Windows
macOS
Android
iOS
很多人检查代理时，只在浏览器中打开一个地址，看页面显示的出口地址是否变化。这只能证明浏览器某次 HTTP 或 HTTPS 请求经过了代理，不能证明整台设备的连接都没有泄漏。真正可靠的代理连接泄漏检测方法，还应检查系统代理是否生效、IPv6 是否绕过代理、WebRTC 是否暴露本地网络信息，以及终端应用是否直接建立 UDP 或 TCP 连接。
为什么浏览器结果不能代表全部流量
浏览器通常支持 HTTP、HTTPS 和部分代理协议，但操作系统中的更新服务、邮件客户端、即时通信软件、命令行工具和游戏平台，可能使用各自的连接配置。有些应用读取系统代理，有些只读取自身设置，还有些完全不支持代理。
另一个常见问题是协议范围不一致。代理可能只转发 TCP，而应用通过 UDP 建立连接；代理也可能只处理 IPv4，设备却优先使用 IPv6。此时浏览器页面看起来正常，其他连接仍可能从本地网络直接出去。
一套覆盖面更完整的代理连接泄漏检测方法
第一步：记录基准网络状态
- 断开代理，记录当前出口地址、运营商或网络归属、IPv4 与 IPv6 状态。
- 查看设备当前启用的网卡、默认路由和代理配置。Windows 可检查“设置”中的系统代理及应用代理；Linux 可查看环境变量、路由表和网卡状态；macOS 应检查网络设置中的代理项目。
- 固定测试环境，例如先使用家庭宽带，再用手机热点复测。不同网络的 IPv6、解析服务和防火墙策略可能不同。
基准记录的作用是确认变化来自代理，而不是网络切换。不要只保存一张网页截图，至少应记录访问时间、连接协议和地址类型。
第二步：分别测试 IPv4 和 IPv6
启用代理后，分别访问能够显示连接地址的 IPv4 与 IPv6 测试页面，或使用支持指定地址族的网络诊断工具进行对比。如果 IPv4 显示代理出口，而 IPv6 仍显示本地运营商地址，就属于地址族泄漏。没有 IPv6 代理能力时，应在代理客户端中明确关闭 IPv6，或通过系统防火墙阻止不必要的 IPv6 出站连接，而不是只依赖浏览器设置。
第三步：检查 WebRTC 和本地地址暴露
WebRTC 常用于视频会议、语音通话和点对点通信。它可能通过 ICE 候选地址发现本地网卡地址、局域网地址或网络出口信息。检测时应在浏览器的 WebRTC 测试页面查看候选地址，并分别比较代理关闭、代理开启和限制 WebRTC 后的结果。
如果开启代理后仍出现本地网段地址，例如常见的 192.168.x.x、10.x.x.x 或 172.16.x.x 至 172.31.x.x，不一定代表公网出口已经泄漏，但说明本地网络信息仍被页面获取。对重视隐私的场景，应限制 WebRTC 的非必要候选类型；对视频会议场景，则要权衡隐私设置与通话建立成功率。
第四步：用系统工具观察实际连接
- 启动代理后，分别打开浏览器、邮件客户端和命令行网络请求工具，产生可识别的连接。
- 使用 Windows 的资源监视器或 PowerShell 网络连接查看功能，Linux 使用 ss，macOS 使用 lsof 或系统活动监视器，观察远端地址、端口和所属进程。
- 重点查找未经过代理进程建立的外连。若某应用直接连接外部地址，而代理进程只负责浏览器流量，说明该应用存在旁路。
- 关闭代理进程后重复观察。如果连接仍能继续建立，应检查应用是否启用了独立代理、备用网络接口或直连回退。
这一步比单纯查看网页结果更接近真实情况。需要注意的是，系统工具显示的远端地址可能经过域名解析、连接复用或加密隧道包装，不能仅凭一个端口号断定泄漏，应结合进程、路由和抓包结果判断。
不同类型泄漏的判断与处理
| 现象 | 常见原因 | 处理方向 |
|---|---|---|
| 浏览器出口已变化，其他应用仍显示本地出口 | 应用不读取系统代理 | 在应用内配置代理，或使用覆盖系统流量的方案 |
| IPv4 经代理，IPv6 直连 | 代理不支持 IPv6 或系统优先选择 IPv6 | 启用 IPv6 代理能力，或关闭并阻断 IPv6 直连 |
| 网页正常，语音或点对点连接绕过代理 | WebRTC、UDP 或独立传输通道 | 限制候选地址，确认代理是否支持 UDP，并按应用需求测试 |
| 代理断开后连接仍继续 | 应用启用了直连回退或连接复用 | 开启阻断直连选项，重新建立连接后再验证 |
怎样避免把误报当成泄漏
本地地址出现在 WebRTC 候选中，不等于公网地址已经暴露；代理服务自身的出口地址变化，也不等于发生了泄漏。判断时应至少重复三轮：代理关闭、代理开启、代理开启但阻断直连。每轮都关闭已有连接，避免复用旧会话，并在不同网络环境下比较。
还要区分代理故障和应用策略。某些程序在代理不可用时会停止联网，另一些程序会自动改用直连。前者属于可用性问题，后者才是需要重点处理的旁路风险。对企业设备，应把浏览器、办公软件、更新组件和移动终端分别纳入清单。
常见问题
只检查出口地址够不够？
不够。出口地址只能反映某一类请求，不能覆盖 IPv6、WebRTC、UDP 和其他应用的连接。
关闭 IPv6 就一定安全了吗？
不能。还要检查应用是否使用独立代理、直连回退或其他网络接口。关闭 IPv6 只是减少一种泄漏路径。
代理断开时应该发生什么？
重视防泄漏的场景应阻断连接，而不是自动直连。否则短暂断线也可能让应用暴露真实网络出口。
多久复测一次比较合适？
代理软件升级、系统更换网络、启用新应用或修改防火墙后都应复测；稳定环境下可按月或按季度检查。
因此，可靠的代理连接泄漏检测方法不是“浏览器换了地址”这一项结果，而是对地址族、协议、应用进程和断线行为进行交叉验证。只有浏览器、系统和实际连接都符合预期，才能较有把握地判断代理没有明显旁路。