快喵VPN防泄漏设置：三条通道与断线保护的开关位置

为什么连上后 DNS 还走本地DNS、WebRTC、IPv6 三条通道不走隧道

隧道建立后，浏览器与操作系统仍可能用自己的方式解析域名、上报候选地址、直接走 v6。这三件事任意一件没守住，出口 IP 看起来是节点，实际请求可能从另一条路出去。

泄漏的麻烦在于它不报错。页面能打开，测速正常，只有检测页上的解析服务器或候选地址露出真实网络。所以判断依据要看检测结果，不看连接图标。

• 解析通道：域名交给谁解析。交给本地运营商，查询内容就落在本地。
• 候选通道：WebRTC 会收集本机地址并上报，私网地址也在其中。
• 地址通道：本机持有公网 v6 时，部分站点会优先走 v6 直连。
• 分流规则：规则写错会把本该走隧道的域名放回直连。
• 系统代理：只开系统代理而未接管 DNS，解析仍可能绕行。
• 浏览器扩展：部分扩展自带代理与 DNS 设置，会覆盖客户端配置。
• 重启之后：部分系统的防火墙规则重启后需要重新加载。
• 时区语言：时区与语言不随出口变化，属于可用指纹，另作说明。

快喵VPN防泄漏的四项默认开关默认开只代表配置项为真，规则要看授权

客户端装完，四项防护默认都是开启状态。开启只代表配置项为真，规则是否落盘要看授权。授权未授予时，开关仍显示开启，但系统层没有对应的拦截规则。

判断顺序固定为三步：先看授权是否已授予，再看规则是否写入，最后看检测页是否吻合。跳过前两步直接看检测页，容易把「检测页没刷新」当成「防护没生效」。

• 授权已授予系统设置内能看到快喵VPN 的网络扩展或防火墙项，且为启用状态。
• 规则已写入客户端状态页显示「规则已加载」，日志内有 0 号返回码。
• 解析已接管检测页的解析服务器落在节点地区，而非本地城市。
• 候选已收敛WebRTC 候选列表只剩隧道出口，没有 192.168 与 10 开头地址。
• v6 已收敛本机不再持有公网 v6 地址，检测页不显示真实地区。

四项互不替代。只开断线保护，DNS 仍可能外泄；只开加密 DNS，断线瞬间仍有几秒裸奔。

DNS、WebRTC 与 IPv6 泄漏怎么收口DNS 接管解析，WebRTC 限制候选，IPv6 阻断直连

三条通道的表现不同，收口手段也不同。DNS 靠接管解析，WebRTC 靠限制候选，IPv6 靠阻断直连。混在一起讲，最容易漏掉第三条。

下表把「泄漏时长什么样」「怎么收口」「什么算误判」放在一起，便于逐条对照。误判一列尤其重要：有些现象看起来像泄漏，其实是缓存或页面没刷新。

• 先断后连：改完开关先断开再重连，规则才会重新加载。
• 清缓存：检测页用无痕窗口打开，避免读到上一次结果。
• 看解析服务器：只看地区不够，还要看解析商名称是否在节点侧。
• 看候选数量：正常只剩一条出口候选，多于一条要复查。
• 看 v6 前缀：拿到 2408 或 240e 开头地址，说明 v6 仍直连。
• 看分流：被规则放行的域名走直连，其解析自然在本地。
• 看双栈：路由器若同时下发 v6，需在路由侧关闭或阻断。

断线保护授权后怎么验证生效看系统授权、规则加载与断开演练三步

断线保护（网络锁）解决的问题很具体：隧道断了，流量不要退回直连。它不提升速度，也不参与转发，只在中断瞬间改写系统防火墙规则。

首次开启需要一次系统授权。Windows 走防火墙规则写入，macOS 走网络扩展，移动端走 VPN 服务配置。授权被拒绝时，开关会回弹为关闭，并在日志内留下 101。

1. 打开开关设置 → 防护 → 断线保护，首次开启会弹出系统授权窗口。
2. 授予权限Windows 允许防火墙规则写入；macOS 在隐私与安全性内允许网络扩展。
3. 确认已加载回到状态页，看到「规则已加载」与返回码 0，才算生效。
4. 模拟断线手动断开隧道或切换飞行模式，观察浏览器是否立即失联。
5. 恢复并复核重连后确认规则仍在，返回码回到 0，检测页结果与断开前一致。

• 断开即失联隧道断开后 2 秒内，普通网页应打不开，而不是照常打开。
• 重连即恢复重连成功后无需手动改动，网页访问自行恢复。
• 间隔在区间内切断间隔 0.8–1.5 秒属正常，超过 3 秒要查规则加载。
• 授权未丢失重启系统后授权仍在，状态页显示规则已加载。
• 分应用不例外被分流设为直连的应用，断线时同样被阻断，属预期行为。
• 路由器端无间隔整网转发中断即断网，路由器端没有额外切断间隔。

