Clash梯子网

1
 ┌─────────────────────────────────────────────────────────────────────────────────────────────┐
2
 │                                   【IP 泄漏检测结果真实性自查表】                          │
3
 ├──────────────────────────────┬──────────────────────────────┬──────────────────────────────┤
4
 │ 检测页面展示的地址类型       │ 地址本质属性                 │ 是否属于真实公网 IP 泄漏     │
5
 ├──────────────────────────────┼──────────────────────────────┼──────────────────────────────┤
6
 │ 🟢 `192.168.x.x` / `10.x.x.x`│ 路由器分配的私有局域网 IP    │ ❌ **绝非泄漏！外网无法寻址**│
7
 │ 🟢 `172.16.x.x ~ 31.x.x`     │ RFC 1918 私有内网保留段      │ ❌ **绝非泄漏！仅限内网通信**│
8
 │ 🟢 `100.64.0.0/10`           │ 运营商 CGNAT 共享内网段      │ ❌ **绝非独享公网暴露**      │
9
 │ 🟢 `xxxx.local` (mDNS)       │ 浏览器 WebRTC 随机脱敏标识   │ ❌ **现代浏览器隐私保护机制**│
10
 │ 🔴 **本地宽带真实 IPv4 地址**│ 你家电信/联通未翻墙时的出口  │ ⚠️ **确属 IPv4 旁路泄漏**    │
11
 │ 🔴 **本地运营商分配的 IPv6** │ 手机 5G / 宽带原生 IPv6 地址 │ ⚠️ **确属 IPv6 直连泄漏**    │
12
 └──────────────────────────────┴──────────────────────────────┴──────────────────────────────┘

1
                                  【四类网络泄漏与旁路路径图】
2

3
                    ┌── 1. IPv4 旁路 ──► (不走代理的特定 App) ──────► 本地宽带 IPv4 ──► 目标网站
4
                    ├── 2. DNS 泄漏  ──► (域名查询未进隧道) ────────► 本地 ISP DNS ───► 运营商记录
5
 [你的电脑/手机] ───┼── 3. IPv6 泄漏  ──► (IPv4 走代理 / IPv6 直连) ──► 本地原生 IPv6 ──► 目标网站
6
                    └── 4. WebRTC 暴露 ─► (浏览器 P2P 接口探测) ────► 本地公网映射 ──► 网页脚本

1
 很多用户发现：访问查 IP 网站显示在香港，但一测 DNS，解析服务器全是中国电信或联通！
2
 这是因为：
3
 1. 【System Proxy 系统代理】通常只负责转发应用层的 HTTP/HTTPS 流量；
4
 2. 你的电脑在发起网页连接前，依然通过本地宽带网卡向 `114.114.114.114` 或路由器询问了域名的 IP；
5
 3. 本地 ISP 的 DNS 服务器因此记录下了你查询过哪些域名（但看不到具体的网页加密内容）。

1
 电脑访问双栈网站 (同时支持 IPv4 和 IPv6)：
2
 ├─ IPv4 请求 ──► 进入 Clash 代理客户端 ──► 香港代理节点 ──► 网站记录为香港出口
3
 └─ IPv6 请求 ──► 绕过代理客户端 (因未配置) ──► 本地 5G/宽带直连 ──► 网站记录为你家真实 IPv6！

1
               【WebRTC ICE Candidate 候选地址探测机制】
2

3
 网页调用 WebRTC API ──► 向 STUN 服务器发包探测连通性
4
                              │
5
 ┌────────────────────────────┴────────────────────────────┐
6
 │                                                         │
7
 🏷️ Host Candidate (本地地址)               🌐 Server Reflexive (公网映射)
8
 - 现代 Chrome/Edge 默认采用 【mDNS】       - 在 TUN 全局模式下，映射出的公网
9
   自动生成类似 `xxxx.local` 随机字符码，     地址为代理节点的海外 Exit IP，
10
   不再向普通网页直接暴露真实内网 IP！       完全不会暴露本地宽带地址。

1
 【设计内的正常直连 (Direct)】：
2
 你的分流规则配置了“国内域名走直连 (Direct)” ──► 访问百度或国内银行时显示你家宽带 IP。
3
 ──► 这是分流机制在正常工作，节约海外节点流量，绝不是“故障泄漏”！
4

5
 【意外发生的非预期泄漏】：
6
 你的分流规则配置了“访问 Google 走代理” ──► 但在打开 Google 时抓包发现部分请求从物理网卡直连发出了。
7
 ──► 这才属于真正的【代理旁路故障】。

1
 Layer 1: 公网 IPv4 层 ──► 对比开启代理前后，访问海外网站的出口 IP 是否成功替换
2
    ↓
3
 Layer 2: 公网 IPv6 层 ──► 检查是否开启了本地 IPv6，客户端是否接管了 IPv6 路由
4
    ↓
5
 Layer 3: DNS 路径层 ──► 运行在线 DNS 泄漏测试，确认解析器是否已切为远端节点
6
    ↓
7
 Layer 4: WebRTC 候选层 ──► 检查 WebRTC 探测到的公网 Reflexive 地址是否为海外出口
8
    ↓
9
 Layer 5: 代理模式层 ──► 评估当前是 System Proxy 还是全局 TUN 虚拟网卡
10
    ↓
11
 Layer 6: 分流规则层 ──► 排除 Rule 规则中显式 Direct 白名单引起的误判
12
    ↓
13
 Layer 7: 客户端内核层 ──► 确认 [sing-box](/tutorials/sing-box-config/) 或 Clash 内核未被杀软限制 UDP 流量

1
               【梯子 IP 与网络泄漏 5 分钟排查决策树】
2
                                  │
3
               未开梯子时，记录本地宽带 IPv4 / IPv6 归属
4
                                  ↓
5
               开启梯子后，访问海外查 IP 工具显示海外地址了吗？
6
                ├── 否 ──► [System Proxy 未生效，切为 TUN 模式或检查端口]
7
                └── 是
8
                     │
9
               在线测试 DNS 解析服务器，出现国内电信/联通 DNS 吗？
10
                ├── 出现 ──► [存在 DNS 泄漏，开启 Fake-IP 模式或代理远程解析]
11
                └── 显示海外
12
                     │
13
               在线测试 IPv6，显示出未开代理时的家庭 IPv6 吗？
14
                ├── 显示 ──► [存在 IPv6 旁路，客户端开启 IPv6 代理或临时关闭系统 IPv6]
15
                └── 正常/未启用
16
                     │
17
               检查 WebRTC 公网映射，出现本地宽带真实 IP 吗？
18
                ├── 出现 ──► [开启 TUN 模式强制捕获 UDP STUN 流量]
19
                └── 仅显示海外或 mDNS ──► 【🎉 网络路径完全符合预期！】