Kiểm tra rò rỉ VPN: Kiểm tra rò rỉ IP, DNS và WebRTC

Rò rỉ IP xảy ra khi một trang web hoặc dịch vụ Internet nhìn thấy địa chỉ IP công khai gốc của bạn dù VPN lẽ ra phải che giấu địa chỉ đó.

Điều này có thể tiết lộ nhà cung cấp Internet và vị trí gần đúng của bạn, đồng thời giúp liên kết hoạt động với kết nối gốc. Chỉ riêng địa chỉ IP thường không tiết lộ tên hoặc địa chỉ nhà chính xác của bạn.

Rò rỉ DNS xảy ra khi các yêu cầu tra cứu địa chỉ IP của trang web đi ra ngoài đường truyền được bảo vệ mà VPN dự kiến sử dụng. Ví dụ, nhà cung cấp Internet vẫn xử lý các yêu cầu này trong khi VPN lẽ ra phải dùng máy chủ DNS riêng.

Điều này có thể làm lộ tên miền mà trình duyệt và ứng dụng của bạn yêu cầu, ngay cả khi các trang web chỉ thấy địa chỉ IP của VPN. Bản thân yêu cầu DNS không chứa URL đầy đủ của trang, nội dung trang hay mật khẩu.

Kiểm tra một lần chỉ cho biết địa chỉ IP tại thời điểm thực hiện. Công cụ của chúng tôi lặp lại các kiểm tra IPv4, IPv6, DNS và WebRTC trong suốt quá trình chạy. Nhờ đó, bạn có thể phát hiện địa chỉ IP gốc xuất hiện khi chuyển máy chủ hoặc kết nối lại VPN.

Dữ liệu đối chiếu đã lưu giúp công cụ đánh dấu các địa chỉ trùng với kết nối không dùng VPN. Nhật ký hiển thị trình tự thay đổi và khoảng thời gian thiếu dữ liệu. Rò rỉ rất ngắn có thể xảy ra giữa hai lần kiểm tra, nên không có địa chỉ trùng không bảo đảm rằng không xảy ra rò rỉ.

Tắt VPN và nhấn “Lưu dữ liệu đối chiếu”. Quá trình thu thập mất 30 giây. Sau đó bật VPN, bắt đầu kiểm tra và thử chuyển máy chủ hoặc kết nối lại. Theo dõi các địa chỉ trùng dữ liệu đối chiếu và sự kiện trong nhật ký.

Giữ tab này hoạt động: trình duyệt có thể làm chậm các kiểm tra trong nền. Công cụ cũng hoạt động khi không có dữ liệu đối chiếu, nhưng chỉ hiển thị thay đổi địa chỉ mà không so sánh với kết nối gốc.

Dữ liệu đối chiếu là tập hợp địa chỉ đã lưu từ kết nối không dùng VPN. Nó giúp phát hiện các địa chỉ này xuất hiện trở lại khi VPN đang bật.

Dữ liệu đối chiếu bao gồm địa chỉ công khai IPv4, IPv6 và WebRTC, cùng địa chỉ bộ phân giải DNS được ghi nhận trong quá trình thu thập. Các địa chỉ trùng được tô đỏ.

Hãy lưu dữ liệu đối chiếu khi đã tắt VPN. Lưu lại nếu mạng gốc hoặc địa chỉ của mạng thay đổi. Nếu lưu khi VPN đang bật, địa chỉ trùng có thể chỉ có nghĩa là bạn đã quay lại máy chủ VPN trước đó, chứ không phải kết nối gốc bị lộ.

Nếu công cụ thấy địa chỉ IPv4 hoặc IPv6 gốc khi VPN đang bật và lẽ ra phải che giấu địa chỉ đó, thì đó là rò rỉ IP. Dù chỉ xuất hiện thoáng qua, địa chỉ vẫn đã bị máy chủ kiểm tra nhìn thấy.

Ví dụ, địa chỉ khi không dùng VPN là 198.51.100.10, còn địa chỉ VPN là 203.0.113.20. Nếu 198.51.100.10 xuất hiện trở lại khi chuyển máy chủ, IP gốc đã bị lộ. Đây là các địa chỉ ví dụ.

Kết luận này giả định rằng bạn đã lưu dữ liệu đối chiếu khi tắt VPN và VPN có nhiệm vụ bảo vệ lưu lượng trình duyệt. Nếu bạn tự tắt VPN hoặc loại trừ trình duyệt khỏi VPN, việc thấy địa chỉ gốc là bình thường. Công cụ không thể biết VPN của bạn có đang bật hay không.

Không. Chỉ riêng việc IP thay đổi không có nghĩa là rò rỉ. Khi chuyển máy chủ VPN, việc nhận địa chỉ đầu ra khác là bình thường.

Ví dụ, máy chủ VPN A được thay bằng máy chủ VPN B. Không địa chỉ nào trùng dữ liệu đối chiếu, nên các phản hồi đó không cho thấy địa chỉ gốc.

Nếu xuất hiện IP trong dữ liệu đối chiếu được ghi khi tắt VPN, địa chỉ gốc đã bị lộ. Nếu chỉ là một địa chỉ lạ, riêng sự thay đổi đó không cho biết nó thuộc VPN hay kết nối gốc.

Nếu công cụ vẫn thấy bộ phân giải DNS của nhà cung cấp Internet khi VPN đang bật, đó là dấu hiệu rõ rệt của rò rỉ DNS, nhất là khi VPN lẽ ra phải dùng máy chủ DNS riêng.

Ngoại lệ là khi cùng một dịch vụ DNS bên thứ ba được sử dụng cả trước và sau khi bật VPN, chẳng hạn do cài đặt trong trình duyệt, thiết bị hoặc VPN. Truy vấn tới dịch vụ đó có thể đi qua VPN, nên chỉ riêng địa chỉ trùng không có nghĩa là rò rỉ.

