Cara kerjanya
Kebocoran berarti sebagian trafik Anda melewati proxy atau VPN yang Anda kira sedang dipakai, keluar lewat jaringan lokal Anda, dan menyerahkan IP asli Anda kepada pihak seberang. Klien proxy yang menampilkan "terhubung" tidak berarti setiap permintaan berada di bawah kendalinya.
Sebelum mencapai sebuah situs, perangkat Anda me-resolve domain menjadi IP. Jika langkah itu melewati proxy, resolver ISP Anda melihat setiap domain yang Anda kunjungi — bahkan ketika koneksi berikutnya terenkripsi dan diproksikan dengan benar.
Penyebab yang lazim adalah pengaturan DNS tingkat sistem yang mengalahkan aturan proxy, atau klien proxy yang sejak awal tidak mengambil alih DNS.
WebRTC adalah stack peer-to-peer bawaan browser, yang menjadi dasar panggilan video dan berbagi layar. Untuk membangun koneksi langsung, ia bertanya kepada server STUN "apa alamat publik saya", dan permintaan itu dapat melewati proxy.
Akibatnya: halaman melihat IP proxy, sementara WebRTC menyerahkan IP asli Anda. Ini adalah kebocoran klasik, dan yang paling mudah terlewat.
Banyak proxy hanya menangani IPv4. Jika jaringan Anda juga memiliki IPv6 dan tujuan mendukungnya, browser mungkin memilih rute IPv6 langsung — sehingga proxy sama sekali tidak terlibat.
Tandanya sederhana: jika halaman ini menampilkan IPv4 dan IPv6 yang berasal dari jaringan berbeda, trafik Anda terbagi di dua stack tersebut.
Sebenarnya ini bukan kebocoran, melainkan kontradiksi. Zona waktu sistem, bahasa browser, dan lokasi IP harus sejalan. IP Amerika dengan jam UTC+8 saja sudah merupakan sinyal kuat — sistem risiko tidak butuh IP asli Anda, hanya bukti bahwa Anda menyamarkan sesuatu.
Artinya jalur yang dicakup pengecekan ini bersih saat ini. Ekstensi, aplikasi lain, dan pembaruan sistem semuanya dapat memunculkan jalur kebocoran baru, jadi uji ulang setelah mengubah apa pun.
Pertama aktifkan "resolve DNS melalui proxy" atau opsi yang setara di klien proxy Anda. Jika tidak bisa, arahkan DNS sistem Anda ke alamat yang disediakan proxy. Mengubah pengaturan DNS aman di browser hanya mencakup proses itu saja.
Mematikannya tidak disarankan: browser Chromium tanpa WebRTC itu sendiri dapat dikenali. Sebagai gantinya, batasi rute yang boleh dipakainya: di Chrome / Edge atur kebijakan enterprise WebRtcIPHandling ke disable_non_proxied_udp, di Brave pilih "Disable non-proxied UDP", dan di Firefox aktifkan media.peerconnection.ice.proxy_only_if_behind_proxy di about:config. Mode TUN di klien proxy Anda adalah solusi yang paling andal.
Minta proxy menangani IPv6 juga, atau nonaktifkan IPv6 di pengaturan jaringan sistem Anda. Cara kedua lebih tuntas tetapi merusak layanan yang hanya mendukung IPv6.