IPアドレス漏えいとは
IPアドレス漏えいは、利用者が意図しない相手や経路へ、通信元のIPアドレスが伝わることです。英語ではIP address leak（アイピー・アドレス・リーク）と表します。
通常のInternet通信では接続先が送信元IPアドレスを受け取るのは必須です。問題になるのは、VPNやプロキシを使う意図に反してISP側アドレスが別経路から見える、ピアへローカルアドレスまで渡る、DNSだけ保護外へ出るといった期待した経路との不一致です。
「IPが見えた」という一文だけでは漏えいか判断できません。誰に、どのアドレスが、どのプロトコル・インターフェース・アプリケーションから見えたかを対応させます。
漏れやすい経路を分けて確認する
- Splitトンネル指定アプリケーション・宛先だけVPNへ入れ、その他は物理インターフェースから直接出る。
- WebRTCICE候補収集でローカル、server-reflexive、中継アドレスをサイトやピアが知る場合がある。
- DNSWebトラフィックはトンネルでも、OSの名前解決がISPリゾルバーへ直接送られる構成がある。
- IPv6VPNがIPv4だけを扱い、端末のIPv6デフォルトルートが物理回線へ残る場合がある。
- Applicationブラウザープロキシはブラウザーだけに効き、別アプリ、更新、背景サービスが直接接続する。
WebRTCではピア接続用の候補を集める
WebRTCは低遅延のピアツーピア経路を探すため、インターフェースアドレス、STUNで得た外側アドレス、TURN中継をICE candidateとして扱います。経路制御やブラウザー方針次第で、HTTPで見えるアドレスより多くのネットワーク情報をアプリケーションが得る可能性があります。
現行ブラウザーはローカルアドレスの隠蔽やmDNS化などを進めていますが、VPN、プロキシ、企業ネットワークの設定差があるため、製品名だけで結果を断定しません。
DNS leakは問い合わせ先の名前が別経路へ出る問題
DNS要求の送信元アドレスと問い合わせ名をISP側リゾルバーが受け取れば、WebペイロードがHTTPSでも接続先候補を推測できます。VPNクライアントがリゾルバー設定と経路制御を一緒に切り替えるか確認します。
DoH・DoTはクライアントから選んだリゾルバーまでを暗号化しますが、そのトラフィック自体がVPN外へ出る設定なら「全トラフィックをVPNへ」という期待とは別になります。
killスイッチは経路失敗時の直接通信を止める
VPNトンネルが切れた瞬間にデフォルトルートが物理回線へ戻ると、背景通信がrealアドレスから出ます。killスイッチはファイアウォール規則でVPNインターフェース以外の外向き通信を拒否します。
ローカルネットワークアクセス、キャプティブポータル、更新を例外にすると、その範囲は直接になります。例外を「便利だから全部許可」にせず、インターフェース・宛先・処理へ狭くします。
一つの確認サイトだけでは全経路を検査できない
通常HTTP、IPv4、IPv6、DNS、WebRTC、各アプリケーションを個別に観測し、接続前・接続中・トンネル切断直後を比較します。結果画面に出たプライベートアドレス、VPN終了、ISPグローバルアドレスを分類します。
leak試験の目的は「IPを一つも見せない」ことではなく、設計した出口以外からトラフィックが出ていないか、保護が失われた瞬間に安全側へ止まるかを確認することです。
WebRTCが追加addressを露出する条件の確認資料：RFC 8828「WebRTC IP Address Handling Requirements」