Phát hiện rò rỉ · Ghi chú kỹ thuật

Rò rỉ WebRTC là gì

WebRTC là tính năng giao tiếp thời gian thực có sẵn trong trình duyệt, dùng cho họp video, gọi thoại, truyền tệp P2P và các tình huống tương tự. Để thiết lập kết nối ngang hàng, trình duyệt tìm ra địa chỉ công khai của chính nó thông qua máy chủ STUN. Quá trình thăm dò này thường dùng UDP, mà proxy HTTP / SOCKS thông thường không nhất thiết chặn được UDP.

Nếu yêu cầu STUN đi vòng qua proxy và ra thẳng từ mạng nội bộ, một đoạn script trên web có thể lấy được IP công khai thật của bạn. Quá trình này thường không cần quyền camera hay micro và không hiện thêm hộp thoại xác nhận, vì vậy nó hay được dùng để kiểm tra xem proxy có thật sự bao phủ cả lưu lượng giao tiếp thời gian thực hay không.

Cách đọc kết quả

Cần làm gì sau khi phát hiện rò rỉ

• Chuyển ứng dụng proxy sang chế độ TUN để UDP của WebRTC cũng đi qua lối ra proxy.
• Chrome / Edge: đặt chính sách doanh nghiệp <code>WebRtcIPHandling</code> = <code>disable_non_proxied_udp</code>; Firefox: bật <code>media.peerconnection.ice.proxy_only_if_behind_proxy</code> trong <code>about:config</code>. Đừng gỡ hẳn WebRTC, vì một trình duyệt không có WebRTC tự nó đã dễ bị nhận diện.
• Brave: đặt chính sách xử lý IP của WebRTC thành "Disable non-proxied UDP".
• Khi cần họp trực tuyến hoặc gọi thoại, hãy chỉnh các quy tắc định tuyến UDP / STUN trong ứng dụng proxy trước.

Nhiều IP lối ra không nhất thiết là rò rỉ

Nếu bạn đã cấu hình chia luồng, các máy chủ STUN khác nhau có thể đi qua các node khác nhau — ví dụ STUN của Google đi qua lối ra Mỹ, STUN của Cloudflare đi qua lối ra Hồng Kông. Điều này không nhất thiết nguy hiểm; điều quan trọng là nó có khớp với thiết kế quy tắc của bạn hay không. Điều thật sự cần để ý là khi mọi địa chỉ WebRTC đều trỏ về vị trí thực tế hoặc ISP nội địa của bạn.

Rò rỉ DNS cũng quan trọng không kém

Rò rỉ WebRTC làm lộ "IP thật của bạn"; rò rỉ DNS làm lộ "bạn đã truy vấn những tên miền nào". Nếu các yêu cầu DNS không đi qua proxy, nhà mạng nội địa hoặc resolver upstream vẫn thấy được bạn đã truy cập những trang nào.

Phần kiểm tra rò rỉ DNS của trang này dùng một probe thật: CleanIP.io vận hành mỗi nơi một NS có thẩm quyền tại Utah, Mỹ (ns1) và Los Angeles, Mỹ (ns2), phục vụ vùng dp.cleanip.io. Mỗi lần kiểm tra sẽ phân giải 8 subdomain <uuid>.dp.cleanip.io độc lập; các truy vấn này đi qua stub resolver của hệ thống -> ISP / VPN / resolver đệ quy công cộng, cuối cùng đến NS có thẩm quyền của chúng tôi, nơi ghi lại IP của resolver đã truy vấn và (nếu có) EDNS Client Subnet, rồi trả về cho bạn để đối chiếu.

Hãy tập trung vào hai tín hiệu: ① Dải ECS — nếu resolver đệ quy chuyển tiếp dải IP máy khách của bạn (thường gặp với Google 8.8.8.8) thì dải đó là bằng chứng xác định danh tính máy khách của bạn; ② quốc gia của resolver — anycast xuyên biên giới của các resolver đệ quy công cộng (1.1.1.1 / 8.8.8.8) là bình thường; điều quan trọng là khi bạn cho rằng VPN đang bật, vị trí resolver có khớp với quốc gia lối ra HTTP của bạn hay không.

Vì sao chế độ proxy và chế độ TUN cho kết quả khác nhau

Proxy HTTP / SOCKS thường chỉ xử lý TCP, nên UDP mà STUN cần có thể không gửi được và trang có thể hiện "không rò rỉ". Điều này không có nghĩa UDP đã được proxy an toàn — chỉ là UDP chưa bao giờ tới được máy chủ STUN. Chế độ TUN chặn cả TCP lẫn UDP trên card mạng ảo, nên phản ánh đúng hơn đường lối ra UDP thực tế.