FAST-BGP NETWORK LAB
IPv6、WebRTC 与 DNS 泄露排查：先看出口，再看证据
比较 HTTP 出口、IPv4/IPv6 和 WebRTC/STUN 候选，区分 DNS 解析来源与 PTR 反查。读懂不同出口、超时与未知，排查 AI 工具网络时不误判泄露。
一个网页显示了预期出口，是否就能说明所有连接都走这条线路？还不能。网页请求、IPv4/IPv6、WebRTC 和 DNS 需要分别观察，而且每项都有自己的检测范围。
判断是否发生了不符合预期的地址或解析信息暴露，先要说明预期路径，再看实际证据。只有“没有结果”或“浏览器隐藏了地址”，不足以证明没有泄露。
先分清三类观测
同一份报告可能包含不同测量起点。把对象混在一起，会把正常的解析器或连接候选误当成设备正在使用的公网出口。
| 观测 | 主要回答的问题 | 需要保留的范围 |
|---|---|---|
| 网页出口及 IPv4/IPv6 对照 | 某次请求经由哪个地址到达观测站？ | 目标站点、地址族、时间和请求是否成功。 |
| WebRTC 候选 | 浏览器为连接准备提供了哪些候选？ | 候选类型、浏览器策略，以及是否实际建立连接。 |
| DNS 解析来源 | 本轮测试域名的查询由哪些解析器送达观测端？ | 本轮域名/任务关联、观测时间与解析来源证据。 |
按页面提供的检查分别取证
“检测当前环境”识别本次 HTTP 请求到达检测站的出口；基础归属查询也支持指定公网 IPv4 或 IPv6。能查询一个 IPv6 地址，不等于当前设备已经完成 IPv6 连通测试。
页面提供公开 HTTP 出口检查时，选好 ipify 或 icanhazip，再点击“观测公网出口”；提供 WebRTC 检查时，可单独点击“观测 WebRTC 候选”取得 Cloudflare STUN 映射。切换来源不会自动查询。没有对应按钮、没有候选或请求超时，都不能补成正常。自有 DNS 解析来源与签名探针尚未接入。
这些结果只覆盖各自本轮的请求，不是“无 DNS 泄露”“IPv6 已隐藏”或“WebRTC 完全安全”的证书。网页出口、IP 质量资料与 AI 站点访问链路也需要分别看：一项完成，不代表其它项目已通过。
常见结果的正确含义
下表是解释状态含义的示意，不是真实用户测量。是否完成应以本轮执行结果为准；其中 DNS 解析来源仍未接入。
| 示例结果 | 可以说明什么 | 不能说明什么 |
|---|---|---|
| 只取得 IPv4 结果，IPv6 超时 | IPv4 观测完成，IPv6 本轮没有完成。 | 设备一定没有 IPv6，或 IPv6 一定没有外泄。 |
| 两个地址族使用不同出口 | 在这些观测目标上看到了不同地址。 | 仅凭地区不同就确定泄露；仍需核对预期路由。 |
| WebRTC 返回 mDNS 名称 | 本轮候选中的部分本地地址以名称呈现。 | 所有公网连接都被隐藏，或不存在其它暴露路径。 |
| WebRTC 返回本地候选 | 浏览器提供了本地连接准备信息。 | 已经通过该地址连接互联网，或必然发生代理泄露。 |
| DNS 观测没有记录 | 本轮没有取得可用的解析来源证据。 | 查询没有发生，或没有 DNS 泄露。 |
| 浏览器不支持、被限制或检测失败 | 对应项目无法在本轮作判断。 | 把未完成项目算作通过。 |
怎样做一次可比较的复测
复测的目标是确认具体变化，而不是让每个格子变绿。涉及公司网络或管理策略时，先由管理员说明预期行为。
- 记录使用的设备、浏览器、网络和时间，并说明希望哪些连接使用哪条路径。不要记录或分享代理密码。
- 先查看本次网页出口，再分别看各检测项是否真正完成。记录浏览器不支持、超时和未启用项目。
- 确认对比数据属于同一轮、同一目标；过期或另一轮的解析记录不能补到本轮。
- 一次只改变一个条件后重测。如果只在某个浏览器或网络出现差异，保留该范围，不推广到所有设备。
- 分享脱敏结果与预期路径。若需判断实际应用的连接，还要在应用运行的设备上补充验证。
看到候选，不等于看到了最终连接
WebRTC 会为连接准备不同类型的候选。host、通过 STUN 得到的映射信息以及 TURN 中继候选含义不同；候选列表不是已经建立连接的完整记录。
浏览器可能用 mDNS 名称呈现本地候选，或限制可提供的信息。名称被隐藏不能单独证明没有泄露；同样，本地候选存在也不能单独证明公网流量绕过了预期路径。缺少 STUN 或实际连接证据时，应明确保留未验证范围。
DNS 解析来源不等于 PTR 主机名
PTR 反查回答的是某个 IP 是否有对应主机名。DNS 解析来源观测则关注本轮查询是由哪些解析器送到观测端。它们是不同任务；一个 PTR 名称或“没有 PTR”都不能替代泄露观测。
解析器的位置也不等于你的设备或机房位置。遇到与出口地区不同的解析来源，先核对实际解析方式、观测范围和预期策略，不只按地理标签判定异常。
切换网络后，先开始一轮新检查
换 Wi-Fi、移动网络或代理路径后，旧页面中的结果仍属于旧观测。重新发起对应项目，核对目标、时间、来源和地址族；不要把新的 HTTP 出口与旧的 STUN 候选拼成同一轮。
停止检查表示不再接受本轮后续结果，不代表已经完成。只有某个项目失败时，先保留其它成功项，再按页面提示重试；快速重复点击不能增加证据质量，也可能触发公开来源限流。
报告保留证据，不保存不必要的地址细节
分享时优先保留执行状态、时间、来源和地址族，检查并遮盖完整公网地址、本地地址、mDNS 名称及连接凭据。某一面板的隐藏开关不覆盖整页，复制和截图都要检查。合成示例或开发预览应标注，不能作为某条客户线路的证明。
选择 HTTP 或 STUN 观察会让该服务看到相应连接的出口；公共探针诊断还会把目标发送给探针服务。不要把“本机展示”理解成所有网络检测都不出浏览器。这些观测也不能确认住宅、独享或 Claude / ChatGPT 可用性；实际应用还要在它运行的设备上核对。