Kiểm tra rò rỉ IP qua WebRTC khi dùng VPN
WebRTC leak test này cho bạn thấy đúng những địa chỉ mà một trang web bất kỳ đọc được qua WebRTC: IP nội bộ trong mạng LAN, IP công khai do máy chủ STUN trả về, địa chỉ IPv6 và các tên mDNS dạng .local mà trình duyệt dùng để che IP. Công cụ so các địa chỉ đó với IP mà website nhìn thấy qua HTTP để kết luận VPN của bạn có bị rò rỉ không, rồi hướng dẫn cách giới hạn WebRTC trên từng trình duyệt.
Tính năng nổi bật
- Tạo kết nối RTCPeerConnection thật trên trình duyệt và thu toàn bộ ICE candidate trong tối đa 6 giây
- Dùng máy chủ STUN công khai stun.l.google.com:19302 để lấy IP công khai qua WebRTC, có ô bỏ chọn để chỉ thu địa chỉ trên máy
- Lấy IP công khai qua HTTP từ api.ipify.org (IPv4) và api6.ipify.org (IPv6) để so sánh, cũng có ô tắt
- Phân loại từng địa chỉ: IPv4 nội bộ, IPv4 CGNAT của nhà mạng, IPv4 công khai, IPv6 link-local, IPv6 ULA, IPv6 công khai, tên mDNS
- Kết luận rõ: có rò rỉ IP khác, chỉ lộ IP nội bộ, không thấy rò rỉ, WebRTC không trả địa chỉ, hoặc trình duyệt đã tắt WebRTC
- So IPv6 theo tiền tố /64 để không báo nhầm khi máy dùng địa chỉ IPv6 tạm thời
- Bảng chi tiết từng candidate: loại host, srflx, relay, giao thức UDP/TCP, địa chỉ, cổng
- Báo khi máy chủ STUN không phản hồi (mạng chặn UDP) để không kết luận sai
- Hướng dẫn giới hạn hoặc tắt WebRTC trên Firefox, Brave, Chrome, Edge, Cốc Cốc và điện thoại
- Nút Chép kết quả; không lưu và không gửi kết quả về máy chủ của Tấn Phát Digital
Vì sao cần kiểm tra WebRTC sau khi bật VPN
VPN chuyển lưu lượng web của bạn qua máy chủ ở nơi khác, nên trang web thấy IP của máy chủ VPN thay vì IP nhà mạng. WebRTC là phần của trình duyệt dùng cho gọi video, chia sẻ màn hình, truyền file trực tiếp giữa hai máy. Để tìm đường kết nối, nó liệt kê các địa chỉ mạng của máy và hỏi một máy chủ STUN xem bên ngoài nhìn thấy mình ở địa chỉ nào. Nếu VPN hoặc trình duyệt cấu hình không chặt, yêu cầu STUN có thể đi thẳng qua card mạng thật thay vì qua đường hầm VPN, và trang web chỉ cần vài dòng JavaScript là đọc được IP thật. Không cần quyền camera hay micro. Bạn chỉ biết VPN có kín hay không khi kiểm tra trên chính trình duyệt và mạng mình đang dùng, nên hãy chạy lại mỗi lần đổi VPN, đổi trình duyệt hay cài tiện ích mới.
Lợi ích khi sử dụng
- Biết chắc VPN có che được IP thật trước các trang web dùng WebRTC hay không
- Phân biệt rò rỉ nghiêm trọng (IP công khai thật) với lộ IP nội bộ ít rủi ro hơn
- Thấy trình duyệt có đang che IP nội bộ bằng mDNS hay không
- Kiểm tra được cả IPv6, chỗ nhiều VPN chỉ hỗ trợ IPv4 hay bỏ sót
- Chủ động chọn tắt bước gửi gói STUN hoặc bước gọi ipify nếu không muốn liên lạc với bên thứ ba
- Kết quả nằm trên máy bạn, không bị lưu lại hay gửi về máy chủ của trang
Cách kiểm tra rò rỉ WebRTC
- 1Bật VPN như khi dùng bình thường rồi mở trang này. Muốn có mốc so sánh, chạy một lần khi tắt VPN trước.
