Vì sao dùng proxy vẫn lộ IP: kiểm tra và bảo vệ WebRTC
Trang kiểm tra IP thông thường hiển thị proxy nhưng WebRTC lại liệt kê IP khác hoặc tên .local. Chưa thể kết luận rò rỉ nếu chưa biết loại ứng viên ICE và tuyến mạng thực tế.
Rà soát tháng 7/2026. Hãy kiểm tra lại sau khi thay đổi trình duyệt, proxy hoặc mạng.
Vì sao đường đi khác nhau
Proxy HTTP thường chỉ chuyển tiếp yêu cầu web. WebRTC thu thập ứng viên ICE từ giao diện cục bộ, STUN và TURN để truyền âm thanh, video, dữ liệu bằng UDP hoặc TCP. Nếu UDP hay IPv6 không vào proxy, STUN có thể nhìn thấy ánh xạ công khai của mạng gốc.
| Loại | Cách hiểu |
|---|---|
host | Giao diện cục bộ, IP riêng, IPv6 hoặc mDNS; không tự chứng minh lộ IP công khai |
srflx | Ánh xạ NAT do STUN phát hiện; IP ISP gốc ở đây là dấu hiệu mạnh |
prflx | Ứng viên học được trong quá trình kiểm tra kết nối |
relay | Địa chỉ máy chủ TURN, không phải IP đầu cuối |
W3C lưu ý ứng viên ICE có thể tiết lộ vị trí, cấu trúc mạng và tăng bề mặt fingerprint. Xem phần quyền riêng tư IP.
Quy trình kiểm tra
- Ghi riêng IPv4 và IPv6 gốc làm mốc.
- Bật proxy, khởi động lại profile, kiểm tra HTTP, DNS, IPv4 và IPv6.
- Thu thập ứng viên cùng
type,protocolvà địa chỉ. - So sánh với IP gốc, proxy và TURN.
- Khởi động lại hoàn toàn sau mỗi thay đổi.
srflx chứa IP công khai của ISP gốc là rủi ro rõ ràng. IP riêng hoặc .local là host/mDNS và cần thêm ngữ cảnh. relay là TURN. Xem loại RTCIceCandidate.
Biện pháp bảo vệ
Dùng tunnel thực sự xử lý UDP và IPv6 cần thiết, kiểm tra split tunneling và chặn UDP không qua proxy nếu được hỗ trợ. Tắt WebRTC sẽ làm hỏng họp video và chia sẻ màn hình. Nhà phát triển web có thể dùng iceTransportPolicy: relay với TURN nhưng phải chấp nhận độ trễ và chi phí băng thông.
PurpleMark có Forward, Replace, Real, Disable và Proxy UDP. Replace khớp IPv4 WebRTC với proxy; Real giữ dữ liệu thật; Disable chặn đọc WebRTC; Proxy UDP chặn UDP ngoài proxy và cần Patch 2.8.2.0+; Forward giữ tính năng theo cấu hình chuyển tiếp. Luôn kiểm tra trên mạng thực tế.
Danh sách kiểm tra
- HTTP đã ra đúng proxy chưa?
- IPv4 và IPv6 có cùng chính sách không?
srflxcó IP ISP gốc không?- Giá trị còn lại là private, mDNS, proxy hay TURN?
- Proxy có thực sự hỗ trợ UDP không?
- Cuộc gọi cần thiết còn hoạt động không?
Kết luận
Địa chỉ thứ hai không đồng nghĩa rò rỉ. Phải phân loại ứng viên và đối chiếu với mạng gốc cùng proxy. PurpleMark giúp tách môi trường được ủy quyền nhưng không thay thế kiểm thử hoặc quy tắc nền tảng.