LEAK GUIDE

كشف التسريب · ملاحظات تقنية

يفحص اختبار التسريب نقطة خروج الويب وWebRTC وDNS وIPv6 واتساق البيئة معًا. تساعد هذه الملاحظات على التمييز بين التسريب الحقيقي والتوجيه المقسم المعتاد أو أثر ناتج عن وضع البروكسي.

العودة إلى اختبار التسريب

Technical Notes

شرح تسريبات WebRTC وUDP وDNS

ما هو تسريب WebRTC

WebRTC ميزة اتصال في الوقت الفعلي مدمجة في المتصفح، تستخدم لمؤتمرات الفيديو والمكالمات الصوتية ونقل الملفات P2P وما شابه ذلك. ولإنشاء اتصال من نظير إلى نظير، يكتشف المتصفح عنوانه الظاهر على الإنترنت العام عبر خادم STUN. ويستخدم هذا الاستكشاف عادة UDP، ولا تتولى خوادم البروكسي العادية من نوع HTTP / SOCKS حركة UDP بالضرورة.

إذا تجاوز طلب STUN البروكسي وخرج مباشرة من الشبكة المحلية، فقد يتمكن برنامج نصي في صفحة الويب من الحصول على IP العام الحقيقي الخاص بك. ولا تتطلب هذه العملية عادة إذنًا بالوصول إلى الكاميرا أو الميكروفون، ولا تعرض أي نافذة تأكيد إضافية، ولهذا تستخدم كثيرًا للتحقق مما إذا كان البروكسي يغطي فعلًا حركة الاتصال في الوقت الفعلي.

كيف تكشف هذه الأداة ذلك

تحاول الصفحة إجراء استطلاعات WebRTC مع عدة خوادم STUN، وتجمع العناوين العامة المعادة، وتقارنها مع IP الخروج عبر HTTP. إذا طابق العنوان المعاد نقطة الخروج الحالية، فالأرجح أن البروكسي يتولى مسار UDP؛ أما إذا أعاد عنوانًا لمشغل الاتصالات المحلي، فهذا يستحق التحقق.

التحقق مما إذا كان UDP يمر عبر نقطة خروج البروكسي
كشف ما إذا كان كل من IPv4 / IPv6 يتسرب على حدة
ملاحظة ما إذا كانت أهداف STUN المختلفة تطابق قواعد توجيه مختلفة

دور STUN وUDP

UDP بروتوكول نقل عديم الاتصال يستخدم عادة للصوت والفيديو والألعاب والاتصال في الوقت الفعلي. ومهمة STUN بسيطة: ترسل حزمة UDP إلى الخادم، فيخبرك الخادم بعنوان IP المصدر الذي رآه. ويعتمد WebRTC على هذه النتيجة للتفاوض على الاتصال، لذا فإن العنوان الذي يراه STUN هو الدليل الأساسي للحكم على وجود تسريب.

كيفية تفسير النتائج

لم يتم اكتشاف تسريبيطابق IP العام الذي أعاده WebRTC نقطة خروج البروكسي الحالية (وفي IPv6، ضمن /64 نفسه). وإذا لم يرجع أي IP عام على الإطلاق، فهذا يعني فقط أن الاختبار لم يتلق ردًا، وليس دليلًا على الأمان.

تسريب مشتبه بهأعاد WebRTC عنوان IP عامًا مختلفًا، ويشير موقعه أو مشغل الاتصالات أو ASN الخاص به إلى شبكتك المحلية الحقيقية.

تقسيم طبيعي لحركة المرورأعادت عدة خوادم STUN نقاط خروج مختلفة للبروكسي، لكن نقاط الخروج هذه تطابق ما تتوقعه من إعدادات التوجيه أو القواعد لديك.

ما الذي تفعله بعد اكتشاف تسريب

حوّل عميل البروكسي إلى وضع TUN كي تمر حركة UDP في WebRTC أيضًا عبر نقطة خروج البروكسي.
Chrome / Edge: اضبط سياسة الشركات <code>WebRtcIPHandling</code> = <code>disable_non_proxied_udp</code>؛ Firefox: فعّل <code>media.peerconnection.ice.proxy_only_if_behind_proxy</code> في <code>about:config</code>. لا تحذف WebRTC كليًا، لأن المتصفح الذي يفتقر إلى WebRTC يمكن تمييزه بحد ذاته.
Brave: اضبط سياسة معالجة IP في WebRTC على «تعطيل UDP غير الممرر عبر البروكسي».
عند الحاجة إلى المؤتمرات أو المكالمات الصوتية، أصلح أولًا قواعد توجيه UDP / STUN في عميل البروكسي.

