我的IP泄露了什么？WebRTC、DNS和IPv6泄漏解释

改变网站看到的地址是简单的部分。困难的部分是确保没有其他任何东西在你的机器上悄悄地揭示你试图隐藏的地址。三种渠道最常这样做，所有这三种都绕过代理或VPN，因为它们在你的操作系统或浏览器内部使用与普通网页请求不同的代码路径。如果你只用一个“我的IP是什么”页面进行测试，并且它显示了出口地址，那么你只检查了前门，而三扇侧门却敞开着。

三种经典泄漏是WebRTC、DNS和IPv6。每种都有不同的原因和不同的解决方法。理解机制很重要，因为一个你无法验证的“泄漏保护”开关只是一个承诺。

WebRTC 是浏览器技术，支持页面内视频通话。要直接连接两个对等方，它需要知道你的候选 IP 地址，因此它向 STUN 服务器请求这些地址——并且它是在浏览器内部使用 UDP 完成的，通常完全跳过代理。任何页面上的脚本都可以通过 RTCPeerConnection API 在未获得许可的情况下读取这些候选地址，其中可能包含你的真实本地和公共 IP。

在应用程序级别设置的 SOCKS5 和 HTTP 代理不会捕获此流量，这就是为什么代理浏览器仍然可能泄漏的原因。解决方法：在不需要 WebRTC 的地方禁用它（在 Firefox 中将 media.peerconnection.enabled 设置为 false；在 Chromium 中使用强制代理 UDP 或禁用非代理 ICE 的扩展），或者在全隧道 VPN 内运行浏览器，这样即使 WebRTC 的 UDP 也会通过隧道离开。现代浏览器还通过 mDNS .local 主机名掩盖本地地址，这有助于但并不总是覆盖公共候选地址。

A DNS泄漏发生在您的设备通过您的ISP的解析器解析主机名，而不是通过隧道。页面通过代理加载，但将example.com转换为IP的查找请求发送给了您的提供商——因此您的ISP仍然可以看到您访问的每个域。使用代理时，解决方案是使用socks5h://而不是socks5://，这要求代理远程解析；使用VPN时，DNS必须被推送到隧道内部。将DNS通过HTTPS或DNS通过TLS叠加进一步增强安全性。

一个IPv6泄漏是现代的陷阱：您的隧道承载IPv4，但您的操作系统仍然具有本地IPv6连接，因此任何支持IPv6的网站都将直接访问，暴露您的真实v6地址。要么在连接时禁用IPv6，要么使用可以路由IPv6的VPN。请参阅我们的DNS泄漏测试指南和IPv6代理以获取详细信息。

永远不要假设；要验证。使用 s4m 隐私工具和一个头部回显端点来确认目标实际接收到的内容，并在您的代理或 VPN 激活时运行专用的 WebRTC/DNS/IPv6 漏洞测试。对一个浏览器配置文件进行一次测试，并在每次更改网络时再次测试。对于快速实验，免费代理列表是可以的，但请记住，裸 HTTP 或 SOCKS 代理仅保护通过它的流量——WebRTC 和 IPv6 正是那些不受保护的部分。当跨每个应用程序的防漏比每个应用程序的控制更重要时，完整隧道的VPN是更完整的答案，而一个经过身份验证的代理与socks5h可以干净地处理 DNS 部分。