- 2Đọc khung thông báo về STUN và ipify. Giữ cả hai ô Dùng máy chủ STUN của Google và Lấy IP công khai qua HTTP nếu muốn có kết luận đầy đủ.
- 3Bấm Bắt đầu kiểm tra và chờ vài giây cho trình duyệt thu ICE candidate.
- 4Đọc ô kết luận ở trên cùng: màu đỏ là có rò rỉ IP khác IP website thấy, màu cam là chỉ lộ IP nội bộ hoặc chưa so sánh được, màu xanh là không thấy rò rỉ.
- 5Xem hai khung IP website thấy qua HTTP và Địa chỉ đọc được qua WebRTC, rồi bảng ICE candidate để biết địa chỉ nào lộ ra từ đâu.
- 6Nếu có rò rỉ, làm theo phần Cách tắt hoặc giới hạn WebRTC cho trình duyệt của bạn, sau đó bấm Kiểm tra lại để xác nhận.
WebRTC lấy IP của bạn bằng cách nào
Khi một trang tạo RTCPeerConnection, trình duyệt chạy quy trình ICE (Interactive Connectivity Establishment, RFC 8445) để gom các ứng viên kết nối gọi là ICE candidate. Có ba loại chính. Candidate host là địa chỉ gắn trực tiếp trên các card mạng của máy, ví dụ 192.168.1.23 trong mạng Wi-Fi nhà bạn hoặc địa chỉ IPv6. Candidate srflx (server reflexive) là địa chỉ mà máy chủ STUN nhìn thấy khi trình duyệt gửi gói hỏi tới nó, tức IP công khai sau bộ định tuyến hay sau đường hầm VPN. Candidate relay là địa chỉ trên máy chủ chuyển tiếp TURN, chỉ có khi trang cấu hình TURN. Các candidate này được trao cho JavaScript của trang qua sự kiện onicecandidate và nằm trong SDP. Trang web không cần xin quyền camera hay micro mới tạo được kết nối dữ liệu, nên đây là cách đọc IP âm thầm mà các trang quảng cáo, theo dõi từng dùng.
Thế nào mới gọi là rò rỉ
Rò rỉ nghiêm trọng là khi IP công khai đọc qua WebRTC khác IP mà website nhận được qua HTTP. Lúc bật VPN, IP qua HTTP là IP máy chủ VPN; nếu WebRTC lại trả về IP của nhà mạng Việt Nam thì trang web biết được cả hai, và việc dùng VPN để ẩn vị trí mất tác dụng. Mức nhẹ hơn là lộ IP nội bộ như 192.168.x.x hay 10.x.x.x: địa chỉ này không dùng để kết nối vào máy bạn từ Internet, nhưng cộng thêm vào các đặc điểm khác của trình duyệt thì dễ nhận dạng hơn. Trường hợp an toàn là IP công khai qua WebRTC trùng IP qua HTTP và IP nội bộ được thay bằng tên mDNS ngẫu nhiên, hoặc WebRTC không trả địa chỉ nào. Khi không bật VPN, IP qua WebRTC trùng IP qua HTTP là bình thường, không phải lỗi.
mDNS và chuỗi .local: trình duyệt che IP nội bộ thế nào
Để giảm việc lộ IP nội bộ, Chrome và các trình duyệt dựa trên Chromium thay địa chỉ host bằng một tên ngẫu nhiên dạng chuỗi UUID kèm đuôi .local khi trang chưa được cấp quyền camera hoặc micro. Cách làm này dựa trên bản dự thảo của IETF về mDNS trong ICE candidate: máy bên kia trong cùng mạng LAN có thể phân giải tên đó qua multicast DNS, còn trang web chỉ thấy chuỗi vô nghĩa. Mỗi lần tạo kết nối, tên có thể đổi. Vì vậy trong bảng kết quả bạn có thể thấy candidate host là một chuỗi dài đuôi .local thay vì 192.168.x.x; công cụ xếp loại này vào mục Tên mDNS và không coi là rò rỉ. Nếu bạn đã cấp quyền camera hay micro cho trang, hoặc dùng trình duyệt không áp dụng cơ chế này, IP nội bộ thật có thể hiện ra và công cụ sẽ báo mức cam.
