即使开了 VPN，你的 IP 地址依然在"裸奔"：WebRTC 泄漏漏洞详解
Diebug即使开了 VPN，你的 IP 地址依然在”裸奔”
开了 VPN 不代表你真的隐身
我去酒店住过不少次，每次连上公共 Wi-Fi 第一件事就是打开 VPN。总觉得有了这层加密隧道，上网就安全了——至少 ISP 看不到我在干什么，网站想监控我也得先过 VPN 这一关。
直到有一天，我用了一个在线 IP 检测工具，页面显示的 IP 地址竟然是我家的真实 IP，而不是 VPN 服务器的 IP。
那一刻我才意识到，我所谓的”隐身”，其实只是换了张面具。
WebRTC 是什么？为什么它会泄露 IP
WebRTC（Web Real-Time Communication）是 HTML5 的一个标准，允许浏览器在点对点之间直接传输音频、视频和数据，不需要任何插件或第三方软件。它的初衷是让网页视频通话像打电话一样简单。
但问题出在”点对点”这三个字上。
当你访问一个支持 WebRTC 的网站时，浏览器会尝试直接与对方建立连接。为了找到最佳路径，WebRTC 会把你的本地 IP 和公网 IP 发给 JavaScript 代码。这些 IP 信息不走 VPN 隧道，而是通过浏览器直接暴露出去。
VPN encrypts your traffic like an armored truck, but WebRTC is like opening the back door and shouting your address to everyone on the street.
从安全运营的角度来看，这是一个典型的纵深防御失效案例。你以为 VPN 是最后一道防线，但 WebRTC 直接绕过了它。
泄漏的危害有多严重
很多人觉得 IP 地址泄露又不会丢钱，这种想法太天真了。
精准钓鱼攻击：攻击者知道你的真实 IP 后，可以结合其他信息定制钓鱼邮件，比如知道你是某城市的用户，钓鱼邮件就假装是该城市的”公安局”发的。
长期追踪：IP 地址虽然会变化，但在一段时间内相对稳定。攻击者可以通过多次访问记录，将你的匿名浏览行为和真实身份关联起来。
绕过地理限制的检测：有些网站会对使用 VPN 的用户进行额外验证，一旦检测到 WebRTC 泄漏，就可能直接拒绝服务或标记你的账号。
法律风险：在某些国家或地区，使用 VPN 本身可能受到限制。如果 WebRTC 泄漏了你的真实 IP，你使用 VPN 的行为就会暴露。
如何检测自己的 IP 是否泄漏
检测 WebRTC 泄漏很简单。打开 browserleaks.com/webrtc 或 iphey.com，确保 VPN 已连接，然后查看页面显示的 IP 地址。对比你 VPN 服务器提供的 IP，如果两者不一致，说明真实 IP 已经通过 WebRTC 泄漏。
我自己的测试结果显示，即使开着 VPN，Chrome 浏览器也会暴露我的本地 IP 和公网 IP。Firefox 稍微好一点，但默认设置下同样存在风险。
四种防护方法
方法一：禁用 WebRTC
在 Chrome 中安装 “WebRTC Leak Prevent” 或 “Disable WebRTC” 插件即可。安装后 WebRTC 功能会被完全关闭，IP 就不会再泄漏。
缺点是如果需要在线视频通话，这个功能会让通话无法使用。
方法二：配置 Firefox 的隐私设置
Firefox 用户可以在地址栏输入 about:config，搜索 media.peerconnection.enabled，将其值设置为 false。Firefox 还有一个更精细的设置 media.peerconnection.use_ice_ufrag，可以控制 ICE 候选信息的泄漏程度。
方法三：使用支持 WebRTC 防护的浏览器
Brave 浏览器默认禁用了 WebRTC，并且有自己的隐私保护机制。Tor 浏览器也内置了 WebRTC 防护，但它会显著降低上网速度。
方法四：配置防火墙规则
对于 Linux 用户，可以通过 iptables 规则来阻止 WebRTC 流量：
1 | iptables -A OUTPUT -p udp --dport 3478 -j DROP |
Windows 用户可以尝试使用防火墙软件或 hosts 文件来阻止已知的 STUN 服务器。
VPN 不是万能药
这次经历让我重新审视了自己的安全习惯。以前总以为买了 VPN 就高枕无忧，实际上真正的安全防护需要多层叠加：VPN 加密流量、浏览器禁用 WebRTC、使用隐私保护搜索引擎、定期清理缓存和 Cookie、警惕钓鱼邮件。
单靠任何一层防护都不够。攻击者就像水一样，总会找到缝隙流进来。我们要做的，就是让他们的成本足够高。
我现在的做法是：VPN + Brave 浏览器 + uBlock Origin + 定期清理缓存。这套组合让我的网络足迹减少到了最低限度。
当然，没有绝对的安全。但至少，我不再是那个开着 VPN 却裸奔的人了。
