Kiểm Tra IP & Rò Rỉ DNS Nâng Cao: Bảo Vệ An Toàn Mạng Trực Tuyến

Nhiều người dùng tin rằng việc mua một "proxy dân cư" sẽ ngụy trang họ hoàn toàn thành một người dùng gia đình thông thường. Tuy nhiên, các công cụ chấm điểm rủi ro hiện đại nhìn xa hơn nhiều so với các thẻ phân loại tĩnh trong cơ sở dữ liệu GeoIP (chẳng hạn như IP2Location hoặc MaxMind). Ngay cả khi một IP cổng xuất được liệt kê là địa chỉ ISP/dân cư, cổng proxy chuyển tiếp hầu như luôn chạy trên một máy chủ Linux lưu trữ trên đám mây, tạo ra những mâu thuẫn xuyên tầng rõ rệt: Thứ nhất, chữ ký ngăn xếp giao thức truyền tải: máy chủ cổng xuất truyền thứ tự tùy chọn TCP tiêu chuẩn của Linux (MSS, SACK_PERM, TS, NOP, WS) trong quá trình bắt tay SYN ban đầu thay vì các tùy chọn của Windows hoặc Apple. Thứ hai, sự chênh lệch MTU đường truyền: các kết nối PPPoE dân cư thường có MTU là 1492 (hoặc 1400–1430 trên mạng di động), trong khi mạng Ethernet trung tâm dữ liệu thuần túy là 1500 tiêu chuẩn (MSS=1460). Khi hệ thống chống gian lận phát hiện một IP dân cư đi kèm với MTU trung tâm dữ liệu và ngăn xếp TCP của Linux, nó sẽ phân loại kết nối đó là một proxy tự động.

💡 Kiểm tra kết nối của bạn với Bài kiểm tra tính ẩn danh của proxy để xem TCP của bạn kết thúc ở đâu.

Không có sự liên kết vật lý cố định nào giữa địa chỉ IP và vị trí địa lý thực tế. Kết quả định vị phụ thuộc vào cơ sở dữ liệu GeoIP thương mại được mỗi trang web sử dụng và chu kỳ cập nhật của nó: Thứ nhất, nguồn cơ sở dữ liệu và mô hình đo đạc từ xa khác nhau — các nhà cung cấp (như MaxMind, IP2Location, DB-IP) gán trọng số cho các thông báo BGP, mục đăng ký whois và đầu dò độ trễ mạng khác nhau, với khoảng thời gian làm mới từ vài ngày đến vài tháng. Thứ hai, định tuyến Anycast và phân phối biên CDN: các nhà cung cấp như Cloudflare công bố cùng một khối IP từ hàng trăm trung tâm dữ liệu toàn cầu, định tuyến gói tin của bạn đến điểm biên gần nhất. Thứ ba, việc phân bổ lại IP xuyên biên giới: khi một nhà cung cấp dịch vụ lưu trữ phân bổ lại khối IP đã đăng ký ở một quốc gia cho các máy chủ ở quốc gia khác, các cơ sở dữ liệu lỗi thời sẽ báo cáo xuất xứ lịch sử. Công cụ của chúng tôi kết hợp kiểm tra chéo nhiều cơ sở dữ liệu với phép đo đạc độ trễ tốc độ ánh sáng RTT vật lý để xác minh các khu vực vật lý thực tế.

Điểm gian lận IP (hoặc Điểm rủi ro) là một chỉ số số học (thường từ 0 đến 100) được các công cụ đánh giá rủi ro sử dụng để định lượng khả năng một kết nối bắt nguồn từ hoạt động lạm dụng, bot hoặc ngụy trang. Các yếu tố đánh giá cốt lõi bao gồm: Thứ nhất, danh tiếng lịch sử và danh sách lạm dụng: liệu IP có tham gia vào việc nhồi nhét thông tin xác thực, cào dữ liệu, gửi thư rác hoặc quét cổng trong khoảng thời gian 24–72 giờ gần đây hay không. Thứ hai, loại ASN và cơ sở hạ tầng: các dải mạng trung tâm dữ liệu (lưu trữ) và proxy/VPN công cộng có mức rủi ro cơ sở cao hơn so với mạng băng thông rộng gia đình hoặc nhà mạng di động. Thứ ba, tính nhất quán đa đầu cuối và giao thức: liệu một phiên có hiển thị các cổng xuất ngăn xếp kép bị phân tách (IPv4 và IPv6 khác nhau), sự sai lệch vị trí của bộ phân giải DNS, hoặc lộ IP cục bộ qua WebRTC hay không.

💡 Sử dụng Bài kiểm tra định tuyến phân tách của chúng tôi để xác định các rò rỉ lộ trình có thể làm tăng điểm rủi ro của bạn.

