文章 · 2026-10-01

IPv6 泄露：开了代理，IPv6 出口为什么在另一个地区

家里宽带如果同时给设备分配了 IPv4 和 IPv6 地址，这叫双栈。网站如果也同时有两种地址，设备每次连接都要在两条路里选一条。代理只接管了 IPv4，系统又按默认规则优先走 IPv6，这部分连接就不经过代理，从本地宽带直接出去，网站看到的是你宽带的 IPv6 地址。这就是 IPv6 泄露，IP 判官显示为「IPv6 出口和 IPv4 出口不在同一地区」。2026 年 10 月 1 日查询，ChatGPT、Claude、Gemini、Muse 的域名都有 IPv6 地址，这不是少见的边缘情况。

为什么 IPv6 会绕过代理

三件事叠在一起：

1. 设备自动拿到 IPv6。路由器会发送路由通告（RA），里面带着网络前缀（RFC 4861）。设备据此自己生成全局 IPv6 地址（RFC 4862），并把发通告的路由器当作 IPv6 的默认路由器，不需要你做任何设置。通告里还可以带 IPv6 的 DNS 服务器地址（RFC 8106）。
2. 系统默认优先 IPv6。RFC 6724 的默认策略表里，IPv6 的优先级是 40，IPv4 是 35；标准写明，两者同样可用时，应用会优先使用 IPv6。微软的文档也写明，Windows 默认优先全局 IPv6 地址。
3. IPv6 先起跑。RFC 8305（Happy Eyeballs 第 2 版）要求先发 AAAA（IPv6 地址）查询；A 记录先回来时，建议再等 50 毫秒看 AAAA。之后先尝试 IPv6，IPv4 的尝试推荐晚约 250 毫秒才开始。本地 IPv6 在这段时间里连上了，用的就是 IPv6。

问题出在代理这一侧。RFC 7359 专门讨论过这件事：很多 VPN 只支持 IPv4，建立隧道时插入一条 IPv4 默认路由，让 IPv4 流量都进隧道；发往 IPv6 地址的包照旧经本地的 IPv6 路由器发出，VPN 对它什么也不做。代理软件的 TUN 模式也是建一块虚拟网卡、靠路由把流量引进来，以开源代理内核 mihomo 为例，它的 TUN 文档里 IPv4 和 IPv6 的路由是分开设置的。只接管了 IPv4，结果和上面一样。

系统代理模式要分开看。浏览器用 CONNECT 方法把「主机名:端口」交给代理，由代理去建立连接（RFC 9110），本机优先不优先 IPv6 管不到这类请求。但不读系统代理的程序，以及被分流规则判成直连的请求，仍由本机自己连接，照样按上面的规则优先走 IPv6。

还有一种情况：IPv6 确实进了代理，但代理那一侧的 IPv6 出口和 IPv4 出口不在同一个地区。检测页只看结果，两种情况都会标出来；看 IPv6 出口所在的地区和网络类型，就能分清是本地宽带还是另一条线路。

哪些 AI 网站有 IPv6 地址

网站有没有 IPv6，看它的域名有没有 AAAA 记录。2026 年 10 月 1 日（北京时间）我们通过 Cloudflare 和 Google 的公共 DNS 分别查询，两边查到的有无情况相同：

• ChatGPT / OpenAI：chatgpt.com、chat.openai.com、auth.openai.com、api.openai.com 都有 AAAA 记录；openai.com 这个裸域名只有 IPv4，www.openai.com 有 IPv6。
• Claude / Anthropic：claude.ai、claude.com、platform.claude.com、api.anthropic.com、anthropic.com 都有。
• Gemini：gemini.google.com、aistudio.google.com、登录用的 accounts.google.com 都有。
• Muse：muse.ai 有。

