这一页讲检测结果怎么看、发现泄漏怎么修。要直接测，去 coffee.catcat7.com（一键查出口 IP / DNS / WebRTC / IPv6）。
怎么看结果
以「代理出口 IP」为准
代理出口 IP 是境外网站看到的你的地址。
WebRTC：出现多个不同的公网 IP = 可能泄漏
WebRTC 检测的原理是浏览器绕过「系统代理」，
直接用 UDP 去问 STUN 服务器「我的公网地址是多少」。
探到的地址与代理出口不一致，
说明有一部分流量绕过了代理直接出网。
本地地址显示 172.19.x.x、198.18.x.x 之类的虚拟网卡地址，
或显示 .local，
都说明流量已被接管、内网地址没有暴露。
DNS：解析器落在境内 = 域名查询没跟着代理走
让浏览器解析一个一次性域名，看是哪一台递归解析器来问服务器。出口在境外线路上、解析器却是境内的，说明域名查询没走代理——境内解析器能看到你在解析哪些域名，这主要是隐私问题。
「目标网站会不会专门检测本地 DNS 解析出口」——目前没有任何证据表明 Claude / OpenAI / Google 这么做；已知做「解析器国家 vs IP 国家」比对的只有流媒体。我们不能证明它们不做，所以这里是不确定。
其他 DNS 泄漏检测网站：https://browserleaks.com/dns · https://dnsleaktest.com/
发现泄漏怎么办
桌面：开启 TUN 模式
Clash Verge 设置页里的 Tun Mode 要打开。只开 System Proxy（系统代理）挡不住 WebRTC，也挡不住 DNS 和 IPv6。
IPv6 泄漏：让 TUN 一起接管 v6，或在系统里关掉 IPv6
「防 DNS 泄漏」到底防什么
本地网络看到你在解析哪些域名
本地网络（运营商 / 公司）看到你在解析哪些域名——原版订阅的 DNS 是加密 DoH 到阿里 / 腾讯，运营商看不见内容，但阿里 / 腾讯看得见全部；这是隐私问题。
国外网站会不会特意去问一个中国网站看你的出口
有的检测页会在你浏览器里请求 ip138 这类国内端点，分流下这条直连，国内端点直接看到真实 IP。
这不是 DNS 泄漏，是「国内直连」本身带来的暴露。
Claude / OpenAI / Google 是否这样做，没有已知案例，仍然不确定。
重要程度排序
真正实质的是 WebRTC 与 IPv6，那是把真实 IP 直接交给任何网页；DNS 排第二，主要是隐私。