نحوه کار
نشت یعنی بخشی از ترافیک شما، برخلاف تصورتان، از پروکسی یا VPN (فیلترشکن) عبور نمی‌کند، بلکه مستقیماً از شبکه محلی خارج می‌شود و IP واقعی شما را در اختیار طرف مقابل قرار میدهد. نمایش «متصل» در برنامه پروکسی به این معنا نیست که همه درخواست‌ها تحت کنترل آن هستند.
پیش از رسیدن به یک سایت، دستگاه شما نام دامنه را به IP تبدیل می‌کند. اگر این مرحله از پروکسی عبور نکند، ریزالور ارائه‌دهنده اینترنت شما همه دامنه‌هایی را که بازدید می‌کنید می‌بیند — حتی اگر اتصال بعدی رمزنگاری‌شده باشد و به‌درستی از پروکسی عبور کند.
علت‌های رایج این است که تنظیمات DNS در سطح سیستم بر قوانین پروکسی اولویت دارد، یا برنامه پروکسی از ابتدا مدیریت DNS را بر عهده نگرفته است.
WebRTC قابلیت داخلی مرورگر برای ارتباط همتا به همتا است و تماس‌های تصویری و اشتراک‌گذاری صفحه‌نمایش بر پایه آن کار می‌کنند. برای برقراری اتصال مستقیم، از یک سرور STUN می‌پرسد «آدرس عمومی من چیست؟» و این درخواست ممکن است پروکسی را دور بزند.
نتیجه: صفحه وب IP پروکسی را می‌بیند، اما از طریق WebRTC، IP واقعی شما به دست می‌آید. این نشت کلاسیک است و از همه راحت‌تر نادیده گرفته می‌شود.
بسیاری از پروکسی‌ها فقط IPv4 را مدیریت می‌کنند. اگر شبکه شما IPv6 هم داشته باشد و مقصد از آن پشتیبانی کند، مرورگر ممکن است مسیر مستقیم IPv6 را ترجیح دهد — و پروکسی کاملاً کنار گذاشته شود.
نشانه‌اش ساده است: اگر این صفحه هم یک IPv4 و هم یک IPv6 نشان دهد که به شبکه‌های متفاوتی تعلق دارند، ترافیک شما میان دو پشته تقسیم می‌شود.
به‌طور دقیق، این نشت نیست بلکه تناقض است. منطقه زمانی سیستم، زبان مرورگر و موقعیت IP باید با هم همخوانی داشته باشند. یک IP آمریکایی با ساعتی روی UTC+8 به‌تنهایی سیگنال قوی‌ای است — سیستم کنترل ریسک به IP واقعی شما نیازی ندارد، فقط کافی است شواهدی ببیند که در حال پنهان کردن آن هستید.
یعنی مسیرهایی که این بررسی پوشش میدهد در حال حاضر بدون نشت هستند. افزونهها، برنامههای دیگر و بهروزرسانیهای سیستم همگی میتوانند مسیرهای نشت جدیدی ایجاد کنند، پس پس از هر تغییری دوباره تست کنید.
ابتدا گزینه «تفکیک نام DNS از طریق پروکسی» یا گزینه مشابه را در برنامه پروکسی خود فعال کنید. اگر این کار ممکن نبود، DNS سیستم را روی آدرسی که پروکسی ارائه میدهد تنظیم کنید. تغییر تنظیم DNS امن مرورگر فقط همان یک فرایند مرورگر را پوشش میدهد.
غیرفعال کردن آن توصیه نمیشود: یک مرورگر Chromium بدون WebRTC خودش قابل شناسایی است. بهجای آن، مسیری را که WebRTC میتواند استفاده کند محدود کنید: در Chrome / Edge سیاست سازمانی WebRtcIPHandling را روی disable_non_proxied_udp تنظیم کنید، در Brave گزینه «Disable non-proxied UDP» را انتخاب کنید و در Firefox گزینه media.peerconnection.ice.proxy_only_if_behind_proxy را در about:config فعال کنید. حالت TUN در برنامه پروکسی مطمئنترین راهحل است.
یا کاری کنید که پروکسی IPv6 را هم مدیریت کند، یا IPv6 را در تنظیمات شبکه سیستم غیرفعال کنید. روش دوم کامل‌تر است، اما سرویس‌هایی را که فقط از IPv6 پشتیبانی می‌کنند از کار می‌اندازد.