IPv6 环境下 TikTok 直播防泄漏：你的 IP 还在这些地方“裸奔”

在做 TikTok 直播带货或者高价值直播业务时，大家最怕的是什么？不是流量起不来，而是辛苦搞起来的账号因为“关联”或者“IP 泄漏”被限流甚至封号。

尤其是现在很多朋友为了绕过某些限制，或者手头刚好有优质的 IPv6 资源，搭建了 IPv6-only 的环境。但不少人在实际推流中发现，即便挂了所谓的“住宅出口”，心里还是不踏实：万一我的真实 IPv6 地址在某个握手环节“裸奔”了怎么办？

最近看到有位在做跨境业务的大佬抛出了一个非常硬核的问题：在 IPv6-only 环境下，除了常规手段，还能不能在软路由层面用更底层的策略彻底掐死泄露路径？今天我们就借着这个问题，把直播防泄漏这件事从里到外扒干净。

一、 你的 IP 到底是从哪里漏出去的？

很多人以为开了代理就万事大吉，实际上 IPv6 环境下的追踪手段比 IPv4 更隐蔽。我们先来看看常见的三个“漏风”口。

WebRTC 绕过代理直接泄露真实 IP 的原理示意

1. WebRTC 的“后门”机制 为了提高直播和连麦的延迟与质量，浏览器和 App 会默认启用 WebRTC。这个协议在建立连接时，会想方设法寻找最高效的路径，这就导致它经常会绕过代理，直接向对方发送你的真实局域网 IP 甚至公网 IPv6 地址。除非你完全禁用它，否则这就是一个随时可能引爆的地雷。

2. DNS 解析的“指路牌”效应 虽然你用了代理，但如果 DNS 请求还是直接发到你当地的 ISP 服务器，平台虽然没抓到你的直连 IP，但能通过 DNS 请求的来源大致锁定你的地理位置和运营商。配合上 IPv6 的前缀特征，这几乎是实名自爆。

3. TLS 指纹与操作系统指纹 这一点最容易被忽略。现在的风控系统不傻，它们会分析你的 TLS 握手包（JA3 指纹）。如果你的真机是一个 iOS 的指纹，而你的代理出口是一个 Windows Server 的指纹，或者某些底层包的 MTU、TCP 窗口大小出现了 IPv6 特征的异常，这种“不协调”本身就是巨大的风险点，很容易触发人工复核。

二、 软路由层面的“绝杀”策略

针对上述问题，简单的“禁用 WebRTC”和“配置 DoH/DoT”可能已经不够用了。我们需要在软路由的内核层面动刀，利用 ip6tables 和 mangle 表来做强制性拦截。

1. iptables 强制阻断非代理流量

在 IPv6 环境下，你的首要原则是：除了代理服务器的 IPv6 地址，任何其他对外发出的 IPv6 包都应该是非法的。

你可以编写类似以下的 ip6tables 规则（请根据你的实际网段调整）：

• 默认拒绝出站： 先把 OUTPUT 链默认策略设为 DROP，或者新建一个自定义链条专门处理。
• 白名单机制： 只允许你的代理软件（如 Sing-box、Xray）监听端口发出的流量，以及必要的管理端口流量。
• 彻底禁用 ICMPv6（除必要诊断外）： 防止通过 Ping 探测到存活状态。

思路示例： 所有非本地进程、非代理端口的 IPv6 流量，全部在内核态丢弃，根本不给出网络的机会。这样即使 App 有 WebRTC 泄漏 Bug，包也发不出去。

2. 使用 Mangle 表进行流量标记与分流

NAT 模式下容易出问题，建议试试 TPROXY 透明代理模式配合 mangle 表。

• 利用 ip6tables -t mangle -A PREROUTING 给所有流量打上标记。
• 对于你不希望经过代理的（如果有的话），或者确认是泄漏风险的特定端口（如非标准 DNS 端口），可以直接标记并 DROP。
• 特别注意 UDP 流量。直播推流不仅走 TCP，大量视频数据走 UDP。WebRTC 更是纯 UDP 协议，如果你的 iptables 规则只写了 tcp，那 UDP 就像漏网之鱼。务必加上 -p udp 的匹配规则。

三、 实时审计：眼见为实

配了规则不代表绝对安全，我们需要工具来验证。就像杀毒软件要通过测试才能知道有没有漏网之毒一样。

1. 浏览器指纹检测

在推流的同时，用浏览器打开专门的 IP 泄漏检测网站（不局限于那几个著名的，多找几个针对 WebRTC 细分的）。重点关注是否显示了两类 IP：一个是你的代理出口 IP，另一个是你的本地 IPv6（通常以 fdxx:: 开头或公网 v6）。如果出现了后者，说明规则还有漏洞。

2. 抓包审计：Wireshark / tcpdump

这是最硬核但也最准的方法。

• 在软路由上开启 tcpdump -i any ip6。
• 开始直播推流几分钟。
• 停止抓包，分析 .pcap 文件。

查什么？ 搜有没有发往非代理服务器 IP 的包。特别是 DNS 查询包，看看它们是不是发往了 8.8.8.8 或者你当地的 ISP DNS，而不是走你的代理出去。如果有，说明你的 DNS 劫持或重定向规则没生效。

四、 避坑建议

• 不要迷信“一键脚本”：网上很多一键脚本只针对 IPv4 设计，在 IPv6 下不仅无效，甚至可能因为错误配置把你的路由管理权限也搞丢。一定要理解每一条 iptables 规则的含义。
• 容器隔离：如果条件允许，不要在物理路由器直接跑业务。用 Docker 或者虚拟机跑一个专用的客户端环境，然后在这个虚拟化的网卡接口上应用最严格的安全策略。即便出问题，也不会影响到整个家庭的网络。

搞技术玩直播，安全始终是 1，后面的流量和收益都是 0。既然已经上了 IPv6-only 的船，就把防火墙修得再厚一点。毕竟，在这个风控日益严苛的圈子里，稳才是最快的。