Ngay cả khi đang bật VPN hoặc proxy, danh tính thực của bạn vẫn có thể bị rò rỉ qua các kênh phụ: Thứ nhất, Rò rỉ DNS: khi trình duyệt của bạn phân giải tên máy chủ, nếu phần mềm proxy không bắt được các yêu cầu DNS ở cấp hệ điều hành, các truy vấn sẽ được gửi trực tiếp dưới dạng văn bản thuần đến máy chủ DNS của nhà mạng cục bộ, làm lộ các tên miền đã truy cập và vị trí thực. Thứ hai, Rò rỉ WebRTC: WebRTC là công nghệ trình duyệt dành cho truyền thông ngang hàng theo thời gian thực. Khi khởi tạo kết nối, nó bỏ qua các tầng proxy HTTP/SOCKS và gửi trực tiếp các gói tin UDP STUN, làm lộ địa chỉ IP cục bộ và công cộng thực sự của bạn. Trang chủ của chúng tôi kiểm tra cổng xuất DNS và trạng thái WebRTC của bạn trong thời gian thực.

💡 Để kiểm tra rò rỉ cấp phần cứng như canvas, âm thanh và WebRTC, hãy truy cập Kiểm tra dấu vân tay trình duyệt.

Bảng ngăn xếp mạng ở trang chủ chạy đồng thời ba đầu dò liên quan: một đầu dò kết nối đến tên miền chỉ có bản ghi A (iptestv4.myipdns.com), một đầu dò kết nối đến tên miền chỉ có bản ghi AAAA (iptestv6.myipdns.com), và đầu dò thứ ba kết nối đến tên miền ngăn xếp kép có cả hai họ bản ghi. Hai đầu dò đầu tiên là bắt buộc — mỗi tên máy chủ chỉ phân giải thành một họ địa chỉ, khiến hệ thống của bạn không có sự lựa chọn nào khác, từ đó nắm bắt IP xuất thực tế của bạn trên IPv4 và IPv6 một cách độc lập. Đầu dò thứ ba không bị ép buộc; thay vào đó, nó quan sát họ địa chỉ nào mà hệ thống của bạn tự lựa chọn, được hiển thị trong cột "Giao thức ưu tiên": kết quả này được quyết định bởi chính sách chọn địa chỉ của hệ điều hành và trình duyệt của bạn (Happy Eyeballs, RFC 8305: khi có sẵn ngăn xếp kép, hãy thử IPv6 trước, chỉ quay lại IPv4 khi thất bại), chứ không phải do chúng tôi chỉ định. Việc đặt cả ba cạnh nhau là rất quan trọng vì nhiều ứng dụng proxy và VPN chỉ dẫn đường hầm cho IPv4: nếu cổng xuất IPv4 của bạn nằm trên ASN của proxy trong khi cổng xuất IPv6 vẫn nằm trên ISP dân cư của bạn, và giao thức ưu tiên hiển thị IPv6, thì khi truy cập các trang web ngăn xếp kép phần lớn lưu lượng của bạn sẽ không bao giờ đi qua đường hầm — đây là hình thức phổ biến nhất của việc "đã bật VPN nhưng danh tính thực vẫn bị lộ", và nó không hề xuất hiện bất kỳ lỗi nào.

⚠ Chúng tôi chỉ có thể cho bạn biết liệu các cổng xuất của hai họ địa chỉ có kết thúc ở các mạng khác nhau hay không; chúng tôi không thể đánh giá phần mềm proxy của bạn nên được cấu hình như thế nào. Ngược lại, việc IPv6 hiển thị là không khả dụng không đồng nghĩa với sự an toàn; nó có thể chỉ đơn giản là mạng của bạn thiếu IPv6, hoặc proxy của bạn đã tắt hoàn toàn IPv6 — điều sau thường là hành vi có chủ ý.

Chúng tôi không đọc cài đặt hệ thống cục bộ của bạn — các trình duyệt hoàn toàn không thể đọc được chúng, và bất kỳ trang web nào tuyên bố đọc được cấu hình DNS cục bộ của bạn chỉ đơn thuần là đang đoán. Cách tiếp cận thực sự là kiểm tra đảo ngược: trang web của chúng tôi vận hành một máy chủ DNS có thẩm quyền (authoritative DNS), tạo ra một tên miền phụ ngẫu nhiên duy nhất cho mỗi bài kiểm tra (chẳng hạn như k3f9x2ab.leakv4.myipdns.com) để trình duyệt của bạn phân giải. Tên máy chủ này chỉ xuất hiện một lần duy nhất trong lịch sử và sẽ không bao giờ tồn tại trong bất kỳ bộ nhớ đệm nào, vì vậy chuỗi phân giải đệ quy của bạn bắt buộc phải truy vấn máy chủ có thẩm quyền của chúng tôi ngược về tận nguồn; chúng tôi ghi lại ai thực sự đã thực hiện truy vấn, sau đó trả lại địa chỉ đó cho trình duyệt của bạn. Do đó, cột "Cổng xuất DNS" hiển thị địa chỉ mạng xuất cảnh thực tế của bộ phân giải đệ quy của bạn, chứ không phải IP ngược dòng bạn đã nhập trong cài đặt hệ thống: nếu bạn đặt 8.8.8.8, máy truy vấn chúng tôi sẽ là một nút xuất cụ thể trong cụm máy chủ đó, vốn có thể nằm ở một quốc gia hoàn toàn khác; các bộ phân giải công cộng lớn dựa vào anycast và cụm máy chủ, do đó việc quan sát thấy nhiều địa chỉ cổng xuất khác nhau trong một bài kiểm tra là hoàn toàn bình thường. Tiêu chí thực sự không phải là các địa chỉ có khớp nhau hay không, mà là: nếu cổng xuất này rơi vào mạng ISP băng thông rộng của chính bạn trong khi cổng xuất IP của bạn kết thúc trên một proxy — điều đó biểu thị rằng các truy vấn DNS đã không đi theo đường hầm.