تعدد عناوين IP الخروج لا يعني بالضرورة وجود تسريب

إذا كنت قد أعددت تقسيم حركة المرور، فقد تمر خوادم STUN المختلفة عبر عقد مختلفة — فمثلًا يمر STUN من Google عبر نقطة خروج في الولايات المتحدة، وSTUN من Cloudflare عبر نقطة خروج في هونغ كونغ. وهذا ليس خطيرًا بالضرورة؛ المهم هو مدى توافقه مع تصميم قواعدك. ما يجب الحذر منه حقًا هو أن تشير جميع عناوين WebRTC إلى موقعك الجغرافي الفعلي أو إلى مزود خدمة الإنترنت المحلي.

تسريب DNS لا يقل أهمية

يكشف تسريب WebRTC «IP الحقيقي الخاص بك»، بينما يكشف تسريب DNS «النطاقات التي استعلمت عنها». وإذا لم تمر طلبات DNS عبر البروكسي، فبإمكان مشغل الاتصالات المحلي أو محلل DNS لدى المزود الأعلى أن يرى المواقع الإلكترونية التي زرتها.

يستخدم كشف تسريب DNS في هذه الصفحة مسبارًا حقيقيًا: يشغل CleanIP.io خادم NS موثوقًا في كل من ولاية يوتا الأمريكية (ns1) ولوس أنجلوس الأمريكية (ns2)، يخدمان المنطقة dp.cleanip.io. وفي كل عملية كشف، يحل المتصفح 8 نطاقات فرعية مستقلة من نوع <uuid>.dp.cleanip.io؛ وتمر هذه الاستعلامات عبر محلل stub في نظامك -> مزود خدمة الإنترنت / VPN / محلل عودي عام، لتصل في النهاية إلى خادم NS الموثوق لدينا، الذي يسجل IP المحلل الذي أرسل الاستعلام و(إن وجدت) EDNS Client Subnet، ثم يعيدها إليك للمقارنة.

ركز على إشارتين: ① الشبكة الفرعية في ECS — إذا مرر المحلل العودي الشبكة الفرعية لجهازك (وهو أمر شائع مع Google 8.8.8.8)، فإن تلك الشبكة الفرعية دليل قاطع على هوية جهازك؛ ② دولة المحلل — من الطبيعي أن تعمل المحللات العودية العامة (1.1.1.1 / 8.8.8.8) بتقنية Anycast عابرة للحدود؛ المهم هو ما إذا كان موقع المحلل، حين تعتقد أن VPN مفعل، يقع في دولة نقطة خروج HTTP نفسها.

لماذا يعطي وضع البروكسي ووضع TUN نتائج مختلفة

عادة ما تتعامل خوادم البروكسي من نوع HTTP / SOCKS مع TCP فقط، لذا قد يتعذر إرسال حزم UDP التي يحتاجها STUN، وقد تعرض الصفحة «لا تسريب». وهذا لا يعني أن UDP قد مرر بأمان عبر البروكسي — بل يعني فقط أن UDP لم يصل إلى خادم STUN أصلًا. أما وضع TUN فيعترض كلًا من TCP وUDP على محول الشبكة الافتراضي، ولذلك يعكس مسار خروج UDP الحقيقي بشكل أفضل.

الوضعSTUN UDPدلالة النتيجة

بروكسي HTTP / SOCKSقد يتعذر الإرسال«لا تسريب» قد يعني فقط أن UDP محظور

TUN / محول افتراضييرسل فعليًاأنسب للتحقق من نقطة خروج UDP وقواعد التوجيه

ننصح بإعادة الاختبار في وضع الشبكة الذي تستخدمه فعليًا: إذا كنت تستخدم TUN عادة فاختبر به؛ وإذا كنت تعتمد على بروكسي المتصفح، فتأكد أيضًا من أن حظر UDP لا يفسر خطأً على أنه أمان. وعند الحكم على تسريب WebRTC، ركز على ASN والموقع الجغرافي لعنوان IP المعاد، وعلى مدى مطابقته لما تتوقعه من تقسيم حركة المرور.