Warum ein Proxy die IP zeigen kann: WebRTC-Lecktest und Schutz
Ein normaler Test zeigt den Proxy, während WebRTC eine andere IP oder einen .local-Namen nennt. Ohne ICE-Kandidatentyp und tatsächlichen Pfad ist das kein Beweis für ein Leck.
Ein HTTP-Proxy trägt meist Webanfragen. WebRTC sammelt für Audio, Video und Daten ICE-Kandidaten von lokalen Schnittstellen, STUN und TURN über UDP oder TCP. Bleiben UDP oder IPv6 außerhalb des Proxys, kann STUN die öffentliche Abbildung des ursprünglichen Netzes sehen.
| Typ | Bedeutung |
|---|---|
host | Lokal, private IP, IPv6 oder mDNS; allein kein Beleg öffentlicher Offenlegung |
srflx | Von STUN entdeckte NAT-Abbildung; ursprüngliche ISP-IP hier ist starker Beleg |
prflx | Während Verbindungsprüfung gelernter Kandidat |
relay | TURN-Serveradresse, nicht Endgerät |
W3C beschreibt die Risiken im Abschnitt Revealing IP addresses.
Test und Schutz
Ursprüngliche IPv4/IPv6 privat notieren, Proxy aktivieren, Profil neu starten und HTTP, DNS sowie beide IP-Familien prüfen. type, protocol und Adresse sammeln und mit ISP, Proxy und TURN vergleichen. srflx mit ISP-IP ist ein Risiko; private oder .local braucht Kontext; relay ist TURN. Siehe ICE-Typen.
Einen Tunnel verwenden, der nötiges UDP und IPv6 ausdrücklich abdeckt, Split Tunneling prüfen und unproxied UDP wenn unterstützt sperren. WebRTC abzuschalten beeinträchtigt Konferenzen und Bildschirmfreigabe. Entwickler können relay-only TURN mit mehr Latenz und Kosten einsetzen.
PurpleMark bietet Forward, Replace, Real, Disable und Proxy UDP. Replace gleicht IPv4 an den Proxy an; Real behält echte Daten; Disable blockiert Lesen; Proxy UDP benötigt Patch 2.8.2.0+; Forward erhält die konfigurierte Funktion. Jeden Modus im realen Netz testen.
Fazit
Eine zweite Adresse ist nicht automatisch ein Leck. Kandidatentyp und Vergleich mit Ursprung/Proxy sind nötig. PurpleMark isoliert autorisierte Umgebungen, ersetzt aber weder Tests noch Plattformregeln.