运营商 DNS（比如 114.114.114.114、ISP 自带的 DNS）。结果就是：对方网站只看到了代理 IP，而你的运营商却准确知道你正在访问哪些被墙站点。对翻墙用户来说，这类 DNS 泄漏 在 Windows 和安卓上都比较常见，特别是没有开启“强制所有流量走 VPN”或者没禁用“智能多线加速”“运营商安全 DNS”之类功能时。
3. IPv6 泄漏
很多 VPN 只认真处理 IPv4，却完全忽略了 IPv6 流量。而国内不少宽带、手机网络都已经默认开了 IPv6。结果就是：浏览器等应用访问支持 IPv6 的网站时，会直接用本地的 IPv6 地址连接，绕过了 VPN 通道；网站那边看到的，是你真实的 IPv6 段信息，甚至能大致推到你是哪个省市哪个运营商。这种泄漏往往极其隐蔽，因为你在浏览器里一查 IP，以为是美国、日本节点，实则另一条 IPv6 正在裸奔。
4. WebRTC 泄漏
WebRTC 是浏览器里用来点对点语音通话、视频会议的一套技术，但顺带一个“副作用”：它可以探测你的真实局域网 IP，甚至在某些情况下探测到你的真实公网 IP，并通过 JS 暴露给网站。哪怕你开着 VPN，只要浏览器没禁用 WebRTC 或没限制其 STUN 请求，就可能遭遇 WebRTC IP 泄漏。这在 Chrome、Firefox、Edge 上都要特别注意，很多国外隐私测 IP 的网站，一点“检测泄漏”就能立刻把你的内网地址和真实 IP 翻出来。
5. Kill Switch 失效带来的瞬时泄漏
不少翻墙用户可能会开启“网络锁”“Kill Switch”功能，理论上，一旦 VPN 掉线就自动切断所有网络，避免暴露真正 IP。但有些 VPN 客户端只做了应用层拦截，或者在系统重连 Wi-Fi / 切换 4G 的瞬间没来得及接管路由，给真实流量留下了几秒甚至几十秒的直连窗口。你此时如果在登录社交账号、发敏感内容，所有操作就可能和真实 IP 绑定。
VPN 泄漏本质上不是“VPN 不安全”，而是系统网络栈、浏览器特性、IPv6/DNS 配置这些细节在和 VPN 配合时，出现了各种“绕路”。对中国用户来说，如果你真的在意 隐私、匿名性、安全翻墙，除了选靠谱的 VPN 服务商，更重要的是：了解 IP 泄漏、DNS 泄漏、IPv6 泄漏、WebRTC 泄漏 这些概念，定期用检测工具跑一遍，发现异常及时调整设置，而不是盲目信任“已连接”这四个字。只有搞清原理，才能避免“以为自己隐身，其实全网都看得到你”的尴尬场面。
为什么中国用户更容易遇到 VPN 泄漏
如果你长期在国内「翻墙」冲浪，可能会发现一个尴尬现实：中国用户其实比很多国家的用户更容易遇到 VPN 泄漏问题。所谓 VPN 泄漏（VPN Leak），指的是你以为流量都走了加密隧道，实际上 DNS 请求、真实 IP、甚至部分流量还在裸奔，被运营商、审查系统或者目标网站看到。这背后的原因，并不是单纯「VPN 不安全」这么一句话能解释的，而是技术、监管、使用习惯、多层网络结构共同作用的结果。🙂
首先，国内网络环境本身就非常特殊。GFW（防火长城）不仅仅是「墙」那么简单，更是一整套复杂的流量识别和干预系统。它会做 DPI（深度包检测）、特征识别、流量统计，甚至对加密流量的行为模式进行分析。很多海外 VPN 在设计之初假设的是「不被第三方监听」的威胁模型，而不是「对手会主动攻击连接本身」，这就导致：在中国环境下，一些原本在欧美用得挺安全的 VPN 协议，比如 PPTP、L2TP/IPsec，甚至部分配置不当的 OpenVPN，都会被限速、阻断或强制重连。频繁断连 + 自动重连就特别容易出现 DNS 泄漏、IP 泄漏：系统在 VPN 掉线瞬间，直接用本地网络发出请求，而用户往往毫无察觉。
其次，中国用户的设备和系统设置本身就不利于隐私保护。很多人用的是国产安卓魔改系统，各种预装软件、系统级「安全加速」、流量劫持、运营商定向免流，这些东西在本质上都在不同程度地「接管」网络栈。你在表面上连着某个「科学上网」工具，但同时系统底层可能还在把 DNS 请求改写到 运营商 DNS 或 114DNS，或者通过透明代理做广告注入。再加上很多所谓的「加速器」「手游外服加速」其实就是简化版 VPN/代理，极少有严格的无日志策略或真正的加密实现，更别提什么 DNS over HTTPS、IPv6 泄漏防护了。结果就是：你以为自己开着 VPN 很安全，实际上只是多绕了一圈国内服务器，对 GFW 和运营商完全裸奔。
