Что выдаёт мой IP? Утечки через WebRTC, DNS и IPv6

Сменить адрес, который видит сайт, — лёгкая часть. Сложная — убедиться, что ничто другое на вашей машине тихо не выдаёт тот самый адрес, который вы прятали. Чаще всего это делают три канала, и все три обходят прокси или VPN, потому что идут другим путём внутри операционной системы или браузера, чем обычные веб-запросы. Если вы проверяетесь только страницей «какой у меня IP» и видите там адрес выхода, вы проверили парадную дверь, тогда как три чёрных хода стоят открытыми.

Три классические утечки — WebRTC, DNS и IPv6. У каждой своя причина и свой способ лечения. Понимать механизм важно, потому что переключатель «защита от утечек», который вы не можете проверить, — это просто обещание.

WebRTC — это браузерная технология, на которой держатся видеозвонки прямо на странице. Чтобы соединить двух участников напрямую, ей нужно знать ваши кандидатные IP-адреса, поэтому она спрашивает о них STUN-сервер — и делает это изнутри браузера по UDP, часто полностью минуя прокси. Скрипт на любой странице может прочитать эти кандидаты через API RTCPeerConnection без всякого разрешения, а среди них вполне может оказаться ваш настоящий локальный и публичный адрес.

SOCKS5- и HTTP-прокси, настроенные на уровне приложения, этот трафик не перехватывают — поэтому браузер за прокси всё равно течёт. Что делать: выключить WebRTC там, где он не нужен (в Firefox поставьте media.peerconnection.enabled в false; в Chromium возьмите расширение, которое принудительно проксирует UDP или отключает непроксированный ICE), либо запускать браузер под полнотуннельным VPN, чтобы даже UDP от WebRTC уходил через туннель. Современные браузеры ещё и прячут локальный адрес за mDNS-именем .local — это помогает, но не всегда закрывает публичного кандидата.

Утечка DNS случается, когда устройство разрешает имена через резолвер вашего провайдера, а не через туннель. Страница грузится сквозь прокси, но запрос, превративший example.com в IP, ушёл к провайдеру — и тот всё равно видит каждый домен, куда вы ходите. Для прокси лекарство — socks5h:// вместо socks5://: так резолвить просят сам прокси; для VPN — DNS должен быть заведён внутрь туннеля. Сверху DNS over HTTPS или DNS over TLS укрепляют картину ещё сильнее.

Утечка IPv6 — современная ловушка: ваш туннель несёт IPv4, но в системе остаётся родная связность IPv6, поэтому любой сайт с IPv6 достигается напрямую и видит ваш настоящий v6-адрес. Либо выключайте IPv6 на время подключения, либо берите VPN, который маршрутизирует и IPv6. Подробности — в руководстве про тест на утечку DNS и про IPv6-прокси.

Никогда не предполагайте — проверяйте. Возьмите инструменты приватности s4m и любой эндпоинт, отражающий заголовки, чтобы увидеть, что на самом деле получает адресат, и прогоните отдельный тест на утечки WebRTC/DNS/IPv6 с включённым прокси или VPN. Сделайте это один раз для профиля браузера и повторяйте всякий раз, когда меняете сеть. Для быстрых опытов сгодится бесплатный список прокси, но помните: голый HTTP- или SOCKS-прокси защищает только тот трафик, что идёт сквозь него, — а WebRTC и IPv6 как раз сквозь него не идут. Когда защита от утечек сразу во всех приложениях важнее контроля на уровне отдельного приложения, полнотуннельный VPN — более полный ответ, а прокси с авторизацией и socks5h чисто закрывает DNS-половину.