如果在 VPN 后面，WebRTC 如何泄漏真实 IP 地址？

Question

最近我注意到 WebRTC 可能会泄漏真实的 IP 地址，即使是在 VPN 之后。WebRTC 究竟如何才能获得我的真实 IP 地址？

VPN 通常会创建一个新接口，并将所有数据包路由（当我检查路由表时）到该接口。那么 WebRTC 如何获知我的真实 IP 地址呢？是否以某种方式不使用由 VPN 创建的接口？

我读过 WebRTC 使用 STUN、TURN 和 ICE 协议来获取真实 IP 地址。他们如何获得这些信息？

防火墙规则是否能够防止这种泄漏？

编辑：我在 NATed 网络中使用 VPN，这意味着我的计算机不知道我的 ISP 提供的 IP 地址。那么，WebRTC 是否有可能获得它以及如何获得它？

Answer 1

WebRTC 连接涉及三个实体：

• 两个对等方（提供者和应答者），通常是网络浏览器，但也可能是服务器；
• 信令服务器，通常是与对等点交互的 Web 服务器。

当对等点决定相互连接时，它们会交换一组消息（提议、答案、ICE 候选，统称为 SDP 消息）。这些消息包含各种数据，例如有关支持的编解码器和加密密钥的信息，特别是它们包含对等点的 IP 地址。由于这些消息会传送到信令服务器，因此信令服务器可能会使用它们来了解您的 IP 地址。

对等方决定将其哪些 IP 地址包含在 SDP 消息中。理想情况下，使用 VPN 时，应仅包含 VPN 的 IP 地址。然而，由于SDP是由浏览器生成的，因此正确地做到这一点需要VPN和Web浏览器之间的配合，这是很难正确做到的。

为了解决此问题，最新的浏览器不在 SDP 中包含本地 (RFC 1918) 地址。如果您的主机只有 RFC 1918 地址，则此方法可以正常工作，但如果它具有全局地址（例如，因为它具有 IPv6 连接），则此方法会失败。您可以了解浏览器如何使用Trickle-ICE脚本进行操作，该脚本显示浏览器与信令服务器通信的地址。

在我看来，保持 IP 私密性的唯一可靠方法是在只知道您的 VPN 地址的虚拟机中运行浏览器。任何其他解决方法都太容易出错而不可靠。