IPv6 对代理工具的影响：如何正确配置防泄漏与双栈路由
#IPv6代理#DNS泄漏#双栈路由
阅读需 5 分钟||
随着宽带双栈部署的普及，许多用户发现代理频繁失效或在测试时泄漏真实 IP。这往往是因为代理工具未正确接管 IPv6 流量所致。
1. 代理环境下的 IPv6 分流冲突
- DNS AAAA 解析：浏览器在访问域名时，若获取了 AAAA（IPv6）记录，将尝试通过 IPv6 建立连接。
- TUN 接管与系统路由：如果客户端的虚拟网卡 (TUN) 未在操作系统的路由表中接管
::/0（即默认 IPv6 路由），且代理规则也未处理 IPv6 目标，这部分流量将绕过代理直接发向公网。
2. 诊断方法与症状识别
Windows 示例：打开 PowerShell，输入 ping ipv6.google.com 或 tracert -6 google.com。如果返回超时且未通过代理网卡（如 10.0.0.x）进行转发，说明 IPv6 路由发生了泄漏或断流。
3. 合规的配置处理方式
关闭系统级 IPv6 并非适应所有环境的“银弹”，更好的方案是通过代理核心控制解析与路由。 以当前流行的代理内核（如 sing-box 或 Mihomo）为例，官方文档通常会提供网络协议栈相关的控制字段：
- 纯 IPv4 降级：如果节点不支持 IPv6 出站，可以通过在内核的 DNS 解析模块或出站路由规则中设置仅请求 A 记录（例如某些内核中的 Domain Strategy 降级为 IPv4 Only），强制阻断 AAAA 记录，从而防止流量绕过代理。
- 双栈路由接管：如果节点支持双栈且确有需求，必须在内核的路由对象中指明对 IPv6 版本的流量进行代理拦截，并在开启 TUN（虚拟网卡）模式时，确保为其分配并启用了 IPv6 的接管网段（如包含在 inet6_address 的配置中）。具体字段名称和位置请务必查阅所用内核对应版本的官方文档。
参考资料与相关阅读
禁用 IPv6 泄漏的配置
在很多代理客户端中，未正确配置 IPv6 会导致本地 DNS 泄漏。在 sing-box 中，可以通过配置强制使用 IPv4：
{
"dns": {
"servers": [
{
"tag": "google",
"address": "https://8.8.8.8/dns-query",
"strategy": "ipv4_only"
}
]
}
}