安全与隐私 · Clash 技术博客

Clash 会泄露真实 IP 吗？DNS、WebRTC 与 IPv6 泄露检查方法

检测页的本地地址或地区差异不能单独证明泄露。分别检查出口 IP、DNS、WebRTC 与 IPv6，确认哪些请求绕过 Clash；只调整已证实的异常，并对照修复前后的结果。

阅读正文返回博客
  • DNS 泄露
  • WebRTC
  • IPv6
  • 隐私
本文目录
文章作者
Clash 官方
发布日期
更新时间
预计阅读
约 9 分钟

检测页出现家里的私有地址，或显示的地区和节点名称不同，很容易让人担心代理泄露。先弄清页面显示的是网站出口、解析服务器，还是浏览器发现的通信地址，再与直连结果对照。只处理已证实绕过代理的请求，也要确认会议和正常联网没有被误伤。

公网 IPv4、IPv6、DNS 与 WebRTC，各自说明什么？

在同一浏览器和网络下分别记录 IPv4、IPv6、DNS 与 WebRTC，标出哪些是本地运营商的公网地址。WebRTC 用于浏览器语音和视频通信，它发现的地址不等于网站看到的出口；Clash 也不会自动让这些请求经过同一出口。

不要混为一谈

检测项它回答的问题需要检查的结果检测入口
公网 IPv4网站看到哪个出口本应走代理的请求，仍显示本地运营商公网出口BrowserLeaks IPv4 / IPv6
公网 IPv6IPv6 是否走同一接管方式IPv4 走节点、IPv6 仍从本地直出BrowserLeaks IPv4 / IPv6
DNS 服务器查询可能由谁完成与配置不符并导致域名绕开预期规则BrowserLeaks DNS
WebRTC 候选地址浏览器为实时通信发现了什么地址出现不符合预期的真实公网出口；192.168/10.x 本身不是公网泄露BrowserLeaks WebRTC

打开表中的 IPv4 / IPv6 或 WebRTC 入口：Your Remote IP 下读取 IPv4 Address、IPv6 Address；Your WebRTC IP 下读取 Local IP Address、Public IP Address。把公网结果与直连记录对照，私有地址仍按表中含义判断。

打开 DNS 入口后点击 Run DNS Leak Test，记录 Your DNS Servers 列表，再与配置及直连结果比较。页面提示 JavaScript Disabled、结果为空或测试未完成时，不能据此认定没有泄露。

直连、系统代理、TUN 各测一次

检测页本身不是结论，前后两次结果才有意义。使用同一个浏览器、同一个网络和同一检测页，只改变 Clash 的接管方式，并把四项结果并排保存。

可比较的测试

  1. 完全退出代理记录直连

    保存 IPv4、IPv6、DNS 和 WebRTC 四项，不只截一个绿色结果。

  2. 开启系统代理

    新建无痕窗口再次检测，确认浏览器请求的出口变化。

  3. 需要时开启 TUN

    仍用同一网络和节点测试，观察 IPv6 与不读取系统代理的应用。

  4. 每次都看连接页

    检测域名出现、规则和出站一致，结果才与当前 Clash 配置相关。

只有 Chrome 的 DNS 结果不同，检查安全 DNS

Chrome 在“设置 → 隐私和安全 → 安全性”里可以单独启用安全 DNS；Firefox 的 DNS over HTTPS 位于隐私设置。浏览器启用独立 DoH 后，查询可能不再经过系统 DNS，Clash 的系统代理又未必接管这条解析请求。

短时间关闭浏览器 DoH，完全退出并重开浏览器。如果 DNS 结果回到 Clash 预期入口，说明浏览器解析设置影响了这次结果；随后可以选择继续由浏览器处理，或者统一交给 Mihomo，避免浏览器、系统和内核同时改写解析设置。

WebRTC 显示私有地址，和暴露公网地址有什么区别？

WebRTC 为语音、视频和点对点通信收集候选地址。现代浏览器可能把本地地址隐藏成 mDNS 名称，也可能显示私有网段；这些信息能说明局域网环境，却不能从互联网直接路由到你的电脑。

需要处理的是：本应走代理的请求，仍向对端暴露本地运营商的公网 IPv4 或 IPv6。完全禁用 WebRTC 会让网页会议和屏幕共享失效，优先使用浏览器的地址限制选项，并在 Zoom、Meet 或 Slack Huddle 里重新验证功能。

IPv4 走节点、IPv6 直出时，检查接管设置

系统代理通常处理应用明确交给代理的请求，不保证所有 IPv6 连接都被接管。TUN 是否处理 IPv6 又取决于客户端版本、路由和配置。先确认业务是否需要 IPv6；不能接管时，临时关闭 IPv6 做对照比在规则末尾盲目 REJECT 更能说明原因。

只作排查示意，启用前确认客户端生成配置不会覆盖
dns:
  enable: true
  ipv6: false
  enhanced-mode: fake-ip

# 若明确需要 IPv6，应改为让当前 TUN 与规则完整接管，
# 而不是长期依赖 ipv6: false。

公网 IP、DNS 和私有地址，分别怎样判断和处理？

公网 IPv4 仍是本地出口

浏览器请求未走预期代理节点，查系统代理、扩展或规则命中。

IPv4 是节点，IPv6 是本地出口

查 TUN 的 IPv6 路由；不需要 IPv6 时可按系统方式禁用做对照。

只有 DNS 与预期不同

查浏览器 DoH、系统 DNS 与 Mihomo DNS 谁在实际处理。

只显示局域网私有地址

先确认是否还有真实公网候选，不要把私有地址直接判为泄露。

参考资料