这些域名同时也都有 IPv4 地址，选哪一个由你的设备决定。Cloudflare 的文档写明，经它代理的域名默认自动生成 AAAA 记录，只有企业版客户能关掉；两种地址都有时，用 IPv4 还是 IPv6 由客户端软件决定。本站 ipjudge.org 也有 AAAA 记录，所以「打开本站用的 IP」同样可能是 IPv6。DNS 记录随时会变，以你查询时的结果为准。另外，开着代理时在本机查 AAAA，可能被代理软件接管：mihomo 的 DNS 文档写明，DNS 部分的 ipv6 设为 false 时，AAAA 查询返回空结果。

IP 判官怎么检测

首页和 Claude、ChatGPT、Gemini、Muse 专项检测页都会跑这一项，结果在「浏览器与连接检查」的「IPv4 出口」和「IPv6 出口」两行：

1. 浏览器分别打开 https://1.1.1.1/cdn-cgi/trace 和 https://[2606:4700:4700::1111]/cdn-cgi/trace。两个都是 Cloudflare 公共 DNS 的官方地址，前一个只能用 IPv4 访问，后一个只能用 IPv6 访问，所以浏览器没有选择余地。
2. /cdn-cgi/trace 是 Cloudflare 列出的排障端点，返回一段纯文本，其中 ip= 是它看到的访问者 IP，loc= 是对应的国家或地区代码。每个请求最多等 8 秒。
3. 比较两边的 loc。比较的是地区，不是 IP，因为 IPv4 和 IPv6 地址本来就不会相同。

判定规则：

• 地区不同：IPv6 一行标黄「走了另一条路」，写明「和 IPv4 出口不在同一地区」，这条问题会列进「怎么改」。
• 地区相同：两行都标「一致」。IPv6 在 8 秒内没有回应：显示「未检测到」，可能本来就没有 IPv6，也可能探测被拦下，本身不算问题。
• 查到的 IPv6 出口会单独列进「谁看到了你的哪个 IP」：在中国大陆、香港、澳门时标红「地区不支持」，其他地区标黄「出口不同」。WebRTC 那一项也会拿它来比对。
• 「访问 Claude 的 IP」「访问 ChatGPT 的 IP」两行是直接请求 claude.ai、chatgpt.com 读出来的，走 IPv4 还是 IPv6 由浏览器自己选。这两行出现带冒号的地址，说明浏览器正是用 IPv6 连的这个网站，它看到的就是这个地址。Gemini 没有能读出 IP 的接口，只能参考 IPv6 一行。

在 Claude 环境分里，「出口一致性」共 15 分，IPv4 和 IPv6 在同一地区占 4 分；Muse 注册环境分不计这一项。这是 IP 判官按常见风控信号定的权重，不是平台公布的规则，见 判定方法。

怎么改

目标是让 IPv6 连接和 IPv4 走同一个出口，或者不用 IPv6。RFC 7359 给的顺序也是这样：能处理 IPv6 就让 IPv6 流量同样进隧道；做不到时，在所有网卡上关闭 IPv6，并注明这只是临时办法。

1. 让代理同时接管 IPv6（首选）

• 用 TUN 模式，并打开软件里的 IPv6 选项。以 mihomo 为例：顶层的 ipv6 决定是否接受 IPv6 流量，默认开启（通用配置文档）；TUN 的 inet6-address 给虚拟网卡分配 IPv6 地址，要求顶层 ipv6 同时为 true，而且程序启动时会检查系统其他网卡有没有 IPv6，没有就不启用这项功能（TUN 文档）。所以从只有 IPv4 的网络换到双栈网络后，建议重启代理软件再测。
• 代理接管了 IPv6，还要看线路能不能转发 IPv6。不能时，确认 IPv6 连接是被拦下，而不是改走直连；被拦下后浏览器会按 Happy Eyeballs 改用 IPv4，只是稍慢一点。

