WebRTC 泄漏测试

这个测试能说明什么

WebRTC 支持浏览器直接通信。本测试只收集建立连接时提出的路径，不使用摄像头或麦克风。私有地址、被 mDNS 名称遮蔽的本地地址、公网地址和 TURN 中继地址含义不同。只有结合地址类型、完整收集和可靠参考，才能判断出口是否符合预期。

如何操作

1. 如已独立确认 VPN 的公网出口，请填写参考地址；记录 STUN/TURN 服务器和是否启用 HTTPS 回显。
2. 启动测试，等待本地收集、使用服务器的收集及出口比较全部完成。
3. 按类型和地址族读候选项，再查看错误及参考是否可用。不要只看一个 IP。

如何测量

浏览器收集 ICE 候选项，ICE 是选择 WebRTC 路径的机制：本地 host、STUN 发现的 srflx、对端发现的 prflx 和 TURN relay。

候选项保留在此标签页，不发送到我们的服务器。STUN、TURN 和可选回显服务仍会看到联系它们的源 IP；导出是在本地生成报告文件。

解读结果

公网地址符合参考

完整收集中的公网候选项与同地址族的预期出口一致，只描述本次收集。

出现意外公网地址

路径可能与预期不同。先确认地址族和所属网络，再判断是否绕过 VPN，不能仅凭差异定为泄漏。

参考缺失或收集不完整

没有可用参考或收集失败时，证据不足。HTTPS 回显成功不能补足失败的 ICE 阶段；没有候选项也不证明无泄漏。

比较调整前后

1. 同一设备、浏览器配置、STUN/TURN 和回显设置下保存初始类型及地址。
2. 只改变一个 WebRTC 设置或启用 VPN；仅凭另行确认的来源更新预期出口，再重测。
3. 按类型和地址族对比。中继地址属于 TURN 服务器，不应与直接公网出口混为一谈。

测试的局限

• 扩展、防火墙、浏览器政策及超时可能使收集不完整。
• mDNS 仅遮蔽本地地址，不证明所有公网路径均被保护；HTTPS 与 WebRTC 也可能走不同路线。

需要时如何调整

公网候选项似乎来自日常 ISP 而非 VPN

核对 VPN 对该地址族的路由及浏览器 WebRTC 保护，然后用已确认参考重测。

收集失败或无可用候选项

检查服务器可用性、浏览器政策和网络限制，保留无法确定的结论。

常见问题

资料与技术参考

• MDN · RTCIceCandidate.type