IPv6 và VPN chỉ hỗ trợ IPv4
Nhiều nhà mạng Việt Nam đã cấp IPv6 cho thuê bao cáp quang và di động. IPv6 công khai thường gắn thẳng lên card mạng, nên nó xuất hiện ngay trong candidate host mà không cần STUN. Nếu VPN chỉ định tuyến IPv4 và không chặn IPv6, trang web có thể thấy IPv4 của máy chủ VPN nhưng lại đọc được IPv6 thật của bạn qua WebRTC. Công cụ lấy IPv6 qua api6.ipify.org để so sánh, và so theo tiền tố /64 vì máy tính thường đổi phần đuôi IPv6 định kỳ (địa chỉ tạm thời) trong khi tiền tố mạng giữ nguyên. Nếu kết quả báo rò rỉ một địa chỉ IPv6 khi đang bật VPN, hãy bật tùy chọn chặn IPv6 hoặc bảo vệ rò rỉ IPv6 trong ứng dụng VPN, hoặc chọn VPN hỗ trợ IPv6 đầy đủ.
Bên thứ ba nào nhận được gì khi bạn chạy kiểm tra
Để biết IP công khai qua WebRTC, trình duyệt phải gửi gói STUN tới một máy chủ STUN. Công cụ dùng stun.l.google.com cổng 19302 của Google, máy chủ công khai được nhiều ứng dụng WebRTC dùng làm mặc định; Google nhận được gói UDP từ IP của bạn như khi bạn dùng Google Meet. Để biết IP qua HTTP, công cụ gọi api.ipify.org và api6.ipify.org, hai dịch vụ chỉ trả về địa chỉ IP của người gọi. Danh sách candidate, IP và kết luận chỉ nằm trong bộ nhớ trình duyệt; trang không có API nào nhận kết quả và không ghi vào bộ nhớ trình duyệt. Nếu không muốn liên lạc với hai bên này, bỏ chọn các ô tương ứng: khi đó công cụ vẫn liệt kê địa chỉ trên máy nhưng không kết luận được về IP công khai.
Khi kết quả không có candidate srflx
Nếu bảng chỉ có candidate host mà không có srflx dù đã bật STUN, có ba khả năng. Mạng công ty, trường học hoặc tường lửa chặn UDP ra ngoài nên gói STUN không tới được Google; công cụ sẽ hiện cảnh báo không nhận được phản hồi STUN. Trình duyệt hoặc tiện ích đang ép WebRTC chỉ dùng proxy, nên không gửi UDP trực tiếp. Hoặc VPN chặn mọi UDP không đi qua đường hầm. Trường hợp đầu chưa chứng minh được VPN kín, vì ở mạng khác gói STUN có thể đi được; hai trường hợp sau là dấu hiệu tốt. Nếu không có cả candidate host lẫn srflx, WebRTC đã bị giới hạn hoàn toàn và trang web không lấy được IP qua đường này.
Giới hạn WebRTC mà không làm hỏng gọi video
Tắt hẳn WebRTC là cách chắc chắn nhất nhưng làm hỏng Google Meet, Zalo Web, Messenger, Discord trên trình duyệt. Cách cân bằng hơn là chỉ cho WebRTC dùng giao diện mạng mặc định, tức đường đi qua VPN: Firefox có khóa media.peerconnection.ice.default_address_only trong about:config, Brave có mục chính sách xử lý IP WebRTC trong phần quyền riêng tư. Chrome, Edge và Cốc Cốc không có nút này trong cài đặt, nên thường dựa vào tiện ích của nhà cung cấp VPN. Một cách khác là dùng ứng dụng VPN chạy ở cấp hệ điều hành có tính năng chặn kết nối ngoài đường hầm (kill switch), để gói STUN cũng buộc phải đi qua VPN. Sau mỗi thay đổi, chạy lại trang này để xác nhận, vì bản cập nhật trình duyệt hay tiện ích có thể làm thiết lập thay đổi.