2. 让代理的 DNS 不返回 IPv6 地址

前面提到的 mihomo DNS 选项就是这个作用：查不到 IPv6 地址，程序只能走 IPv4。它只管经过代理 DNS 的查询。直接用 IPv6 地址的连接（包括本站的 IPv6 探测）不受影响；路由器下发的 IPv6 DNS、浏览器自己的安全 DNS 如果绕开了代理，照样能查到 AAAA。DNS 的走向见 DNS 泄露。

3. 在设备上关闭 IPv6，或改成优先 IPv4

Mac：按苹果的支持文档，选取苹果菜单 >「系统设置」，点按边栏中的「网络」，点按一种网络服务，点按「详细信息」，然后点按 TCP/IP，把「配置 IPv6」改成「仅本地链接」。文档对这一项的说明是将 IPv6 通信限制在本地网络。用到的每个网络服务（例如 Wi-Fi 和有线网络）都要分别改。

Windows：微软的文档明确不建议关闭 IPv6 或把它从网卡上解绑，否则部分 Windows 组件可能无法工作，推荐改用「优先 IPv4」。做法是以管理员身份打开命令提示符，把注册表里的 DisabledComponents 设为 32（十六进制 0x20），重启电脑后生效：

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters" /v DisabledComponents /t REG_DWORD /d 32 /f

优先 IPv4 只是调换先后顺序，IPv6 这条路还在：IPv4 连得慢时，按 Happy Eyeballs 仍可能改用 IPv6；只能用 IPv6 访问的地址也照走 IPv6。改完要看「访问 Claude 的 IP」「访问 ChatGPT 的 IP」两行是不是代理出口。

手机：我们没有找到苹果为 iPhone 提供的关闭 IPv6 的说明。连 Wi-Fi 时可以在路由器上处理，或者在代理 App 里打开 IPv6 接管；用手机流量时，路由器的设置管不到。

4. 在路由器上关闭 IPv6

路由器不再发带前缀的路由通告，局域网里的设备就生成不了全局 IPv6 地址（RFC 4862），电视、手机这类没法单独设置的设备也一起生效，缺点是所有设备都受影响。设置位置各家路由器不同，以路由器的说明书为准。

改完回 首页 重测：IPv6 一行应显示「一致」或「未检测到」，「访问 Claude 的 IP」「访问 ChatGPT 的 IP」两行应是代理出口。同一个账号的网页出口、DNS、WebRTC 也要一致，见 WebRTC 泄露。

常见问题

IPv6 出口和 IPv4 在同一个国家，是不是就没问题？

检测页会标「一致」，但同一地区不等于经过了代理。比如人在美国、代理出口也在美国，本地 IPv6 绕过代理也会显示一致。点开 IPv6 一行后面的类型链接，看这个地址属于哪家网络：是你家宽带的运营商，说明 IPv6 还在走本地。

IPv6 一行显示「未检测到」，要处理吗？

不用。这说明只走 IPv6 的探测 8 秒内没有回应，可能是网络本来没有 IPv6，也可能是代理拦下了 IPv6。两种情况下，这次检测都没有看到另一个出口。

改成优先 IPv4 之后，IPv6 一行为什么还标黄？

这项探测直接访问一个 IPv6 地址，系统没有 IPv4 可选。只要本地 IPv6 还能用，它就会显示本地出口。优先 IPv4 管的是同时有两种地址的网站，效果看「访问 Claude 的 IP」「访问 ChatGPT 的 IP」两行。

关闭 IPv6 会影响上网吗？

文中列出的 AI 网站目前都同时有 IPv4 地址，照常能用。Windows 上微软不建议关闭，优先 IPv4 是它推荐的替代做法；RFC 7359 也把关闭 IPv6 当作临时办法。长期看，让代理正确接管 IPv6 更稳妥。

ChatGPT、Claude 会因为 IPv6 出口不同而封号吗？

没有公开资料能回答。能确定的是：浏览器用 IPv6 连上 claude.ai 时，Claude 看到的就是这个 IPv6 地址，不是你的代理出口。平台看到的是哪个 IP、在哪个地区，见 ChatGPT、Claude 看到的是哪个 IP。