Cách hoạt động
Rò rỉ nghĩa là một phần lưu lượng của bạn bỏ qua proxy hoặc VPN mà bạn tin là đang dùng, đi ra qua mạng cục bộ và trao IP thật của bạn cho phía bên kia. Việc proxy client hiển thị "đã kết nối" không có nghĩa là mọi yêu cầu đều nằm dưới sự kiểm soát của nó.
Trước khi vào một trang, thiết bị của bạn phân giải tên miền ra IP. Nếu bước đó bỏ qua proxy, resolver của ISP sẽ thấy mọi tên miền bạn truy cập — kể cả khi kết nối sau đó được mã hóa và đi qua proxy đúng cách.
Nguyên nhân thường gặp là thiết lập DNS cấp hệ thống được ưu tiên hơn quy tắc proxy, hoặc proxy client ngay từ đầu chưa hề tiếp quản DNS.
WebRTC là bộ ngăn xếp peer-to-peer tích hợp sẵn trong trình duyệt, thứ cuộc gọi video và chia sẻ màn hình chạy trên đó. Để thiết lập kết nối trực tiếp, nó hỏi một máy chủ STUN "địa chỉ công khai của tôi là gì", và yêu cầu đó có thể đi vòng qua proxy.
Kết quả: trang web thấy IP của proxy, còn WebRTC lại trao IP thật của bạn. Đây là kiểu rò rỉ kinh điển và dễ bị bỏ sót nhất.
Nhiều proxy chỉ xử lý IPv4. Nếu mạng của bạn cũng có IPv6 và đích đến hỗ trợ nó, trình duyệt có thể ưu tiên tuyến IPv6 trực tiếp — loại proxy ra khỏi bức tranh hoàn toàn.
Dấu hiệu rất đơn giản: nếu trang này hiển thị cả IPv4 lẫn IPv6 thuộc về các mạng khác nhau, lưu lượng của bạn đang bị tách ra giữa hai ngăn xếp.
Nói chặt chẽ thì đây không phải rò rỉ mà là mâu thuẫn. Múi giờ hệ thống, ngôn ngữ trình duyệt và vị trí IP nên khớp nhau. Một IP Mỹ đi kèm đồng hồ UTC+8 tự nó đã là tín hiệu mạnh — hệ thống kiểm soát rủi ro không cần IP thật của bạn, chỉ cần bằng chứng cho thấy bạn đang che giấu.
Nghĩa là các đường đi mà bài kiểm tra này bao phủ hiện đang sạch. Tiện ích mở rộng, ứng dụng khác và bản cập nhật hệ thống đều có thể tạo ra đường rò rỉ mới, nên hãy kiểm tra lại sau khi thay đổi bất cứ thứ gì.
Trước hết hãy bật "phân giải DNS qua proxy" hoặc tùy chọn tương đương trong proxy client của bạn. Nếu không được, hãy trỏ DNS hệ thống tới địa chỉ do proxy cung cấp. Đổi thiết lập secure-DNS của trình duyệt chỉ áp dụng cho riêng tiến trình đó.
Không khuyến nghị tắt: một trình duyệt Chromium không có WebRTC tự nó đã dễ bị nhận diện. Thay vào đó hãy giới hạn tuyến nó được phép dùng: trên Chrome / Edge đặt chính sách doanh nghiệp WebRtcIPHandling thành disable_non_proxied_udp, trên Brave chọn "Disable non-proxied UDP", còn trên Firefox bật media.peerconnection.ice.proxy_only_if_behind_proxy trong about:config. Chế độ TUN trong proxy client là cách sửa đáng tin cậy nhất.
Hoặc để proxy xử lý cả IPv6, hoặc tắt IPv6 trong cài đặt mạng của hệ thống. Cách sau triệt để hơn nhưng làm hỏng các dịch vụ chỉ có IPv6.