DNS trùng được tô đỏ nghĩa là công cụ đã phát hiện bộ phân giải DNS từ kết nối không dùng VPN. Nếu nó thuộc nhà cung cấp Internet, kết quả này đáng ngờ. Nếu đó là dịch vụ DNS được cấu hình riêng, việc trùng địa chỉ có thể là bình thường.

Không. Chỉ riêng việc có nhiều địa chỉ DNS không có nghĩa là rò rỉ. Một dịch vụ DNS có thể dùng nhiều bộ phân giải.

Ví dụ, các truy vấn khác nhau trong một lần kiểm tra có thể do các máy chủ khác nhau của cùng dịch vụ xử lý, bao gồm cả địa chỉ IPv4 và IPv6.

Hãy xem những dịch vụ DNS nào xuất hiện. Nếu thấy DNS của nhà cung cấp Internet thay vì DNS của VPN như mong đợi, kết quả đáng ngờ bất kể tổng số địa chỉ là bao nhiêu.

Công cụ chưa nhận được quan sát mới trong ít nhất 2 giây. Điều này có thể xảy ra khi VPN kết nối lại, mạng gián đoạn hoặc không truy cập được máy chủ kiểm tra.

Điều này không chứng minh VPN đã chặn an toàn toàn bộ lưu lượng. Không có quan sát trong khoảng thời gian đó, nên chưa xác định được kết quả.

Không có địa chỉ IPv6 tự nó không phải là rò rỉ. Điều quan trọng là IPv6 có khả dụng khi không dùng VPN hay không.

Nếu IPv6 hoạt động khi tắt VPN nhưng ngừng phản hồi sau khi bật VPN, VPN có thể đang chặn IPv6. Nếu địa chỉ IPv6 trong dữ liệu đối chiếu xuất hiện khi VPN đang bật, địa chỉ gốc đã bị lộ.

Không có phản hồi không chứng minh có chặn; nguyên nhân cũng có thể là lỗi kết nối. Nếu ngay cả lúc thu thập dữ liệu đối chiếu cũng không nhận được địa chỉ IPv6, bạn không thể so sánh với địa chỉ IPv6 gốc.

Khi bật so sánh với dữ liệu đối chiếu, đây là kết quả tốt: không quan sát nào nhận được trùng dữ liệu đối chiếu. Nhưng điều đó không bảo đảm không có rò rỉ.

Kết quả hữu ích hơn nếu bạn thử chuyển máy chủ và kết nối lại VPN, ngoài việc sử dụng bình thường.

Một sự kiện ngắn có thể xảy ra giữa hai lần thăm dò hoặc trong khoảng trống quan sát. Dữ liệu đối chiếu có thể đã cũ, và kết quả WebRTC phụ thuộc vào hạn chế của trình duyệt. Nếu một phép kiểm tra không có dữ liệu đối chiếu, việc không thấy địa chỉ trùng trong phép kiểm tra đó không nói lên khả năng bảo vệ.

Điều đó có nghĩa là địa chỉ đã xuất hiện trở lại sau một IP khác. Dòng lặp lại cho thấy địa chỉ quay lại; tự nó không phải là một lần rò rỉ riêng.

Các phản hồi liên tiếp có cùng IP được gộp vào một dòng. Ví dụ, A → B → A tạo ra ba dòng. “Số lượng” cho biết số phản hồi trong mỗi dòng.

Thẻ DNS nhóm địa chỉ theo bộ phân giải, và “Số lượng” cho biết số truy vấn của bộ phân giải đó. Những bộ đếm này không phải là số lần rò rỉ riêng biệt.

Nhật ký hiển thị thời điểm trình duyệt ghi nhận sự kiện, chính xác đến mili giây. Điều này giúp liên hệ các thay đổi với việc chuyển VPN.

Quan sát DNS có thể đến trễ: thời gian trong nhật ký không nhất thiết trùng với thời điểm truy vấn DNS tại máy chủ. Nhiều sự kiện có thể được nhận cùng lúc.

Có. Công cụ thu thập các địa chỉ mà WebRTC cho phép trang nhìn thấy và liên hệ với máy chủ STUN của chúng tôi. Nó không sử dụng camera hoặc micrô.

Nếu một IP công khai trong dữ liệu đối chiếu xuất hiện khi VPN đang bật, địa chỉ gốc đã bị lộ nếu VPN lẽ ra phải che giấu nó. Địa chỉ cục bộ và tên .local không được coi là rò rỉ IP công khai.

Nếu không nhận được địa chỉ nào, điều đó không chứng minh có bảo vệ: trình duyệt hoặc tiện ích mở rộng có thể hạn chế WebRTC, hoặc không truy cập được STUN. Dữ liệu đối chiếu cũ vẫn có thể so sánh địa chỉ IPv4/IPv6 gốc; hãy lưu dữ liệu đối chiếu mới để bao gồm địa chỉ WebRTC.

Dữ liệu đối chiếu được lưu trong trình duyệt, còn lịch sử kiểm tra nằm trong tab đang mở. Nhấn “Tải kết quả” để giữ một bản sao lịch sử.

Tải tệp xuống trước khi làm mới hoặc đóng trang, bắt đầu kiểm tra mới hay thay dữ liệu đối chiếu. Lịch sử kiểm tra không được giữ lại giữa các lần chạy.

Máy chủ tạm giữ các sự kiện DNS trong bộ nhớ để gửi tới trình duyệt, không lưu kết quả lâu dài. Nếu trình duyệt không thể lưu dữ liệu đối chiếu, dữ liệu đó chỉ có trên trang hiện tại; lỗi lưu trữ sẽ xuất hiện trong nhật ký.