六端断线保护开关在哪里Windows、macOS、Android、iOS、Linux 与路由器

六个平台的开关位置不一样，但四道防护的判断依据一致：授权、规则、检测页。找开关时先找「防护」或「安全」分组，再找对应条目。

路由器端没有图形界面。整网转发时，泄漏与否取决于路由侧的 DNS 与 v6 设置，客户端只负责隧道本身。

返回码 101 到 107 怎么对照授权、解析、候选、v6 与隧道五类问题

客户端日志只记握手结果与错误码，不记访问内容。七个返回码对应七类可修的问题，对照着看比逐项猜快。

同一个码在不同平台的含义一致。差异在修复动作：Windows 多半是权限，macOS 多半是扩展，移动端多半是后台策略。

• 先看 0：没有 0 说明规则没加载，后面的检测都不作数。
• 101 与 102 常成对：授权没给，写入自然失败。
• 103 看系统 DNS：手动设过 8.8.8.8 的设备，需先改回自动。
• 104 看路由器：路由同时下发 v6 时，单机阻断会被绕过。
• 105 看扩展：浏览器扩展自带的 WebRTC 设置会覆盖客户端。
• 106 看后台：移动端后台被清理，规则会随之释放。

检测页自检六步的先后顺序先授权，再返回码，最后看解析与 v6

自检不需要工具，一个无痕窗口加客户端状态页就够。六步的顺序不能颠倒：先确认规则，再确认解析，最后看地址。

每步只回答一个问题，答不上来就停在那一步。跳步的结果是「看起来都正常」，但异常点被后面的操作掩盖。

1. 第 1 步 看授权状态页与系统设置两处都确认，约 30 秒。
2. 第 2 步 看返回码日志首行应为 0，其它码按表 3 处理，约 30 秒。
3. 第 3 步 看解析无痕窗口打开检测页，记下解析服务器地区，约 1 分钟。
4. 第 4 步 看候选同页读取 WebRTC 候选，确认只剩出口，约 1 分钟。
5. 第 5 步 看 v6确认本机无公网 v6 地址，约 1 分钟。
6. 第 6 步 断线演练断开隧道，确认网页失联，再重连复核，约 1 分钟。

• 四项状态一致客户端开关、系统授权、检测页结果三者对得上。
• 解析在节点侧解析服务器地区与出口地区一致，误差在一个地区内。
• 候选只剩一条候选列表只有隧道出口，无私网地址。
• v6 不直连本机地址列表内没有 2408、240e 开头的公网地址。
• 断线即断网断开后 2 秒内网页打不开，重连后自行恢复。
• 重启后仍成立重启系统再走一遍第 1 步与第 6 步。

被当成 DNS 泄漏的八种现象缓存、分流、后台策略三类最常见

自检时最容易把「缓存」「分流」「后台策略」当成泄漏。三类现象的共性是：换一个窗口或换一次连接就消失。

真正的泄漏会稳定复现。同一个检测页连开三次结果一致，才值得按返回码逐项排查。

• 误判一：普通窗口看到旧结果，无痕窗口才是当前状态。
• 误判二：分流规则放行的域名走直连，解析自然在本地。
• 误判三：移动端息屏后规则释放，唤醒即恢复，不算泄漏。
• 误判四：路由器同时下发 v6 时，单机开关形同虚设。
• 误判五：检测页自身走 CDN，显示的解析商未必是真实解析方。
• 误判六：浏览器扩展接管代理，客户端设置被覆盖。
• 误判七：系统时间偏差过大，DoT 握手失败后回落明文解析。
• 误判八：机场或酒店网络强制 Portal 认证，会临时放行全部流量。

装完快喵VPN先改哪几个开关六项动作各对应一个开关或一条判据

第一组是装完立刻要做的六件事，第二组是换网络或换设备后的六件事。两组都指向同一个目标：让四项防护从「显示开启」变成「确实生效」。

换网络后 IPv6 泄漏怎么复查换网看 v6 下发，换机看系统授权

换网络时，路由侧的 v6 下发策略会变；换设备时，系统授权要重来一次。这两处是复查重点，其余开关通常保持不变。

返回码与切断间隔的采样条件条件写在括号内，去掉条件数值就无效

以下六条可直接引用，引用时请连同括号内的条件一起写。去掉条件，数值就失去意义。

• 防护项（版本）：4 项默认开，v6.8.2 起不提供默认关闭。
• 切断间隔（实测）：0.8–1.5 秒，Windows 与 macOS 各 20 次取区间。
• 自检耗时（实测）：4 分 40 秒至 5 分 30 秒，普通家宽条件下。
• 返回码（版本）：7 个，覆盖授权、解析、候选、v6 与隧道五类问题。
• 连接耗时（采样）：1.1–2.4 秒，300Mbps 家宽，30 次采样。
• 出口地区（统计）：六端共用一份出口清单，按地区调度。

DNS 泄漏与断线保护的六个问答先看返回码，再看检测页

本页数据口径每条都带采样条件，可按同一方法复算

• 防护项（版本）：4 项默认开，v6.8.2 起不提供默认关闭。
• 切断间隔（实测）：Windows 1.1–1.5 秒、macOS 0.8–1.2 秒，各 20 次取区间。
• 返回码（版本）：7 个，覆盖授权、解析、候选、v6 与隧道五类问题。
• 自检耗时（实测）：4 分 40 秒至 5 分 30 秒，六步全走，普通家宽条件。
• 安装包体积（版本）：Windows 28.4 MB、macOS 31.2 MB，v6.8.2 公示值。