第三，中国用户的使用场景和心态也在无形中放大了泄漏风险。很多人翻墙的行为，本身就和敏感话题、隐私内容挂钩：比如访问推特、Telegram、境外新闻网站，或者进行加密货币相关操作。但与此同时，选 VPN 的标准却往往是「便宜」「节点多」「速度快」，甚至直接从百度/某宝/QQ群随便买一个「共享账号」「机场」，压根不关心是否支持防 DNS 泄漏、是否禁用 WebRTC、是否有 Killswitch（断网保护）。再加上不少人同时开着国产浏览器、国产输入法、同步剪贴板、云笔记，这些应用层的数据上传本身就绕过了某些 VPN 代理规则，造成局部流量绕路——即便 IP 被隐藏了，行为特征、账号信息、设备指纹可能早就对上了号。
还有一个容易被忽略的问题是：协议和工具选择不当。在中国环境下，传统 VPN 协议经常因为特征明显而被重点打击，于是各种「机场」改用 Shadowsocks、V2Ray、Trojan、Reality 等更隐蔽的代理协议。问题来了：很多客户端只是简单配置「代理」，并不是系统级全局 VPN，DNS 依然走本地；或者仅仅代理 TCP 流量，UDP（包括部分 DNS、游戏数据）直接裸奔出境，形成典型的「VPN 只代理浏览器，其他应用裸连」场景。再叠加 Chrome/Edge 里的 WebRTC、浏览器预解析（DNS Prefetch）、智能路由等机制，就非常容易在你不经意间暴露真实 IP 或本地 DNS 服务器。
综上，中国用户更容易遇到 VPN 泄漏，不是因为「中国人不会用 VPN」，而是网络审查强度高、系统环境复杂、工具鱼龙混杂、用户安全意识与真实风险不匹配多因素叠加的结果。想要尽量降低泄漏风险，至少要做到：选真正有口碑的隐私优先服务商（而不是随便一个「翻墙神器」）、在客户端里开启防 DNS 泄漏和 Killswitch、关闭浏览器 WebRTC、尽量使用系统级全局代理而不是「只代理浏览器」，以及定期用「what is my ip」「DNS leak test」之类的网站做自查。在中国翻墙，本质上就是在一个更激进的威胁模型下玩信息安全，把自己当成隐私保护的高风险用户来对待，才是比较现实的心态。
如何检测自己的 VPN 是否存在泄漏
先说结论：想知道自己的 VPN 有没有泄漏，核心就三点：IP 有没有暴露、DNS 有没有跑偏、流量有没有绕过 VPN 直接出国/出境。下面用比较接地气、适合在国内“科学上网”场景下的方式讲讲，怎么自己动手做一套简单但靠谱的检测。
很多人翻墙只看一个：连上之后 Google 能打开、YouTube 能看，就觉得一切安全无虞。其实这只能说明你“连出去了”，并不等于你“没在裸奔”。VPN 泄漏常见的有三种：IP 泄漏、DNS 泄漏、WebRTC 泄漏，再加上一个大家经常忽略的——分流策略配置错误。
1. 先看公网 IP：我到底“看起来”在哪儿？🌍
第一步最简单，连上 VPN 后，用浏览器打开几个 IP 检测站，比如：
https://ipleak.nethttps://ipinfo.iohttps://whatismyipaddress.com
注意几点：
- 先断开 VPN，查一次 IP，记住你在运营商那边的真实出口 IP 所属城市/运营商。
- 再连上 VPN，再查一遍，看 IP 所在国家/地区是不是你选的节点（比如美国、日本、香港）。
- 如果有多个 IP 同时显示，而其中一个明显是你本地运营商的（China Telecom / China Unicom / CMCC），那大概率存在 IP 泄漏或部分流量没走 VPN。
2. DNS 泄漏：你的“上网习惯”暴露给谁了？🔍
很多人只盯着 IP，却忽略了 DNS。简单理解：
- IP 是“你从哪里上网”；
- DNS 是“你都去过哪些网站”。
在国内翻墙，如果 DNS 请求直接发给了本地运营商或者某些公共 DNS（比如 114DNS、某些本地教育网 DNS），就说明DNS 泄漏。
