Тест WebRTC: какие IP-кандидаты видит сайт

Что именно проверяет страница

WebRTC ищет способы установить прямое соединение между участниками звонка или передачи данных. Возможные маршруты называются ICE-кандидатами. Страница создаёт пустой канал данных, собирает кандидаты и сразу закрывает соединение. Доступ к камере и микрофону не запрашивается.

Локальный режим работает только в браузере и не обращается к STUN- или TURN-серверам. Он полезен для проверки host-кандидатов, но обычно не может определить внешний адрес за NAT. Расширенная проверка по отдельной команде обращается к публичному STUN-серверу Cloudflare и может получить server-reflexive-кандидат — адрес и порт, наблюдаемые извне.

Как читать типы кандидатов

• host — адрес сетевого интерфейса или замещающее его mDNS-имя. Частный адрес вида 192.168.x.x не является вашим публичным IP.
• srflx — адрес, который STUN-сервер увидел за NAT. Именно его стоит сравнить с ожидаемым выходным IP VPN.
• relay — адрес TURN-ретранслятора. Этот тест TURN не настраивает, поэтому такой кандидат обычно не появляется.

Когда результат похож на утечку

Сначала узнайте выходной IP подключённого VPN у провайдера, в его приложении или нашим инструментом проверки публичного IP и укажите его в поле теста. Если WebRTC через STUN показывает другой публичный адрес, это признак возможного прямого маршрута в обход VPN. Перепроверьте результат после перезапуска VPN и браузера: несколько интерфейсов, IPv4/IPv6, корпоративная сеть и split tunneling могут давать несколько корректных адресов.

Совпадение тоже относится только к этому запуску и выбранному браузеру. Оно не проверяет DNS, обычные HTTP-запросы, другие приложения или будущие изменения сети. Подробнее о границах браузерной защиты — на странице безопасности WW.proи в сравнении расширения с системным VPN.

Почему отсутствие кандидатов ничего не доказывает

Браузер, расширение, политика организации, фаервол или сеть могут блокировать сбор кандидатов. Иногда он просто не успевает завершиться. Поэтому пустой список означает только «в этом запуске страница не получила данных». Он не позволяет честно написать «утечек нет».

Приватность теста

Кандидаты и введённый ожидаемый IP хранятся только в состоянии этой вкладки: инструмент не отправляет их на сервер WW.pro. В локальном режиме внешних сетевых участников нет. При расширенной проверке браузер сам связывается с stun.cloudflare.com:3478; Cloudflare технически видит исходный IP, порт и время запроса. Не запускайте этот режим, если не хотите раскрывать эти данные третьей стороне. Ознакомьтесь также с общей политикой конфиденциальности сайта.

Что делать при подозрении на обход VPN

1. Повторите расширенный тест до и после подключения VPN и сохраните оба адреса.
2. Проверьте настройки WebRTC/IP handling в браузере и VPN-расширении.
3. Убедитесь, что IPv6 защищён или отключён вашим VPN, если появился IPv6-кандидат.
4. Если используете WW.pro, приложите тип кандидата и версии Chrome и расширения к обращению в поддержку.