IPv6-утечка — это одна из самых незаметных проблем VPN, о которой большинство пользователей не знают. Вы платите за VPN, видите в углу экрана значок «защищено», открываете 2ip.ru — там зарубежный IPv4-адрес. Всё хорошо? На самом деле — нет. Большинство современных интернет-провайдеров в России выдают своим абонентам и IPv4, и IPv6-адрес. Если ваш VPN-клиент туннелирует только IPv4-трафик, весь IPv6-трафик идёт мимо туннеля — напрямую через провайдера, со всеми вашими DNS-запросами, посещаемыми сайтами и истинной геолокацией. В этом гайде разберём, как это происходит, как проверить себя и как защититься.
Что такое IPv6 и почему он есть у вас
IPv6 — это новая версия интернет-протокола, разработанная для замены IPv4 ещё в 1998 году. Главное отличие — длина адресов: IPv4 имеет 4 миллиарда возможных адресов (которые давно закончились), IPv6 — 340 ундециллионов (340 × 10^36).
В России массовое внедрение IPv6 началось в 2018–2020 годах. Сейчас (апрель 2026) почти все крупные провайдеры выдают абонентам dual-stack — одновременно IPv4 и IPv6:
- Ростелеком — IPv6 включён по умолчанию для всех тарифов
- МТС (домашний интернет) — dual-stack на большинстве тарифов с 2022 года
- Билайн — IPv6 на всех новых подключениях
- Дом.ру / ЭР-Телеком — частичный rollout, около 60% абонентов
- МТС/МегаФон/Билайн (мобильный интернет) — IPv6 в LTE/5G сетях массово
Если вы зайдёте на test-ipv6.com, то увидите свой IPv6-адрес — даже если никогда специально его не настраивали.
Что такое IPv6-утечка через VPN
Большинство VPN-протоколов, особенно старые (OpenVPN, L2TP, PPTP), создавались в эпоху, когда IPv6 был редкостью. Они туннелируют только IPv4-трафик. Когда вы запускаете VPN, происходит следующее:
- Клиент создаёт виртуальный IPv4-интерфейс (TAP/TUN-адаптер)
- Меняет таблицу маршрутизации: «отправлять весь IPv4-трафик через VPN»
- Не трогает IPv6-маршруты — они остаются прежними
- Когда вы открываете сайт, который доступен по IPv6 (например, google.com, youtube.com, cloudflare.com), браузер сначала пытается IPv6, и трафик идёт мимо VPN
Результат — ваш реальный IPv6-адрес виден сайту, ваш провайдер видит, какие домены вы посещаете, и ТСПУ может применять блокировки на этом трафике.
Как проверить наличие IPv6-утечки
Существует несколько надёжных тестов. Включите ваш VPN, потом откройте:
1. ipv6leak.com — самый известный тест. Откройте сайт через VPN. Если видите «Your IP address: X.X.X.X (your VPN exit IP)» и больше ничего — у вас всё хорошо. Если в нижней секции «IPv6 detected: yes» с реальным адресом — у вас утечка.
2. test-ipv6.com — комплексный тест. Покажет:
- Ваш IPv4 (должен быть VPN-IP)
- Ваш IPv6 (если есть, и при работающем VPN он должен быть «No IPv6» или скрыт)
- Какой протокол браузер предпочитает по умолчанию
3. dnsleaktest.com / extended test — проверяет не только утечку IPv6 как такового, но и DNS-резолвы IPv6.
4. Команды в терминале:
# Windows PowerShell: Resolve-DnsName -Type AAAA google.com # Если вернётся IPv6-адрес и потом ping6 google.com работает # при включённом VPN — у вас утечка # Linux: curl -6 https://api.my-ip.io/ip # Если возвращает реальный IPv6 при включённом VPN — утечка # macOS: curl -6 ifconfig.co # АналогичноКак защититься от IPv6-утечки
Есть три уровня защиты:
Уровень 1: VPN с поддержкой IPv6
Идеальный вариант — использовать VPN, который туннелирует и IPv4, и IPv6. WireGuard поддерживает IPv6 нативно. VLESS+REALITY поддерживает (если сервер настроен с IPv6-адресом). Но не все провайдеры это включают.
В VPN Rus Client мы используем Xray-core с inbound, слушающим и IPv4, и IPv6 (если у клиента есть IPv6). Однако наши outbound-правила маршрутизируют весь трафик через IPv4 на стороне сервера, чтобы избежать утечек на стороне выхода.
Уровень 2: отключение IPv6 в системе
Самый надёжный способ — полностью отключить IPv6 на своём устройстве, пока используете VPN.
