泄漏检查与保护

带有代理或 VPN 的配置文件绝不会绕过它。在其他浏览器会悄悄“直接连上”的每一个时刻，这一点都成立：

配置文件打开之前会检查它的连接，除非最近的一次检查已确认它可用；VPN 则每次都检查。

分配了连接之后，最常发生泄漏的那些环节由应用自行封堵——不需要打开任何开关：

• DNS。 网站名称通过代理或由 VPN 的 DNS 服务器解析，而不是由你的系统解析。浏览器的安全 DNS 功能也因同样的原因被关闭：它会去询问它自己的解析器。
• WebRTC。 通话和对等连接不得绕过代理发送 UDP，所以网站无法通过它们得知你的真实地址。
• QUIC。 在代理路由上保持关闭，直到应用确认 UDP 确实经过该路由——见下文。

大多数代理只承载 TCP。因此，HTTP/3 和许多通话所使用的 UDP 在代理路由上是被阻止的，直到应用测得该路由确实能承载它：

• HTTP、HTTPS 和 SOCKS4 代理从不承载 UDP。
• SOCKS5 代理可能可以。路由在配置文件打开时测量，只有当 UDP 经过代理时才会放行。
• VPN 在隧道内承载 UDP。

Profile Settings › Connection 用两行显示结果：

UDP route

UDP 是经过代理、被阻止，还是尚未测量——打开配置文件即可测量。

HTTP/3

Available on this route、Blocked on this route 或 Not verified。

没有连接的配置文件使用你自己的网络——这就是 Direct Connection 的含义。如果你的任何配置文件都不应该这样做，请在 Settings › Connections 中打开 Block direct connections。

开启后，没有代理或 VPN 的配置文件不会被放行到你自己的网络：不会直接加载任何内容，并且配置文件会带有一条需要代理的警告。它默认关闭。

选中一个配置文件并在 Profile Settings 中点击 Check for Leaks。配置文件不必处于打开状态：应用会提出在不显示浏览器窗口的情况下加载它并运行检查——Load and check。

检查从外部、通过配置文件自己的连接来观察它，并报告七项内容：

No leaks detected

七项全部通过。无法检查的行不算通过——所以要得到这个结果，路由必须能承载 UDP，并且有可供比较的 IPv6 地址。

Leaks detected（检测到泄漏）

摘要会说明有多少项检查失败；每个失败的行都会给出原因和看到的地址。

Some checks could not be verified

没有失败项，但并非所有内容都能测量。在只有 IPv4 地址的代理上，这是常见的结果：IPv6 这一行没有可测量的内容。

UDP is blocked

UDP 根本不会离开配置文件。这是安全的状态，不是泄漏。

Connection changed — run the check again

检查运行期间连接被更改了。

Health 列和 Profile Settings 的顶部会汇总应用所知的配置文件路由存在的问题：最近一次检查失败、位置无法验证、指纹的国家与代理的国家不同、地址属于数据中心、某个大型网站对它发起了质询。失败的连接会让配置文件无法启动，无法确定国家的连接也是如此；其余几项则告诉你网站可能注意到什么。

• 检查连接检查测量什么，以及在哪里查看结果。
• 故障排除配置文件打不开，页面无法加载。