查 IP 时明明显示的是节点出口，旁边的 WebRTC 检测却列出好几个地址，还标了个红色提醒。是不是梯子白开了，网站已经知道自己家的公网 IP？

先看它列出的究竟是什么。局域网地址、隐藏地址用的名称、实际公网候选，不是一回事。只看到“本地 IP”三个字，还不足以下结论。

把检测条目分开看

图里分的是检测页常见的显示内容，不是所有 ICE 候选类型，也不是一份真实检测报告。

先认几类容易混淆的条目：

• 私网 IPv4：192.168.x.x、10.x.x.x，以及 172.16.x.x 到 172.31.x.x 所在的范围。它们可能来自家庭 Wi-Fi、办公网络或虚拟网卡，不是你家的公网出口。注意，不是所有 172 开头的地址都属于私网；完整范围见 RFC 1918。
• 以 .local 结尾的名称：有些浏览器会用 mDNS 名称遮住本地候选的数字地址。它不是“节点换了个域名”，也不表示其他公网候选同时被隐藏。Mozilla 有对应的实现记录，不同浏览器和版本的表现不必完全一样。
• 公网地址：需要结合类型与已有记录判断来源。别只看国家标签；两个地址都显示中国，不等于就是同一个地址。

私网地址不是公网出口，不代表公开它完全没有隐私影响。这里要分清的是“暴露了本地网络信息”和“暴露了不打算公开的公网地址”，不能把两件事混为一谈。

host、srflx、relay 又是什么意思

有些页面会在地址旁边显示这些英文。它们是在说明候选地址怎么来的，不是在给 IP 评等级。

host 来自网络接口，可能是私网地址，也可能是公网地址，不能一看 host 就认定“只是内网，没事”。srflx 是经过 STUN 等机制发现的反射地址，常见于 NAT 对外映射。relay 则来自 TURN 中继服务器，不等于你买的机场节点。这些类型可对照 MDN 的候选类型说明。

“候选”可以理解为：浏览器为建立连接准备的可选联系方式。候选列表不等于最终已经选中的通话线路；但如果网页已经拿到了一个地址，也不能因为它最后没被选用，就说这个地址从未暴露。

检测页如果只给出“泄露 / 未泄露”，没有具体条目、类型和测试状态，能用来判断的信息就很有限。

不改设置，先做这三步核对

1. 把同一次检测的信息记完整

保持当前连接方式，记录浏览器名称与版本、代理客户端、使用的是系统代理还是已有的 TUN，以及测试时间。再分别记下普通 IP 查询结果和 WebRTC 条目，不要把前一天的手机结果与今天的电脑结果混着比。

数据只保存在本地。不要为了检测上传订阅、完整配置或账号资料，也不要额外授予摄像头、麦克风等权限。检测页面提出与读图无关的要求，就先停下来。

2. 先判断地址类别，再核对来源

如果只有私网地址或 .local 名称，先记录它反映了什么本地信息，不要直接把它当成宽带公网出口。

如果出现公网候选，再与这次网页查询的出口、自己已有的宽带出口记录比较。家用网络也可能改变公网地址，旧记录只能当线索；如果没有可靠基准，就写“来源待确认”，别凭地区或运营商名字猜。

比较时还要分开 IPv4 和 IPv6，不能拿两种地址长得不同来证明异常。遇到不熟悉的 IPv6 条目，先标记“地址类别待确认”，不要硬套上面的 IPv4 私网范围。

公网候选与网页出口不同，值得继续核查，但不能单凭这一点确定原因。它可能涉及不同网络接口、IPv4 / IPv6、分流或中继。若确认其中出现了原本不打算向该网站公开的宽带公网地址，这次测试就已经提供了具体的隐私风险证据，不必等到页面“全红”才重视。

不用为了补基准，强行断开正在使用的受保护连接，或直连打开敏感网站。

3. 看现有代理范围，别急着换节点

在客户端里只查看当前模式、已有的分流设置和测试时段连接记录。重点是确认：自己原本打算接管哪些流量，而不是绿色开关有没有亮。

普通网页请求与 WebRTC 的连接探测不一定走同一路径。RFC 8828 就讨论了传统应用代理仍允许直接联网、多接口或分流环境下，WebRTC 可能暴露额外公网信息的情况。具体结果仍取决于浏览器策略和实际网络配置，不能说“开了系统代理一定漏”或者“TUN 一定不漏”。

连接列表里找不到某条记录，也不能独自证明它一定直连；可能还要考虑日志范围和客户端展示能力。需要理解接管方式，可看系统代理与 TUN 的区别；DNS 页面显示的解析器则是另一个问题，可看DNS 检测结果怎么看。

空白或全绿，也不是完整的隐私证明

没有候选结果，可能是浏览器限制了收集、测试没有完成，或检测所用服务不可达。它不能证明所有浏览器、应用和后续连接都经过了同一条路径。

这轮先不需要改注册表、关闭 IPv6、安装所谓防泄露扩展，或者套一整段陌生配置。核对结束后关闭检测页即可，没有要清空的订阅或必须重置的网卡。若此前已经做过复杂调整，先整理原设置，交给对应客户端支持或网络管理员确认，不继续叠加修改。

求助时保留“浏览器版本、连接方式、候选类型、是否与已知出口一致”这些信息，把完整地址换成“公网 A”“私网 B”等代号。具体怎么保留有用信息又不公开隐私，可参考求助日志脱敏方法。

看懂这几栏，才能知道该继续查哪条路径；把检测页刷成绿色，并不能替代这个判断。