Windows 10/11:
Панель управления → Сетевые подключения → ПКМ на активном адаптере → Свойства → снимите галочку с «Internet Protocol Version 6 (TCP/IPv6)»Альтернатива через PowerShell (от админа):
Disable-NetAdapterBinding -Name * -ComponentID ms_tcpip6macOS:
networksetup -setv6off Wi-Fi networksetup -setv6off EthernetЧтобы вернуть обратно: networksetup -setv6automatic Wi-Fi
Linux (NetworkManager):
nmcli connection modify "Connection-Name" ipv6.method ignore nmcli connection up "Connection-Name"Или системно через /etc/sysctl.conf:
net.ipv6.conf.all.disable_ipv6 = 1 net.ipv6.conf.default.disable_ipv6 = 1 sudo sysctl -piOS:
Нет нативного способа отключить IPv6 целиком. Решения — использовать VPN с правильной маршрутизацией (Hiddify Next, V2RayVPN) или приложение «Always-on VPN» с включённым «Block all non-VPN traffic».
Android:
Нет глобального переключателя без root. На некоторых прошивках (LineageOS, GrapheneOS) есть опции в Developer Settings. На стандартных Android — Settings → Network & Internet → VPN → шестерёнка → «Always-on VPN» + «Block connections without VPN». Это не отключает IPv6, но блокирует его при выключенном VPN.
Уровень 3: VPN-клиент с killswitch и IPv6-блокировкой
Современные VPN-клиенты (Hiddify Next, v2rayN, v2rayNG) имеют встроенные опции для блокировки IPv6 при подключении. Включайте:
Hiddify Next (iOS/macOS/Android/Windows): Settings → Advanced → IPv6 Mode → «Disable» или «Prefer IPv4 then IPv6 fallback only». Также Settings → Advanced → «Bypass IPv6 to direct» — выключите.
v2rayN (Windows): Settings → Routing → DNS → «AddressStrategy» = «UseIPv4». Это отключает AAAA-резолвинг.
v2rayNG (Android): Settings → Routing → «Domain strategy» = «IPIfNonMatch» + «Allow insecure» = false. В DNS settings: использовать только IPv4-DNS (например, 1.1.1.1, 9.9.9.9).
Streisand (iOS): Settings → Routing → IPv6 = «Block».
Killswitch: страховка от утечек
Killswitch (выключатель) — это функция, которая блокирует весь интернет-трафик, если VPN-туннель упал. Это страховка от ситуаций, когда вы думали, что VPN работает, а он давно отвалился.
Killswitch может быть:
- Программный (внутри VPN-клиента) — клиент сам блокирует исходящие соединения через firewall API системы. Работает на macOS, Linux, Windows. Менее надёжный — если клиент крашнется, killswitch отключается.
- Системный — настройка iptables/Windows Firewall/PF, которая независима от клиента. Самый надёжный вариант. Если клиент крашнется, трафик всё равно блокируется.
Пример системного killswitch для Linux (iptables, блокировка всего, кроме VPN-туннеля):
iptables -P OUTPUT DROP iptables -A OUTPUT -o lo -j ACCEPT iptables -A OUTPUT -o tun0 -j ACCEPT # tun0 — VPN-интерфейс iptables -A OUTPUT -d 185.221.222.60 -j ACCEPT # IP вашего VPN-сервера ip6tables -P OUTPUT DROP # IPv6 блокируем полностьюОсобый случай: Teredo и 6to4
Иногда даже на устройствах без нативного IPv6 от провайдера могут быть автоматически включены IPv6-туннели:
Teredo — Microsoft-технология автоматического IPv6-туннеля поверх IPv4. На Windows 7/10 включена по умолчанию. Может создавать IPv6-утечки даже без поддержки IPv6 от провайдера.
6to4 — старый механизм автоматического IPv6 через специальные anycast-релеи.
Отключение в Windows (PowerShell от админа):
netsh interface teredo set state disabled netsh interface 6to4 set state disabled netsh interface isatap set state disabledКак мы решаем IPv6-утечку у себя
В VPN Rus Client мы подходим к проблеме IPv6 на трёх уровнях:
- Серверная сторона: наши сервера в NL/DE/SE имеют IPv6-адреса, и Xray-core настроен на приём IPv6 inbound, и outbound только через IPv4 (для совместимости с большинством сайтов и для предотвращения utечек на стороне выхода).
- Конфигурация клиента: в наших инструкциях для каждого клиента (Hiddify Next, v2rayN, v2rayNG) указываем, какие настройки включать для блокировки IPv6 утечек.
- Подписка с правильными правилами: в VLESS-конфиге, который вы получаете через бот, мы устанавливаем `«domainStrategy»: «UseIPv4»` для DNS и outbound, чтобы клиент не пытался резолвить AAAA.
Заключение
IPv6-утечка — это серьёзная проблема приватности, которая может свести на нет всю работу VPN. Проверьте свой VPN на ipv6leak.com и test-ipv6.com прямо сейчас. Если есть утечка — отключите IPv6 в системе или используйте VPN-клиент с правильными настройками. VPN Rus Client учитывает IPv6-проблемы изначально: подключайтесь на vpnrusclient.com, получите 7 дней бесплатно и проверьте полную защиту от любых утечек.