一、公网 IP 的技术定义与身份锚定机制
在数字化互联网通信的底层，每一个接入全球网络体系的终端设备都必须获得一个全球唯一的逻辑地址，这便是我们熟知的公网 IP（Public IP Address）。无论是由当地电信、移动分配的动态 IPv4 地址，还是由骨干网下发的全球单播 IPv6 前缀，公网 IP 就像是投递跨国信件时必须印在信封正面的发件人详细地址。
任何一台外部服务器在接收到你的数据包并准备回传网页内容时，都必须把回复包明确发往这个地址。 正是由于这种底层的寻址机制，外部网站在无需你主动登录任何账号的情况下，就能通过分析来访的公网 IP 极其精确地判定你所在的地理省市、所属的宽带运营商（如中国电信 AS4134 或中国联通 AS4837）、乃至粗略的物理基站辐射范围。
二、代理数据转发流程与真实出口 IP 映射原理
要理解何谓‘IP 泄漏’，首先需要彻底理清正常代理转发工作流中的数据包封装与地址变换机制。当你在计算机上启动代理软件并选中山水云的某个中继节点时，你与目标外部网站之间的点对点直连被拆解为了两个完全独立但紧密衔接的通信阶段。
在第一阶段，你的本地计算机将原本要发往目标网站的数据载荷进行加密打包，作为普通的应用层数据发送给你所连接的代理服务器节点； 在第二阶段，这台位于境外的代理服务器在接收到数据包后进行解密还原，随后以该服务器自己的网络接口身份，重新向最终的目标网站发起 TCP 或 UDP 连接请求。
三、双栈环境下容易被忽视的 IPv6 单侧泄露风险
近年来，随着国内三大运营商对下一代互联网 IPv6 规模部署的全面推进，绝大多数家庭光猫与手机移动网络都已经默认启用了 IPv4/IPv6 双栈（Dual-Stack）运行模式。然而，正是这项旨在解决地址枯竭的先进技术升级，反而在代理使用场景中引入了一个巨大的盲区——‘IPv6 单侧泄露’。 许多用户在客户端中配置的代理规则，往往只对标准的 32 位 IPv4 地址进行了完善的路由劫持与分流判断；
与此同时，由于部分代理服务器节点本身并未配置 IPv6 出口，或者客户端为了简化配置而默认忽略了 IPv6 流量。此时，如果用户所访问的海外目标网站（如 Google、Facebook 等）同时开放了 IPv4 与 IPv6 解析记录，根据现代操作系统的 Happy Eyeballs 算法标准，系统会优先尝试建立延迟更低或无转换负担的 IPv6 连接。
四、WebRTC 穿透代理获取真实地址的技术机理
在所有的 IP 泄露途径中，危害最深、隐蔽性最强且最令安全从业者头疼的，莫过于源自浏览器内核的 WebRTC（网页实时通信）协议漏洞。WebRTC 本质上是一项由 W3C 牵头标准化的伟大技术，它允许网页在无需安装任何第三方插件的情况下，直接通过 JavaScript 调用麦克风、摄像头实现浏览器之间的端对端（P2P）音视频通话与高速数据互传。 然而，P2P 通信要顺利建立，通信双方必须穿透各自复杂的路由器 NAT（网络地址转换）层，探寻彼此在公共互联网上的真实坐标。
为此，WebRTC 协议深度集成了 STUN 与 TURN 协议。在浏览器运行过程中，网页脚本可以静默调用内置的 RTCPeerConnection API 向远端公共 STUN 服务器发起探测。最为致命的是：为了追求音视频互联的极致低延迟，许多浏览器的 WebRTC 底层实现会故意绕过操作系统配置的标准 HTTP/SOCKS5 代理网关，直接向本地所有可用的物理网卡广播 UDP 穿透包。
五、浏览器端多维度核验实操与 IP 属性专业辨析
要对当前设备的 IP 伪装效果进行一次全面、无死角的安全体检，用户应当建立起规范的多维检测操作流程。切忌只访问一个简单的单行 IP 查询网页就草率下结论，因为许多简陋的查询页面只读取了最基础的 HTTP Header，极易遗漏深层次的协议旁路漏洞。 推荐的标准检验步骤如下：首先，确保客户端处于正常连接状态并选定目标节点；
其次，打开浏览器无痕隐私窗口，访问诸如 ipleak.net 或 browserleaks.com 等具备全面诊断能力的权威安全检测平台。 在检测页面加载完毕后，需要按顺序核验四个核心版块：第一，查看顶部的‘Your IP Addresses’，确认所列出的 IPv4 地址完全属于山水云海外机房；第二，重点检查‘IPv6 Address’一栏，状态必须显示为未检测到或显示为代理机房对应的境外 IPv6 地址，决不能出现本地原生前缀；
六、浏览器隔离差异与 TUN 虚拟网卡终极防御方案
不同的浏览器在防范底层网络协议泄露时的表现存在显著分化。在 Chromium 系浏览器（Chrome、Edge 等）中，默认不提供一键关闭 WebRTC 的原生开关，用户需借助安全扩展或配置启动参数来限制候选策略；而在 Firefox 浏览器中，只需在 about:config 中将 media.peerconnection.enabled 修改为 false，即可在引擎层面彻底永久禁用 WebRTC 功能；Safari 也在新版中默认加强了候选收集混淆保护。
从网络拓扑层级来看，操作系统级系统代理仅运行在应用层（OSI 第 7 层），全凭应用自觉读取系统设置，无法管控原始套接字与非标准 UDP 发包。相比之下，基于虚拟网卡驱动构建的 TUN 模式（运行在 OSI 第 3 层网络层）则展现出了降维打击般的严密防御力。在开启 TUN 模式后，操作系统所有物理流量在离开网卡驱动的瞬间都会被虚拟网卡强行拦截并打包进加密隧道。
本专题常见深度提问
问：检测通过了 ipleak.net 的所有项目，是否意味着我在网络上绝对隐身匿名了？
答：绝对不是。IP 地址只是网络指纹的一个维度。现代跨国平台还会结合浏览器 Canvas 指纹、Audio 指纹、系统字体列表、屏幕分辨率及历史 Cookie 等几十项综合特征来识别设备身份。不能把防 IP 泄露等同于绝对匿名。
问：为什么我把电脑的 IPv6 协议彻底关掉后，国内某些软件反而打开变慢了？
答：国内部分主流视频与下载平台已大规模针对 IPv6 进行了专用 CDN 提速。如果全局强行关闭网卡 IPv6，会导致这部分服务降级回流至拥挤的 IPv4 通道。更优雅的做法是在代理客户端内部针对境外流量单独实施 IPv6 拦截或回落（Fallback），保留国内 IPv6 直连通道。