VPN 可以把裝置與 VPN 伺服器之間的流量送進加密通道，但不代表所有網路資訊都一定被隱藏。DNS 查詢可能仍交由本地網路或網際網路服務供應商處理；瀏覽器的 WebRTC 功能也可能在特定情況下顯示連線使用的 IP 資訊。此外，登入帳號、瀏覽器指紋、網站追蹤器與下載的檔案，並不會因為連上 VPN 就自動消失。
因此，檢查 VPN 安全性不能只看連線圖示，也不宜只憑一次測試下結論。較實用的做法是先確認 VPN 的 DNS、IPv6 與網路鎖定設定，再用可信任的線上檢查頁面觀察結果，最後分辨哪些資訊是 VPN 出口、哪些是本地網路或瀏覽器功能所呈現。以下整理一套適合一般使用者的檢查流程與設定方向。
DNS 與 WebRTC 外洩代表什麼
DNS 的用途是將網域名稱轉換為 IP 位址。瀏覽網站時，裝置通常需要先向 DNS 解析器查詢目的網域。若 VPN 已連線，但查詢仍送往本地網路供應商的 DNS，該供應商可能看見查詢所涉及的網域。這通常稱為 DNS 外洩。它不等於網站內容必然未加密，也不代表每次測試看到陌生名稱都能直接判定發生外洩；解析器可能由 VPN 服務、瀏覽器的安全 DNS 功能或其他網路服務提供。
WebRTC 是瀏覽器支援即時通訊的技術，常用於語音、視訊及點對點連線。為了建立連線，瀏覽器可能收集候選網路位址。現代瀏覽器通常會採取一定的隱私保護措施，例如以 mDNS 名稱代替部分本機位址，但實際行為會受瀏覽器版本、設定、作業系統與 VPN 用戶端影響。WebRTC 測試若顯示位址，應先確認它是 VPN 出口、本機私有位址，還是可能識別真實網路的公網位址。
| 檢查項目 | 可能顯示的資訊 | 判讀方向 |
|---|---|---|
| 出口 IP | 目前連線對外呈現的 IP 與大致地區 | 與 VPN 預期出口比較，不要把地理資料庫的城市誤差當成外洩證據。 |
| DNS 解析器 | 處理網域查詢的解析器或其網路資訊 | 若顯示本地網路供應商或與 VPN 無關的解析器，應再檢查 VPN 與瀏覽器 DNS 設定。 |
| WebRTC 候選位址 | 瀏覽器為即時通訊收集的網路位址 | 區分 VPN 出口、本機私有位址與真實公網位址；單看一個候選項目不足以定論。 |
| IPv6 連線 | 裝置是否透過 IPv6 直接連線 | 若 VPN 未支援 IPv6，可能需要啟用相容的防護或停用該連線路徑。 |
依序檢查 DNS、WebRTC 與 IPv6
測試前先記下目前網路環境，例如正在使用家用 Wi-Fi、行動網路，或公司網路。關閉其他 VPN、代理或會改寫 DNS 的網路工具，避免多個程式同時接管流量。接著確認 VPN 已連線，等待用戶端顯示連線完成，再開啟 DNS 外洩測試頁面。可使用具備 DNS 測試功能的知名檢查服務，並查看頁面列出的解析器及網路資訊；不必為了測試安裝不明軟體，也不要把訂閱網址貼進任何檢查欄位。
- 記下 VPN 連線前後顯示的出口資訊，避免混淆測試結果。
- 在 VPN 連線狀態下執行 DNS 標準測試；若結果不明，再使用測試頁面提供的擴展查詢。
- 開啟具備 WebRTC 檢查功能的頁面，確認候選位址是否暴露真實公網 IP。
- 檢查 IPv6 測試結果，確認 VPN 是否能處理目前網路的 IPv6 流量。
- 切換到另一個可信任網路後重做測試，確認結果是否只在特定路由或瀏覽器設定下出現。
檢查時要留意，DNS 測試頁面顯示多個解析器，不一定代表外洩；同一服務可能使用不同伺服器分攤查詢。判斷重點是解析器所屬網路是否與 VPN 的設計相符，以及測試期間是否出現本地供應商的解析路徑。地理位置資料也可能不精確，城市名稱不一致並不能單獨證明連線暴露。
若網站顯示 WebRTC 位址，先分辨位址類型。本機私有位址通常用於區域網路通訊，並不等同於向所有網站揭露可識別家庭連線的公網 IP；VPN 出口位址則可能是預期結果。若測試頁面顯示與 VPN 連線前相同的公網 IP，應再確認瀏覽器是否透過 VPN 路由、VPN 是否支援目前的網路協定，以及測試頁面是否保留了舊的連線資料。
- ✅ 先連上 VPN，再測試 DNS、WebRTC 與 IPv6，避免把未連線結果當成外洩。
- ✅ 使用至少一種可信任的測試頁面，並在結果異常時換網路重測。
- ✅ 比較解析器與位址類型，不要只根據國家或城市標示下結論。
- ❌ 不要在公開貼文中發布完整 IP、測試識別碼或含個人資訊的截圖。
- ❌ 不要同時開啟多個 VPN 或代理工具，否則測試結果難以歸因。
調整瀏覽器與 VPN 設定
