在科普知识讨论中，经常有用户反馈：“明明我已经开启了代理客户端，节点也显示在香港或美国，为什么打开海外网站、流媒体或注册 ChatGPT 时，对方还是能精准识别出我在中国大陆？”
这种情况绝大多数不是机场节点失效，而是发生了 DNS 泄露 或 WebRTC 真实 IP 泄露。本文将从底层通信原理解析这两个致命漏洞，并提供一步到位的修复指南。
一、什么是 DNS 泄露？为什么会导致位置暴露？
1. 传统系统代理的脆弱解析链路
在默认的系统代理（System Proxy / PAC 模式）下，浏览器或系统在向某个目标网站发起请求前，需要先将域名解析为 IP 地址：
[默认系统代理链路]
用户访问 google.com
→ 电脑向本地路由器/国内运营商 (114.114.114.114 / 电信DNS) 发送 DNS 询盘
→ 国内运营商 DNS 解析出目标 IP（此时运营商已知晓你正在尝试访问的域名）
→ 电脑再将数据包通过代理发往境外机场节点
虽然传输的内容走了加密代理通道，但你在哪里向哪个 DNS 发起了解析已被目标服务器获取。目标网站若对客户端发起的 DNS 溯源比对，发现你的 DNS 位于中国大陆，便会判定你处于中国大陆地区，从而触发风控拦截。
2. 远程 DNS 解析与 Fake-IP 机制
现代代理客户端（如 Clash Verge Rev、Mihomo）引入了 Fake-IP 和 Remote DNS 机制：
- 客户端在本地截断所有 DNS 请求，直接返回一个内网虚拟 IP（如
198.18.0.1）。 - 真正的域名直接打包发送给境外的机场落地节点，由落地机房在当地发起原生 DNS 解析。
- 结论：目标网站看到的 DNS 来源完全是境外机房的本地 DNS，绝无泄露风险。
二、WebRTC 泄露：浏览器级别的真实 IP 穿透
WebRTC（Web Real-Time Communication）是一项被现代浏览器广泛支持的网页端音视频实时通信技术。
漏洞成因：STUN/TURN 协议穿透
WebRTC 为了追求极低延迟的 P2P 直连通话，在设计之初就具备穿透 NAT 的能力。它会通过 STUN 服务器向本地网卡发起探测，从而获取客户端的局域网内网 IP 和未经代理的公网出口 IP。
最可怕之处在于：哪怕你的系统代理开启了全局模式，普通的 HTTP/SOCKS5 代理接口也无法拦截 WebRTC 的 UDP 探测数据包。网页只需几行简单的 JavaScript 代码，就能无视代理直接读取并上报你的真实国内 IP！
三、一键自查：你的网络正在泄露吗？
在开启代理状态下，立即打开以下两个权威检测工具：
- DNS 泄露测试：BrowserLeaks DNS Leak
- 观察列表中的国家旗帜。若出现 🇨🇳 中国国旗及国内电信/联通 IP，即存在严重泄露！
- WebRTC 泄露测试：BrowserLeaks WebRTC
- 查看
Public IP Address字段。若显示出你家里的真实宽带 IP，即存在 WebRTC 泄露！
- 查看
四、彻底杜绝泄露的终极解决方案
方案 1：开启代理客户端的 TUN 虚拟网卡模式（最推荐）
在 Clash Verge Rev 或 Mihomo Party 中：
- 以管理员身份运行客户端；
- 安装并启用 TUN Mode（虚拟网卡模式）；
- 确保 DNS 模式设置为
fake-ip； - 此时电脑所有网卡的二层/三层网络流量均被强行拉入代理通道，WebRTC 与本地 DNS 彻底无法绕行。
方案 2：在浏览器端硬核关闭 WebRTC
- Firefox 火狐浏览器：
- 地址栏输入
about:config并回车； - 搜索
media.peerconnection.enabled； - 双击将其值切换为
false。
- 地址栏输入
- Chrome / Edge 浏览器： 在扩展商店搜索并安装官方插件 WebRTC Control，将其图标切换为蓝色（完全禁用模式）。
通过以上两步设置，你即可获得 100% 纯净度无泄露的跨境网络环境，海外严苛风控服务（如 OpenAI、Claude、Netflix 等）将再无理由误封拦截。