WebRTC 泄露检测

WebRTC 是浏览器用于实时音视频和点对点数据传输的通信能力。建立连接前，浏览器需要找到双方能够互相访问的网络地址；STUN 服务会从外部观察连接，并返回一个服务器反射地址，也就是结果中显示的公网 IP。

普通网页请求和 WebRTC 连接可以经过不同的网络路径。VPN 或代理只接管网页流量、WebRTC 仍从其他接口出站时，网站就可能看到一个不属于当前预期出口的公网地址。检测会把这种额外地址找出来。

双栈网络本来就可以同时使用一个公网 IPv4 和一个公网 IPv6。只要 WebRTC 地址分别匹配当前同族公网地址，它们都是当前网络的正常出口。

WebRTC 公网 IP 没有命中当前同族地址时，页面会把它列为额外出口并报告泄露。

在代理或 VPN 客户端中开启 WebRTC 防护，或改用接管全部流量的模式（如 TUN 或全局模式），让 WebRTC 也经过同一出口；也可以在浏览器设置或扩展中把 WebRTC 限制为只走代理。修改后重新检测，额外地址应当消失。

最常见的原因是代理软件工作在 TUN 或 fake-ip 模式：STUN 服务器的域名被解析成 198.18.0.0/15 内的假地址，浏览器报告地址解析失败；或者代理与防火墙没有放行 UDP，STUN 请求得不到应答。这时页面显示“未取得公网地址”，明细逐个写出原因。网站要通过 WebRTC 取得您的公网 IP，同样要经过 STUN；STUN 不通，网站也拿不到，所以这种情况不是泄露。改用全部放行 UDP 的网络或模式后重新检测，才能判断 WebRTC 是否会暴露额外地址。

页面在检测 6 个独立来源的同时另开一个连接，让同一个本地端口同时询问前 3 个来源（谷歌、Cloudflare、Twilio）。同一公网地址只映射出一个端口，且这 3 个来源中至少两个在独立检测中应答，推断为锥形 NAT；映射出多个端口，推断为对称 NAT；证据不足时显示无法判断。设备同时连着多条网络时，多个端口不一定来自对称 NAT，此时也显示无法判断。