候选收集完成后，只观察到私有、链路本地、经 mDNS 隐藏、中继或与可见路由完全相同的候选地址。
本次运行没有显示出意外的公网路由；这并不是对匿名性的保证。
专项诊断指南
WebRTC 泄露测试：不靠猜测，解读 ICE 候选地址
公网 WebRTC 地址是关于浏览器网络路径的证据。只有当它与已保存的直连基线相同，或被独立证明位于预期路由之外时，才构成已证实的泄露。
快速解答
这一结果能说明什么
WebRTC 泄露测试会创建一个 RTCPeerConnection，等待 ICE 候选收集完成，对候选地址进行分类，并将公网候选地址与浏览器可见路由和已知的直连基线进行比较。私有地址和 mDNS 主机名不属于公开身份泄露。超时或候选地址集为空属于“不可用”，而不是通过。
证据边界
检查的信号——以及它们不能证明什么
可信的泄露判定会把可观测的浏览器证据，与关于身份、归属或路由意图的假设区分开。
| 信号 | 可获得的证据 | 不能证明什么 |
|---|---|---|
| ICE 完成情况 | 候选地址收集是已完成、超时、被阻止，还是产生了格式错误的证据。 | 超时并不能证明 WebRTC 已被禁用或是安全的。 |
| 候选地址类型 | WebRTC 和 ICE 标准所描述的主机、服务器反射、对等反射和中继候选地址。 | 仅凭候选地址类型无法确定地址的所有者或预期路由。 |
| 公网路由比较 | 与可见 IPv4/IPv6 路由相比的确切地址、地址族以及经独立核实的网络关系。 | 同一多出口网络上的不同地址并不自动构成泄露。 |
| 与直连基线相同 | 公网候选地址是否与用户在直连时保存的地址完全相同。 | 用户保存的基线由用户自行声明；本工具无法核实那次运行是如何路由的。 |
方法
以基线为先的工作流程
- 1
记录直连路由
在不使用待评估路由的情况下运行完整测试，并将这次运行保存为直连基线。请记录两个地址族，因为 IPv4 和 IPv6 可能走不同的路径。
- 2
只改变一个路由变量
只启用正在评估的浏览器代理、WARP 配置文件或全设备 VPN。保持浏览器配置文件和其他网络设置不变，对比结果才便于解读。
- 3
收集完整的 ICE 证据
测试会创建一个仅用于数据的 RTCPeerConnection，不会请求摄像头或麦克风权限。它会等到候选地址集收集完成后，再对公网地址进行分类。
- 4
先比较，再定性
与直连基线完全相同是很强的绕过迹象。另一个经独立核实的公网网络也可能构成泄露。含糊的同网络证据或不完整的证据仍归为“需复核”或“不可用”。
解读
证据如何对应到有限定的状态
“无泄露迹象”的含义比“安全”更窄，“需复核”不是泄露判定，而“不可用”绝不会被转换为通过。
在同一个经独立核实的网络上出现了同一地址族的另一个公网地址，或者无法可靠地确定归属。
多出口路由可能是正常的。请与已保存的基线以及服务商预期的网络进行比较。
某个公网候选地址与已保存的直连基线相同，或属于预期浏览器路由之外、经核实的网络。
浏览器暴露了一条位于预期路由之外的公网路径。
ICE 候选收集超时、被阻止、未返回可用的候选地址，或产生了格式错误的证据。
测试没有获得足够的证据。在得出结论之前，请重试并检查浏览器或扩展程序的策略。
故障排查
更改设置之前，先诊断路径
HTTP 流量使用了代理，但 WebRTC 暴露了直连基线。
- 可能的原因
- 浏览器代理只覆盖已配置的 HTTP 流量，而 ICE/STUN 使用了另一个套接字或 UDP 路径。
- 下一步检查
- 使用全设备隧道、限制非代理 UDP 的浏览器策略，或在应用不需要时禁用 WebRTC；然后针对同一基线重新运行测试。
WebRTC 显示了同一服务商网络上的另一个地址。
- 可能的原因
- 服务商可能为 HTTP 和 WebRTC 流量使用不同的出口地址。
- 下一步检查
- 在将地址差异视为泄露之前，请先确认网络所有者和预期的出口行为。
测试反复超时。
- 可能的原因
- 浏览器策略、扩展程序、防火墙规则、STUN 可达性或不完整的 ICE 事件序列都可能阻碍证据的获取。
- 下一步检查
- 请在干净的配置文件和另一个浏览器中重试。在候选收集完成之前，请将结果视为“不可用”。
局限
本指南和测试无法保证的内容
- 本页面只能观察到此浏览器在本次运行中暴露的候选地址；浏览器版本和企业策略都可能改变这一行为。
- WebRTC 结果并不测试设备上的每个应用、协议、TURN 服务器或未来的对等连接。
- 网络归属和地理定位数据可能过时或含糊，因此与基线完全相同的证据比单凭地理位置更有分量。
- 禁用 WebRTC 可能会导致通话、会议、流媒体和点对点功能无法使用。
继续测试
相关证据与路由指南
在相关检查中使用同一份已保存的基线，确保差异仍可归因。