WebRTC 洩漏測試

為什麼要檢查

WebRTC 讓瀏覽器直接交換資料。這個測試不使用相機或麥克風，而是收集瀏覽器提出的連線路徑。私人位址、被名稱遮蔽的本機位址與中繼位址意義不同，都不能直接當成公用上網 IP。要解讀非預期的公用候選項，先需要可靠參考值；沒有參考或收集不完整時，不應把結果寫成已確認洩漏。

如何操作

1. 如果有獨立確認的預期 VPN 公用出口，請輸入並記下位址家族。保留 STUN/TURN 伺服器與 HTTPS 補充探測設定。
2. 啟動完整測試並等待各階段：先不使用探索伺服器，再使用選定 ICE 伺服器收集候選項。
3. 依類型、家族與範圍閱讀候選項。先確認收集狀態，再比較公用位址與可用參考值。

測量方法

ICE 是 WebRTC 選擇可用路徑的機制。瀏覽器收集本機、STUN 發現、對端觀測與 TURN 中繼候選項。

候選項不傳送到我們的伺服器，而留在分頁記憶體。STUN、TURN 與選用的 IP 回報端點仍會看到聯絡它們的來源 IP；若填入 TURN 憑證，它們用於 TURN 驗證，不由工具儲存或送至我們的伺服器。

解讀結果

公用位址與參考值相同

同一家族的可見候選項符合預期出口。此結果限於本次實際收集的候選項。

公用位址不同

可能存在不同路徑。先確認家族、網路歸屬與預期值，再決定是否是不希望的繞路。

無參考或收集不完整

沒有可靠預期 IP 或可用 HTTPS 回報時，不能把公用候選項判為洩漏。沒有候選項也不證明沒有洩漏。

比較變更前後

1. 使用同一裝置、瀏覽器設定檔、STUN/TURN 伺服器與補充探測，儲存起始結果。
2. 變更一項 WebRTC 設定或連上 VPN。新的預期 IP 必須先另外確認，不能直接把本次候選項當成自己的參考答案。
3. 依相同家族與類型比較，將 TURN 中繼與直接揭露的公用位址分開。確認每次收集都足以比較。

測試限制

• 擴充功能、網路過濾、等待時間與政策可能限制 ICE 收集。成功的 HTTPS 回報不能補足失敗的 ICE 階段。
• WebRTC 與 HTTPS 可使用不同路徑。mDNS 名稱遮蔽本機位址，不證明所有公用路徑都受到保護。

可採取的調整

公用候選項似乎屬於原本上網連線。

檢查 VPN 路由與瀏覽器可用的 WebRTC 保護，使用確認過的公用參考值重測。

未取得可用候選項。

檢查伺服器與網路限制。仍無完整收集時保留無法判定，不當成保護成功。

常見問題

資料來源

• MDN · RTCIceCandidate.type