若 DNS 測試顯示查詢未經預期的解析器，先到 VPN 用戶端設定中尋找 DNS 保護、使用 VPN DNS、阻止外部 DNS 或類似選項。不同用戶端的名稱與功能不完全相同；開啟後重新連線，再測試是否生效。也可以查看瀏覽器是否啟用了安全 DNS、加密 DNS 或自訂解析器。瀏覽器的加密 DNS 能保護瀏覽器與解析器之間的查詢，但若其流量沒有納入 VPN，仍可能與 VPN 的 DNS 路徑不同，因此應確認兩者設定能配合。
WebRTC 設定則要依使用需求處理。若經常使用網頁視訊會議、語音通話或即時協作，全面停用 WebRTC 可能使部分功能失效；可先使用瀏覽器內建的隱私控制，或選擇能限制非 VPN 網路位址的設定，再以常用網站實測。瀏覽器擴充功能的權限與維護狀態差異很大，不要只因為名稱含有「防外洩」就安裝，也不應同時堆疊多個功能重疊的擴充套件。
VPN 用戶端若提供網路鎖定功能，常見名稱包括 Kill Switch、網路鎖定或阻止未受保護的連線。其作用是在 VPN 中斷或切換時，暫時阻止部分或全部流量直接走本地網路，降低短暫斷線時暴露真實網路的風險。啟用後應在可控情況下確認它的工作方式，例如查看用戶端說明或使用其測試功能；不要在重要通話、交易或檔案傳輸途中刻意中斷連線測試。
IPv6 也值得單獨確認。有些網路同時提供 IPv4 與 IPv6，如果 VPN 只處理 IPv4，未納入通道的 IPv6 流量可能走另一條路徑。優先查看用戶端是否支援 IPv6 防護或完整路由；只有在瞭解裝置與網路影響後，才考慮停用作業系統的 IPv6。直接關閉 IPv6 可能影響區域網路、部分服務或網路診斷，並非所有情況的最佳解法。
看懂無日誌政策與加密協定
「無日誌」不是一個能單靠標語驗證的技術功能。閱讀政策時，可留意服務商如何描述連線時間、來源 IP、流量內容、DNS 查詢、用量統計、診斷資料與帳戶資訊；也要確認保存目的、保存期限、存取權限與刪除方式。政策如果只寫「不記錄活動」而沒有解釋技術日誌或故障診斷資料的處理方式，仍應進一步查閱條款與隱私文件。第三方稽覈、透明度報告或法院文件等資料可作為評估依據，但也要確認其範圍與日期，不能推論成永久保證。
加密協定負責建立裝置與 VPN 伺服器之間的安全通道。常見協定包括 WireGuard、OpenVPN 與 IKEv2；實際安全性還取決於實作品質、金鑰管理、更新維護與服務端設定。協定本身不會自動阻止 DNS 設定錯誤、WebRTC 顯示位址、瀏覽器追蹤或帳戶識別。選擇時應優先使用用戶端正式支援且仍有維護的協定，不要僅憑名稱或速度宣傳判斷安全程度。
此外，VPN 只保護到 VPN 服務端為止。離開 VPN 伺服器後，流量仍會依目的網站採用的 HTTPS 等機制保護；VPN 也無法替代作業系統更新、裝置鎖定、密碼管理或防範釣魚的基本措施。若使用分流功能，部分應用程式或網域可能被設定為直連，這些流量不會依一般全通道方式經過 VPN。排查異常時，應檢查分流清單與每個應用程式的路由，而不是隻看 VPN 主畫面顯示已連線。
日常隱私檢查清單與常見問題
完成一次測試後，建議保留的是設定與判讀結論，而不是含個人網路資訊的截圖。每當更換 VPN 用戶端、瀏覽器、網路或 DNS 設定，都重新確認測試結果；若只是更新瀏覽器或用戶端，也可檢查相關隱私選項是否被重設。遇到異常時一次只改一項設定，記下原始狀態並重測，這樣較容易找出真正影響結果的因素。
- ✅ 確認 VPN 用戶端、作業系統與瀏覽器保持更新。
- ✅ 檢查 DNS 保護、IPv6 路由、分流規則與網路鎖定功能。
- ✅ WebRTC 依實際使用需求調整，設定後確認視訊與通話功能正常。
- ✅ 閱讀無日誌政策對診斷資料、連線資訊與保存期限的說明。
- ❌ 不要將單次測試結果當作永久安全保證，也不要忽略帳號登入與瀏覽器追蹤。
多久需要重新檢查一次？
沒有適用所有人的固定頻率。初次設定、換用戶端或瀏覽器、修改 DNS 或分流規則、切換網路環境後，重新檢查最有價值。平時可把測試當成設定驗證，而不是每天重複測試並追逐每次解析器清單的細微變化。
DNS 測試顯示不同解析器，就是外洩嗎？
不一定。解析器可能屬於 VPN 服務所使用的合作網路，或因負載分配而呈現不同名稱。應核對服務商的 DNS 說明、解析器所屬網路與當前 VPN 設定；若持續出現本地供應商的解析路徑，再檢查用戶端 DNS 保護與瀏覽器安全 DNS。
為了隱私應該完全停用 WebRTC 嗎？
不一定。停用可能影響視訊、語音或其他即時通訊功能。若測試確認瀏覽器暴露不希望公開的公網位址，可先採用瀏覽器支援的限制方式，並確認 VPN 路由，再用常用的通訊網站測試功能是否正常。
VPN 能保證匿名或完全不留資料嗎？
不能。VPN 可保護裝置到 VPN 伺服器之間的通道，並改變網站看到的網路出口，但無法消除帳戶登入、瀏覽器指紋、網站追蹤或裝置端資料。應把技術測試、隱私政策與自己的使用習慣一起評估，不將任何單一工具視為完整匿名方案。