Chỉ kiểm tra trên máy của chính bạn
Công cụ đọc địa chỉ của trình duyệt đang mở trang, không quét mạng, không dò máy khác và không lấy được IP của người khác. Nó dành cho việc kiểm tra cấu hình VPN, trình duyệt trên máy tính, điện thoại của chính bạn hoặc máy mà bạn quản lý. Kết quả chỉ phản ánh trình duyệt, mạng và VPN tại thời điểm chạy: đổi Wi-Fi sang 4G, đổi máy chủ VPN hay cập nhật trình duyệt đều có thể cho kết quả khác. Công cụ cũng không kiểm tra rò rỉ DNS hay các dấu vết khác ngoài WebRTC; muốn xem trình duyệt để lộ những thông tin nhận dạng nào khác, có thể dùng thêm công cụ kiểm tra dấu vân tay trình duyệt.
Câu hỏi thường gặp (FAQ)
WebRTC leak là gì?
Là việc trình duyệt để lộ địa chỉ IP thật qua WebRTC, phần dùng cho gọi video và truyền dữ liệu trực tiếp. Trang web chỉ cần tạo một kết nối WebRTC là đọc được danh sách địa chỉ, kể cả khi bạn đang dùng VPN, nếu VPN hoặc trình duyệt không giới hạn WebRTC.
Làm sao biết VPN có bị rò rỉ WebRTC không?
Bật VPN, mở trang này và bấm Bắt đầu kiểm tra. Nếu IP công khai qua WebRTC khác IP website thấy qua HTTP, công cụ báo đỏ là có rò rỉ. Nếu hai địa chỉ trùng nhau hoặc WebRTC không trả địa chỉ nào, VPN không bị lộ qua đường này.
Không bật VPN mà vẫn thấy IP qua WebRTC, có sao không?
Không sao. Khi không dùng VPN, IP công khai qua WebRTC trùng IP mọi trang web vẫn thấy qua HTTP, nên không lộ thêm gì. Kiểm tra lúc tắt VPN chỉ để có mốc so sánh.
Chuỗi dài đuôi .local trong kết quả là gì?
Đó là tên mDNS ngẫu nhiên mà Chrome và trình duyệt Chromium dùng thay cho IP nội bộ khi trang chưa có quyền camera, micro. Trang web không biết tên đó ứng với IP nào, nên công cụ không tính là rò rỉ.
Lộ IP nội bộ 192.168.x.x có nguy hiểm không?
Ít nguy hiểm hơn lộ IP công khai, vì địa chỉ nội bộ không dùng để kết nối vào máy bạn từ Internet và rất nhiều nhà dùng cùng dải. Tuy vậy nó là thêm một chi tiết giúp nhận dạng trình duyệt, nên công cụ báo mức cam.
Công cụ có gửi dữ liệu đi đâu không?
Trình duyệt gửi gói STUN tới máy chủ của Google và gọi api.ipify.org, api6.ipify.org để lấy IP; các bên này thấy IP của bạn như mọi trang web. Kết quả không được lưu hay gửi về máy chủ của Tấn Phát Digital. Bạn có thể bỏ chọn hai ô tương ứng trước khi kiểm tra.
Vì sao không thấy candidate srflx?
Có thể mạng chặn UDP tới máy chủ STUN, trình duyệt hoặc tiện ích ép WebRTC đi qua proxy, hoặc VPN chặn UDP ngoài đường hầm. Công cụ sẽ cảnh báo khi không nhận được phản hồi STUN. Thử ở mạng khác để chắc chắn.
Cách chặn WebRTC leak trên Chrome, có cần extension không?
Chrome không có nút tắt WebRTC trong cài đặt. Thường người dùng cài tiện ích của nhà cung cấp VPN có tùy chọn chặn rò rỉ WebRTC, hoặc một extension chuyên đổi chính sách xử lý IP của WebRTC (nhóm tiện ích kiểu WebRTC Leak Prevent, WebRTC Leak Shield), hoặc dùng VPN cấp hệ điều hành có kill switch. Extension chỉ đổi chính sách cho trình duyệt đó, không bảo vệ ứng dụng khác trên máy. Sau khi thay đổi, chạy lại WebRTC leak test để xác nhận.
Cách chặn rò rỉ WebRTC trên Firefox?
