什么是 WebRTC 泄漏？

你连接了 VPN，打开浏览器，期望网站看到的是 VPN 的 IP 地址，而不是你自己的。大多数时候确实如此。但大多数浏览器内置的 WebRTC 功能，偶尔会把 VPN 本应遮住的地址交给网站，这就是所谓的 WebRTC 泄漏。

本文介绍 WebRTC 是什么、为什么会暴露 IP 地址、如何测试你自己的浏览器，以及怎样降低风险。内容只针对这一项浏览器功能。如果你想了解哪些信息会被隐藏、哪些不会，请阅读VPN 会隐藏你的 IP 地址吗。

WebRTC 是什么

WebRTC 是 Web Real-Time Communication（网页实时通信）的缩写。它是一组浏览器功能，见 MDN 的 WebRTC 文档，并由 W3C 制定标准，让网页无需安装插件就能进行视频通话、语音聊天、屏幕共享和点对点文件传输。如果你曾在浏览器标签页里参加过会议，很可能用到了 WebRTC。

要在两个人之间建立低延迟的直接连接，WebRTC 必须先弄清双方怎样才能找到对方。这并不容易，因为大多数设备都在家用路由器后面，使用的是网络外部无法访问的内网地址。

泄漏是怎么发生的

为了找到可用的路径，浏览器会收集一份可能的地址清单，称为候选地址（candidate），通常包括：

• 本地地址。 设备在家庭或办公网络中的内网地址，属于 RFC 1918 定义的范围，例如 192.168.x.x。
• 公网地址。 互联网外部看到的地址。为了获知它，浏览器会向一台辅助服务器（STUN 服务器）询问：“你看到我来自哪个地址？”
• IPv6 地址。 如果你的网络有 IPv6，也可能出现在清单中。

使用 WebRTC 的网页只需几行 JavaScript 就能读取这份清单，不必真的发起通话，在大多数浏览器里也不需要弹出权限提示。

VPN 可能被绕过的地方就在这里。VPN 通常把流量送入加密隧道，网站看到的是 VPN 服务器的地址。但 STUN 请求由浏览器自己发出，取决于操作系统和 VPN 配置，它可能走你的普通网络连接，而不是隧道。辅助服务器随后回复你的真实公网地址，网页就能读到。

一个简单的例子

假设你连接到另一个城市的 VPN 服务器。普通网站看到的是 VPN 的地址，符合预期。但一个带有 WebRTC 代码的页面向浏览器索取候选地址。浏览器通过你的普通连接联系 STUN 服务器，从你的网络服务商那里得知真实公网地址，并把它列入清单。页面于是拿到两个地址：VPN 的和你自己的。VPN 并不是通常意义上的失效，只是浏览器在隧道之外问了一个问题。

哪些信息会被暴露，哪些不会

项目	WebRTC 能否暴露	说明
你的真实公网 IP 地址	有时可以	开启 VPN 时最主要的担忧
本地网络地址	有时可以	许多新版浏览器会用随机名称代替，除非你授予摄像头或麦克风权限
IPv6 地址	有时可以	如果 VPN 配置没有处理 IPv6，更容易出现
你访问的页面	不能	候选地址清单不包含浏览历史
流量内容	不能	仍受隧道和 HTTPS 保护

实际风险在于，网站、广告商或其他方可能把你的访问与真实网络地址关联起来。对多数人来说这更像隐私上的不便而非灾难，但它确实削弱了你开启 VPN 的目的之一。

如何检测 WebRTC 泄漏

1. 先记下真实地址。 关闭 VPN，用任意 IP 查询页面搜索“我的 IP”，记下公网地址。
2. 连接 VPN。 确保连接成功后再打开浏览器。
3. 打开 WebRTC 泄漏测试页面。 有不少免费页面，搜索“WebRTC leak test”，选择对结果有清楚说明的一个。
4. 比较地址。 如果测试列出了第 1 步中的真实公网地址，说明浏览器在泄漏；如果只显示 VPN 的地址或本地名称，当前就是正常的。
5. 逐个测试你用的浏览器。 不同浏览器、普通窗口与隐私窗口的结果可能不同。
6. 有改动后再测。 更新浏览器、更改 VPN 设置或安装扩展后，请重新测试。

测试只是某一时刻的快照，不是保证。如何检查 VPN 是否正常工作介绍了更全面的检查方法，也建议同时测试 DNS 泄漏。

如何降低风险

不需要懂技术也能做到。按下面的顺序逐项处理，每步之后重新测试。

1. 更新浏览器和 VPN 应用。 浏览器厂商这些年不断收紧 WebRTC 的行为，更新很重要。
2. 使用浏览器自带的设置（如果有）。 有些浏览器提供选项，让 WebRTC 只使用 VPN 路径。例如 Firefox 允许高级用户通过配置页面关闭 WebRTC（media.peerconnection.enabled 设置项）。
3. 安装限制 WebRTC 的扩展。 有几款口碑良好的扩展可以限制 WebRTC 能暴露的地址。请从浏览器官方商店选择说明清楚、近期有更新的扩展，并查看它请求的权限。
4. 检查 IPv6。 如果测试发现了意料之外的 IPv6 地址，说明你的连接可能在隧道外使用 IPv6。VPN 应用或操作系统可能提供处理或关闭 IPv6 的选项。
5. 为敏感浏览单独建立浏览器配置文件。 把限制了 WebRTC 的配置文件与你用来视频通话的浏览器分开。
6. 重新连接并再次测试。 有些设置要重启浏览器后才会生效。

如果测试期间 VPN 总是断开，请参阅如何提高 VPN 连接的稳定性。

局限与注意事项

• 关闭 WebRTC 是有代价的。 视频会议、语音通话和部分网页游戏依赖它。如果改了设置后会议网站不能用了，多半就是这个原因。建议改为限制而不是关闭，或者专门留一个浏览器用于通话。
• 它只影响浏览器。 独立应用不使用浏览器的 WebRTC 功能，不过有些应用有自己的实时通信功能，行为可能不同。
• 如果你已登录账号，网页本来就知道你是谁。 此时调整 WebRTC 设置也无济于事。
• 测试结果干净不等于匿名。 网站仍可通过 Cookie、账号和浏览器指纹识别你。诚实的答案见VPN 能让你匿名吗。
• 工具之间可能不一致。 如果某个结果看起来不对，换一个测试页面，并在隐私窗口里再测一次。

小结

WebRTC 泄漏是指浏览器使用本为通话和视频设计的功能，在 VPN 隧道之外索取并泄露 IP 地址。暴露的是地址，而不是你的浏览内容。连接 VPN 后用 WebRTC 测试页面检测，更新浏览器，在合适的情况下限制或关闭 WebRTC，并在每次改动后重新测试。

如果你正在比较保护网络连接的方式，可以在定价页面了解预付套餐，或在帮助中心查看设置与检查指南。