具体做法：
- 连上 VPN 后，访问：
https://dnsleaktest.com- 选择 Extended test（完整测试）。
- 看返回的 DNS 服务器：
- 理想情况：只看到你 VPN 提供商所在国家/地区的 DNS，或者 Cloudflare(1.1.1.1)、Google DNS(8.8.8.8)、Quad9 等公共 DNS，且国家/地区和节点匹配。
- 危险信号：出现 China Telecom / China Unicom / China Mobile / 阿里云 / 腾讯云 等中国大陆的 DNS 服务器，就说明 DNS 请求绕过了 VPN，在本地被解析了。
造成 DNS 泄漏的常见原因：
- 只在浏览器里装了“翻墙插件”，而系统层面的 DNS 还是直连；
- VPN / 代理软件没有勾选「强制使用远程 DNS」或类似选项；
- 系统手动写死了本地 DNS（比如 223.5.5.5、114.114.114.114）。
3. WebRTC 泄漏：浏览器帮你“出卖”内网 IP 😅
如果你经常用 Chrome / Edge / Firefox，再加上喜欢开视频会议或 P2P 下载，就需要注意 WebRTC 泄漏问题。WebRTC 会为了建立点对点连接，尝试探测你的真实局域网 IP，甚至有时候能暴露出你的运营商出口信息。
检测方式：
- 连上 VPN 后，打开：
https://browserleaks.com/webrtc- 或
https://ipleak.net页面中的 WebRTC 部分。 - 看它显示的 IP：
- 如果只出现 VPN 分配的 IP 或局域网私网 IP（如 192.168.x.x、10.x.x.x），一般问题不大；
- 如果出现中国运营商的公网 IP，就有 WebRTC 泄漏风险。
解决思路：
- 在浏览器中关闭 WebRTC（需要装扩展或改高级设置）；
- 或者使用支持“阻止 WebRTC 泄漏”的插件 / 浏览器配置。
4. 分应用代理 & 分流策略：别让某些软件偷偷走直连 🚦
很多人现在用的是 Clash、Surge、Quantumult X 这类规则分流工具：
- 浏览器走代理，
- 游戏、国内网站走直连，
- 某些软件半代理半直连。
问题是：一旦规则写得不严谨，就会出现“你以为在墙外，其实部分流量还在墙内裸奔”的情况。
自检方式：
- 找一款支持“连接日志”的代理客户端（Clash Verge / Clash for Windows 等）。
- 打开日志，观察常用软件（微信、QQ、迅雷、各类网盘客户端）的连接是 DIRECT 还是走 PROXY。
- 对隐私敏感的应用（BT 下载、PT、特殊 IM 软件）尽量强制走代理，或者干脆单独在虚拟机 / 容器里跑，整机走 VPN。
小结一下，自测 VPN 是否泄漏的实用 checklist ✅：
- 不连 VPN 看一次 IP；连 VPN 再看一次 IP，确认是否只剩下 VPN 节点信息。
- 上 dnsleaktest 做 Extended test，确认没有大陆运营商 DNS。
- 查 WebRTC 泄漏情况，必要时在浏览器里关掉 WebRTC。
- 查看代理软件日志，确认隐私敏感流量没有走 DIRECT。
- 不定期重复测试，尤其是换了节点、换了客户端、换了协议之后。
只要把这几步形成习惯，基本能避免大部分“以为开了 VPN 就很安全，结果该露的都露了”的尴尬局面。
常见 VPN 泄漏的技术成因
从技术角度看，很多人以为“连上 VPN = 绝对安全”，但常见的 VPN 泄漏问题其实非常多，而且对国内用户翻墙来说，一旦 IP、DNS、流量特征泄露，被精准“画像”的风险就上来了。常见几种泄漏成因，背后都能找到比较具体、可解释的技术逻辑。
1. DNS 泄漏：系统层级搞不清“谁说了算”