Gõ about:config vào thanh địa chỉ, tìm media.peerconnection.ice.default_address_only và đặt true để WebRTC chỉ dùng giao diện mạng mặc định. Muốn tắt hẳn WebRTC, đặt media.peerconnection.enabled thành false, nhưng gọi video trên web sẽ không chạy.
Brave có chặn rò rỉ WebRTC không?
Brave có mục chính sách xử lý IP WebRTC trong phần quyền riêng tư và bảo mật của cài đặt, cho chọn chỉ dùng giao diện công khai mặc định hoặc tắt UDP không qua proxy. Chọn xong hãy chạy lại kiểm tra.
Tắt WebRTC có ảnh hưởng gì?
Các dịch vụ gọi thoại, gọi video, chia sẻ màn hình trên trình duyệt như Google Meet, Zalo Web, Messenger, Discord sẽ không hoạt động. Vì vậy nên giới hạn WebRTC đi qua VPN thay vì tắt hẳn nếu bạn vẫn cần gọi video.
WebRTC leak test trên Android, iPhone được không?
Được, công cụ chạy trên Chrome, Safari, Firefox cho Android và iPhone. Kết quả phản ánh đúng trình duyệt và mạng trên điện thoại lúc đó. Trên điện thoại, cách chắc nhất là dùng ứng dụng VPN cấp hệ thống để mọi kết nối đi qua đường hầm.
Kết quả ở đây khác BrowserLeaks hay trang WebRTC leak check khác thì sao?
Các trang đều đọc cùng loại dữ liệu là ICE candidate của trình duyệt, nhưng có thể dùng máy chủ STUN khác và dịch vụ lấy IP qua HTTP khác, nên danh sách địa chỉ có thể chênh một chút. Điều cần so là kết luận: có IP công khai nào qua WebRTC khác IP mà website thấy hay không. Nếu một trang báo lộ còn trang khác không, hãy chạy lại cả hai sau khi kết nối lại VPN, vì candidate srflx phụ thuộc vào mạng lúc đo.
Công cụ có kiểm tra rò rỉ DNS không?
Không. Trang này chỉ kiểm tra địa chỉ lộ qua WebRTC. Rò rỉ DNS là chuyện khác: truy vấn tên miền đi ra máy chủ DNS của nhà mạng thay vì qua VPN, cần công cụ kiểm tra riêng.
Vì sao công cụ báo rò rỉ IPv6?
Máy bạn có IPv6 công khai từ nhà mạng, còn VPN chỉ chuyển IPv4 qua đường hầm. Website thấy IPv4 của VPN nhưng WebRTC đọc được IPv6 thật. Hãy bật chặn IPv6 hoặc bảo vệ rò rỉ IPv6 trong ứng dụng VPN rồi kiểm tra lại.
Kết quả có đúng với mọi trang web không?
Nó cho biết trình duyệt của bạn trả về những địa chỉ nào khi một trang tạo kết nối WebRTC với STUN công khai, đúng như cách các trang theo dõi thường làm. Một trang dùng máy chủ STUN hoặc TURN khác có thể nhận thêm candidate khác, nhưng nếu trình duyệt đã giới hạn WebRTC thì giới hạn đó áp dụng cho mọi trang.
Dùng công cụ này để lấy IP người khác được không?
Không. Công cụ chỉ đọc địa chỉ của chính trình duyệt đang mở trang, không quét mạng và không tìm IP của ai khác. Hãy dùng để kiểm tra máy và VPN của bạn hoặc thiết bị bạn quản lý.
Từ khóa liên quan
- webrtc leak test
- webrtc leak
- webrtc leak check
- kiểm tra rò rỉ webrtc
- kiểm tra vpn có bị lộ ip không
- test rò rỉ ip vpn
- webrtc leak prevent
- webrtc leak prevent chrome extension
- webrtc leak prevent firefox
- webrtc leak prevent android
- webrtc leak shield
- cách tắt webrtc chrome
- tắt webrtc firefox
- webrtc là gì
- ip leak test
- kiểm tra ip thật khi dùng vpn
- rò rỉ ipv6 vpn
- mdns .local webrtc
- stun server ip
- brave webrtc ip handling policy
- webrtc leak test browserleaks