Що видає мою IP? Витоки через WebRTC, DNS та IPv6

Змінити адресу, яку бачить сайт, — легка частина. Складна — переконатися, що ніщо інше на вашій машині тихо не видає ту саму адресу, яку ви ховали. Найчастіше це роблять три канали, і всі три обходять проксі чи VPN, бо йдуть іншим шляхом усередині операційної системи чи браузера, ніж звичайні вебзапити. Якщо ви перевіряєтеся лише сторінкою «який у мене IP» і бачите там адресу виходу, ви перевірили парадні двері, тимчасом як троє чорних ходів стоять відчинені.

Три класичні витоки — WebRTC, DNS та IPv6. У кожного своя причина і свій спосіб лікування. Розуміти механізм важливо, бо перемикач «захист від витоків», який ви не можете перевірити, — це просто обіцянка.

WebRTC — це браузерна технологія, на якій тримаються відеодзвінки просто на сторінці. Щоб з'єднати двох учасників напряму, їй треба знати ваші кандидатні IP-адреси, тож вона питає про них STUN-сервер — і робить це з нутра браузера через UDP, часто повністю оминаючи проксі. Скрипт на будь-якій сторінці може прочитати ці кандидати через API RTCPeerConnection без жодного дозволу, а серед них цілком може бути ваша справжня локальна й публічна адреса.

SOCKS5- та HTTP-проксі, налаштовані на рівні застосунку, цей трафік не перехоплюють — тому браузер за проксі все одно тече. Що робити: вимкнути WebRTC там, де він не потрібен (у Firefox поставте media.peerconnection.enabled у false; у Chromium візьміть розширення, яке примусово проксіює UDP або вимикає непроксійований ICE), або запускати браузер під повнотунельним VPN, щоб навіть UDP від WebRTC виходив крізь тунель. Сучасні браузери ще й ховають локальну адресу за mDNS-іменем .local — це допомагає, але не завжди закриває публічного кандидата.

Витік DNS стається, коли пристрій розв'язує імена через резолвер вашого провайдера, а не через тунель. Сторінка вантажиться крізь проксі, але запит, який перетворив example.com на IP, пішов до провайдера — і той усе одно бачить кожен домен, куди ви ходите. Для проксі ліки — socks5h:// замість socks5://: так резолвити просять сам проксі; для VPN — DNS має бути заведений усередину тунелю. Зверху DNS over HTTPS або DNS over TLS зміцнюють картину ще більше.

Витік IPv6 — сучасна пастка: ваш тунель несе IPv4, але в системі лишається рідна зв'язність IPv6, тож будь-який сайт із IPv6 дістається напряму й бачить вашу справжню v6-адресу. Або вимикайте IPv6 на час підключення, або беріть VPN, що маршрутизує і IPv6. Подробиці — у гайді про тест на витік DNS та про IPv6-проксі.

Ніколи не припускайте — перевіряйте. Візьміть інструменти приватності s4m і будь-який ендпоінт, що відлунює заголовки, щоб побачити, що насправді отримує призначення, і проженіть окремий тест на витоки WebRTC/DNS/IPv6 з увімкненим проксі чи VPN. Зробіть це один раз для профілю браузера й повторюйте щоразу, коли міняєте мережу. Для швидких дослідів згодиться безкоштовний список проксі, але пам'ятайте: голий HTTP- чи SOCKS-проксі захищає лише той трафік, що йде крізь нього, — а WebRTC та IPv6 якраз крізь нього не йдуть. Коли захист від витоків одразу в усіх застосунках важливіший за контроль на рівні окремого застосунку, повнотунельний VPN — повніша відповідь, а проксі з авторизацією і socks5h чисто закриває DNS-половину.