典型场景：你已经连上 VPN，IP 地址看起来是国外的，但是访问网站时的域名解析（DNS Query）仍然绕过了 VPN，直接发给本地运营商（比如电信/移动/联通）的 DNS。原因在于很多 VPN 客户端只是建立了一个“默认路由”或者添加了一条到虚拟网卡的路由，但没有强制所有 DNS 请求走 VPN 通道。Windows 上尤其常见：系统会根据“接口优先级”和“DNS 缓存策略”来决定用哪个 DNS 服务器，如果 VPN 配置不严，系统可能认为本地物理网卡的 DNS 服务器更“可靠”，于是请求就直接出现在国内网络里了。更糟的是，部分浏览器（Chrome、Edge）还会启用 DoH（DNS over HTTPS），如果你没改它的配置，DNS 请求可能跑到浏览器自己的 DoH 服务器，与 VPN 的 DNS 策略再次打架，导致局部流量翻墙，DNS 没翻墙的诡异状态。
2. IPv6 泄漏：VPN 只管 IPv4，不管“第二条通道”
很多翻墙环境下，VPN 提供商只封装 IPv4 流量，而国内运营商近几年大力推进 IPv6，如果你的系统已经拿到一个 IPv6 地址，那就变成：IPv4 走 VPN，IPv6 直接裸奔。在技术实现上，如果 VPN 客户端没有创建相应的 IPv6 路由、没有禁用本机 IPv6 协议栈，浏览器访问支持 IPv6 的网站时，会优先走 IPv6，结果 IP 泄漏得干干净净。很多所谓的“IP 测试网站”默认只测 IPv4，用户误以为自己“很安全”，但只要打开能测试 IPv6 的站点，就会发现真实网络环境完全暴露。部分“机场”也会直接建议：在本机禁用 IPv6，本质就是用粗暴方式挡住这条漏水的管道。
3. WebRTC 泄漏：浏览器自己搞了个“小旁路”
WebRTC 是浏览器里的实时通信技术（音视频、P2P 连接等），为了高效建立点对点连接，它会主动枚举本机的网络接口，包括内网 IP、真实公网 IP、VPN 虚拟 IP。如果浏览器配置不当（尤其是 Chrome、Firefox、国产浏览器魔改版），JavaScript 页面通过 WebRTC 的 STUN 请求就能探测到绕过 VPN 的真实 IP 地址。从网络角度讲，这种 STUN 测试在系统层面不一定走 VPN 设定的“默认路由”，就好比专门开了一条“打洞”通路。所以在隐私社区里，WebRTC IP 泄漏几乎是浏览器层面最常见的问题之一，解决方案通常是在浏览器里关闭 WebRTC 或屏蔽其泄露候选地址，或者用插件做细粒度控制。
4. Kill Switch 缺失：断线瞬间“露底”
不少人忽视的一个场景是：VPN 连接一旦不稳定，中间短暂掉线，但系统网络是持续连着的，这时候所有流量会立刻回落到本地网络直连状态。如果 VPN 软件没有实现Kill Switch（断线保护）——也就是在隧道断开时自动阻断所有外联连接——那你的浏览行为就会在那几秒钟甚至几分钟内直接暴露给本地 ISP 和上游路由器。日志里看起来就是：之前是某个境外 IP，然后突然变成本地出口 IP，准确标记出“翻墙用户”。从实现上，一个合格的 Kill Switch 通常会通过系统防火墙（Windows Firewall、iptables、pf 等）钉死“只允许通过 VPN 虚拟网卡出网”，一旦虚拟网卡不可用，所有出站连接都被丢弃。
5. 应用绕过 VPN：分流规则/透明代理的副作用
最后一种更隐蔽：很多人喜欢用带“分流规则”的客户端（比如各种 Clash、V2Ray GUI），配置“哪些域名走代理，哪些直连”。如果规则写得不严谨，或者应用本身使用系统外的网络栈（游戏、P2P、某些国产软件），就会出现部分流量根本没有被代理接管，直接从本地网络出去了。技术上，这跟“全局模式 vs 规则模式”密切相关：所谓规则模式其实是根据目标域名/IP 动态决定是否把连接转发给本地代理端口，如果某些请求在 DNS 阶段就被截胡，或者目标 IP 未被匹配上规则，就会直接走“直连”。
VPN 泄漏本质上是：多个网络层次（系统路由、DNS、浏览器、应用层代理）之间的策略不一致。对于翻墙用户，想降低暴露风险，关键是：
- 优先使用支持 IPv6、防 DNS 泄漏、Kill Switch 的客户端；
- 在浏览器里检查并控制 WebRTC、DoH 设置；
- 尽量用“全局代理 + 严格防火墙”模式，而不是依赖模糊的分流规则。
并不是“有 VPN 就万事大吉”，而是要尽量让所有出口路径都只剩下 VPN 这一条，才能谈得上相对安全。