⚠ Phương pháp này chỉ có thể quan sát ai đã truy vấn máy chủ có thẩm quyền của riêng chúng tôi; chúng tôi không thể và không nhìn thấy bất kỳ tên miền nào khác mà bạn phân giải. Ngoài ra còn có một điểm mù đã biết: nếu proxy của bạn cũng chặn các truy vấn DNS, những gì chúng tôi quan sát được là bộ phân giải của nhà cung cấp proxy — xác nhận không có rò rỉ đến ISP cục bộ của bạn, nhưng nhật ký truy vấn DNS của bạn vẫn hiển thị với nhà cung cấp proxy của bạn; đó là một cân nhắc riêng biệt nằm ngoài những gì công cụ này phát hiện.

Thông qua WebRTC, các đầu dò đơn lẻ được gửi đến nhiều máy chủ STUN để thu thập các ứng viên srflx trả về — tức là IP công cộng và cổng thực sự được máy chủ từ xa quan sát thấy sau khi biên dịch NAT. Chỉ có một tiêu chí quyết định duy nhất: các ứng viên được nhóm theo IP công cộng đã biên dịch; nếu hai hoặc nhiều cổng riêng biệt xuất hiện dưới cùng một IP, nó sẽ được phân loại là Symmetric NAT (chỉ định một cổng được ánh xạ mới cho mỗi đích đến riêng biệt); nếu không, nó sẽ được phân loại là Cone NAT (luôn ánh xạ cùng một cổng nội bộ tới cùng một cổng bên ngoài). Việc nhóm các ứng viên trước khi so sánh các cổng được đưa vào có chủ đích: trong môi trường proxy định tuyến phân tách, các máy chủ STUN khác nhau có thể định tuyến qua các cổng xuất khác nhau, tự nhiên làm cho các cổng bị phân kỳ; tuy nhiên, sự phân kỳ này bắt nguồn từ sự khác biệt về lộ trình chứ không phải do hành vi của NAT, và việc bỏ qua thao tác nhóm sẽ chẩn đoán sai tất cả các cấu hình đó thành Symmetric. Việc hiển thị "Không xác định" có hai nguyên nhân: thứ nhất, không nhận được bất kỳ ứng viên srflx nào trong thời gian chờ 4 giây (WebRTC bị tắt trong trình duyệt, bị chặn bởi tiện ích mở rộng hoặc UDP gửi đi bị lọc); thứ hai, chỉ nhận được một ứng viên duy nhất có IP công cộng không khớp với IP đầu vào được sử dụng để truy cập trang web này, khiến việc phân biệt giữa loại bỏ trùng lặp ứng viên của trình duyệt với việc phân tách định tuyến lưu lượng là không thể, vì vậy chúng tôi cố ý hiển thị không xác định.

⚠ Làm rõ một cách trung thực: chúng tôi chỉ phân biệt giữa Cone NAT và Symmetric NAT, và không phân loại chi tiết thành Full Cone, Restricted Cone hoặc Port-Restricted Cone. Mô hình bốn cấp của RFC 3489 yêu cầu kiểm soát chủ động các kết hợp giữa cổng nguồn và mục tiêu đích qua các lần thăm dò lặp lại, và WebRTC trong trình duyệt không cung cấp quyền kiểm soát cấp thấp như vậy; khi các công cụ dựa trên web báo cáo một trong bốn danh mục, chúng thường chỉ là dán lại nhãn cho hai kết quả này.

Một lượt kiểm tra trên trang chủ bao gồm một số nhóm yêu cầu: kết nối tới một số tên miền phụ của trang web này để thu thập đặc trưng ngăn xếp giao thức trên IPv4, IPv6 và các phiên bản HTTP khác nhau; truy vấn một số dịch vụ tra cứu IP bên thứ ba cùng WebRTC để xem các đích đến khác nhau có quan sát thấy cùng một lối ra hay không; phân giải các tên miền phụ ngẫu nhiên để xem ai đang phân giải DNS của bạn; thăm dò các nút của chúng tôi ở các khu vực khác để đối chiếu chéo từ một số địa điểm; và đo độ trễ tới một số trang web phổ biến.

⚠ Điểm đánh đổi là việc kết nối tới khá nhiều tên miền khi tải, điều mà trình chặn quảng cáo hoặc tiện ích mở rộng quyền riêng tư nghiêm ngặt đôi khi sẽ chặn lại. Mục bị ảnh hưởng sẽ hiển thị dấu chấm màu xám và giữ nguyên ở trạng thái chưa xác định, và chúng tôi sẽ không bù đắp bằng các kết quả khác.