防止 VPN 泄漏的实用解决方案
在国内用 VPN 翻墙，真正危险的往往不是“连不上”，而是“不知不觉在泄漏”。很多人只知道点开客户端连上就完事了，但 DNS 泄漏、IPv6 泄漏、WebRTC 泄漏、应用直连这些问题，随便中一个，你以为自己在“外网冲浪”，实际上 IP 早就裸奔在墙内了。下面结合自己踩坑经验，说几个相对务实、普通用户也能操作的防泄漏方案，尽量避开纯理论空谈。🙂
首先是最基础、但经常被忽略的：选一个靠谱的 VPN / 代理方案。不是所有“科学上网工具”都有完善的 leak protection，有的只是套个壳的简单代理。比较理想的是：
- 客户端里有 Kill Switch（网络锁 / 断网保护） 功能，一旦 VPN 断开，系统网络直接被切断，避免瞬间走回本地网络暴露真实 IP；
- 支持手动设置 自定义 DNS，或者明确标注有 DNS leak protection，确保解析请求不会跑回运营商的 DNS；
- 对 IPv6 有明确策略——要么完整支持，要么直接禁用，而不是“爱管不管”。
第二步，是很多人压根没注意过的：在操作系统层面做一层兜底。比如：
- 禁用 IPv6：在 Windows 网络适配器属性里取消勾选 IPv6，macOS 在网络设置里手动关闭。因为很多 VPN 只接管 IPv4 流量，IPv6 走本地，一查就穿帮；
- 给当前网络配置 静态 DNS，例如公共 DNS（如 1.1.1.1 / 8.8.8.8 等），再配合 VPN 的 DNS 转发，至少不会直接泄到本地运营商；
- 开启系统级的 防火墙规则，把非 VPN 适配器的出站连接限制到最小，甚至可以用“仅允许走某个虚拟网卡”的方式，进一步降低直连风险。
第三类是浏览器相关的WebRTC / 浏览器指纹问题。很多人翻墙场景都是刷 YouTube、Twitter、Reddit，用的自然是浏览器，但 Chrome / Edge / Firefox 默认情况下，WebRTC 可能会直接暴露你的本地 IP：
- 在浏览器里安装像 uBlock Origin + WebRTC 控制扩展（如“WebRTC Network Limiter”之类），把 WebRTC 访问限制在“仅通过代理”；
- 尽量减少乱装奇怪扩展，特别是带“免费 VPN / 加速 / 安全浏览”字样的插件，部分本身就是“数据收集器”；
- 分浏览器使用：可以搞一个“翻墙专用浏览器”，所有登录外网账号（Google、GitHub、X 等）只在这个浏览器里开，配合代理插件和隐私扩展，形成一套相对干净的“外网身份”。
第四点是容易被忽略但很关键的：避免应用直连。有些软件（比如云盘客户端、聊天工具、游戏启动器）会绕过系统代理直连国内服务器，甚至在后台频繁打点：
- 能在 VPN 客户端里设置 “只允许指定应用走网”（即 App Filter / Split Tunneling 反向用法）的，可以只让浏览器和少数必要软件连网，其他默认禁网；
- 在桌面系统上，尽量避免用国产浏览器做主要翻墙工具，它们集成的各种服务、同步、推送，很难保证不走“特殊通道”；
- 手机端可以考虑用 Clash / Surge / Shadowrocket 这类带细粒度规则的工具，把国内 App 和国外 App 分网处理，避免两边账号、数据混在一起。
最后是自查和习惯问题。任何配置完，都建议用几个站点检测一下：
- 搜索
ip leak test/dns leak test，看自己的 IP、DNS 是否一致、是否暴露本地运营商； - 重要操作（比如登录主力邮箱、云盘、开发账号）尽量保持“同一套路线”：同一节点 + 同一浏览器 + 同一设备，别一会儿家宽翻、一会儿手机 4G 掉线直连，一会儿办公室再来一套，很容易触发风控；
- 默认心态是：VPN 有可能随时断线。所以做长期操作前先看一眼图标是否在线，多这一眼，有时候就是少一个“异常登录提示”。
如果你是在国内长期翻墙：“工具选型 + 系统设置 + 浏览器防护 + 应用分流 + 定期自查” 这五件事做到 60 分以上，绝大多数常见的 VPN 泄漏场景就能规避掉了。别追求“绝对匿名”，先做到“不轻易裸奔”，已经甩开大部分人一大截。
