IPGuard PRO
IP 纯净度 · 旁路泄露 · 协议与指纹体检台
← 返回实时检测台

IPGuard 检测原理与技术架构说明

IPGuard 是 100% 纯前端运行的 IP 纯净度、机房/住宅原生属性与浏览器防关联风控体检工具，在 5 seconds 内通过 HTTPS 与 DoH 并发交叉验证 8 大威胁情报源与 5 路 DNSBL 黑名单，所有指纹计算均在浏览器本地内存与 localStorage 中完成（0 bytes 隐私数据上传）。

IPGuard 同时暴露国际代理出口、国内直连出口、Cloudflare 边缘节点与 WebRTC STUN UDP 反射出口共 4 条物理通道，并针对 IPv4、IPv6、WebSocket、WebTransport、HTTP/3 QUIC、DNS Prefetch、Preconnect 与 Beacon 执行 10 项旁路泄露审计，支持 4 languages 实时切换与完整 JSON 报告导出。

100% Client-Side (0-Byte Upload) 8 Threat DBs + 5 DoH DNSBL Team Cymru RIR TXT Lookup P0 / P1 / P2 10-Channel Leak Matrix TLS JA3 & Post-Quantum X25519MLKEM768 Canvas · WebGL · Audio · Font SHA-256
⚙️ 六大核心检测引擎原理 (6 Core Inspection Engines)

01 · 四通道出口并发曝光与分流拓扑推导

Multi-Exit Topology

IPGuard 通过浏览器并发请求海外 HTTPS 情报节点、国内 Bilibili/IPIP 直连节点、Cloudflare 边缘 /cdn-cgi/trace 接口以及 WebRTC STUN UDP 套接字，在 5 seconds 内同时锁定 4 条网络通道的真实出口 IP，100% 自动识别规则分流 (Split-Tunnel)、全局 TUN 接管与直连状态。

Exit 1 (Global HTTPS): api.ipapi.is · ipinfo.io · ipwho.is Exit 2 (Domestic Direct): myip.ipip.net · ip.useragentinfo.com Exit 3 (Cloudflare CDN): cloudflare.com/cdn-cgi/trace (Colo + WARP + HTTP/3) Exit 4 (WebRTC STUN UDP): stun.cloudflare.com:3478 · stun.l.google.com:19302

02 · 机房/住宅属性投票与 RIR 原生/广播 IP 鉴定

ASN & DoH RIR

IPGuard 对 8 个威胁情报源的 ASN 类型字段、内置云厂商自治系统库与 AliDNS DoH 反向 PTR 记录执行加权投票以区分机房 Hosting 与住宅 ISP；同时通过 HTTPS 查询 Team Cymru 官方 asn.cymru.com TXT 记录提取 5 大 RIR 注册国，100% 准确判定原生 IP 与广播 IP。

DoH RIR Origin Query : <reversed-ip>.origin.asn.cymru.com (TXT) DoH ASN Registry : AS<number>.asn.cymru.com → ARIN | RIPE | APNIC | LACNIC | AFRINIC Native IP Verdict : RIR Allocated Country === GeoIP Physical Country DoH DNSBL Lookups : zen.spamhaus.org · b.barracudacentral.org · bl.spamcop.net

03 · P0 / P1 / P2 全协议栈 10 通道旁路泄露矩阵

10-Channel Leak Matrix

IPGuard 针对代理工具最易遗漏的旁路流量划分 P0/P1/P2 三级共 10 个真实探针通道，每次检测动态生成 32 位随机十六进制子域名以强制穿透系统 DNS 缓存，实测 IPv6 AAAA、WebSocket、WebRTC、WebTransport QUIC、HTTP/3、DNS Prefetch、Preconnect 与 Beacon 是否泄露真实 IP。

P0 (Core) : IPv4 HTTPS · IPv6 AAAA (api6.ipify.org) · WebSocket (wss://) · WebRTC UDP P1 (UDP/DNS): WebTransport QUIC · HTTP/3 Alt-Svc · <link rel="dns-prefetch"> · <link rel="preconnect"> P2 (Bg/Port): navigator.sendBeacon() · <img> Subresource · 127.0.0.1 Proxy Ports · SDP MTU

04 · TLS 握手指纹 (JA3 / 抗量子) 与出站 Header 审计

TLS JA3 & Split-TCP

IPGuard 通过远端 TLS 与 Header 反射探针实测浏览器发出的 ClientHello 加密套件排列、JA3 哈希与 X25519MLKEM768 抗量子密钥交换，检测代理网关是否执行了中间人 TLS 终结重打包、注入 X-Forwarded-For 脏头，或因本地代理代握手产生 TCP Connect 远小于 TTFB 的时延断层。

TLS ClientHello : JA3 MD5 Hash · TLS 1.3 Cipher Suites · X25519MLKEM768 PQ Group Header Integrity: Outbound Header Order Hash · Sec-CH-UA vs User-Agent · Via / XFF Check Split-TCP Ratio : ResourceTiming (connectEnd - connectStart) vs (responseStart - requestStart)

05 · 浏览器硬件指纹与 CreepJS 风格防篡改审计

SHA-256 Hardware Entropy

IPGuard 在本地内存中通过 WebCrypto API 计算 Canvas 2D 光栅化像素、WebGL 未掩码显卡渲染器、WebAudio 离线振荡器压缩波形与 Canvas measureText 系统字体宽度的确定性 SHA-256 签名（0 bytes 上传），并校验原生函数 toString 完整性与 Webdriver 自动化痕迹。

Hardware Hashes : SHA-256(Canvas 2D) + SHA-256(WebGL GPU) + SHA-256(OfflineAudioContext) OS Font Infer : Canvas 2D ctx.measureText() width delta across macOS / Windows / CJK fonts Anti-Tamper : Function.prototype.toString native code audit + navigator.webdriver check

06 · 综合纯净度与环境一致性数学评分模型

Deterministic Scoring

IPGuard 采用透明、可复现的扣分制数学模型生成 0–100 纯净度评分与 0–100 环境一致性评分，综合考量机房 Hosting 属性、广播 IP、VPN/Proxy 标记、DNSBL 黑名单命中数以及 IP 时区、系统语言、WebRTC 与 EDNS 递归出口的一致性，支持导出完整 JSON 报告。

IP Purity (100) = 100 - Hosting(28) - Broadcast(8) - Proxy/VPN(22) - Tor(30) - DNSBL(n×18) Env Consistency(100) = 100 - TimezoneMismatch(30) - LangMismatch(15) - WebRTCLeak(35) - DNSLeak(20)

🔬 IPGuard 三步完成全链路 IP 纯净度与防关联体检 (3 Steps)

零后端纯前端架构：基于 HTTPS CORS、DNS-over-HTTPS (DoH) 与 Web 硬件 API 的确定性审计流程

  1. 01 · 四通道出口并发曝光

    IPGuard 在打开页面后 3 steps 的第一步即通过 HTTPS 并发探测国际代理出口、国内直连出口、Cloudflare 边缘节点与 WebRTC STUN UDP 出口，在 5 seconds 内识别分流代理与真实宽带 IP（上传 0 bytes 个人数据至私有后端）。

  2. 02 · 机房/原生属性与 10 通道防泄露核验

    IPGuard 聚合 IPinfo、ipapi.is、Team Cymru RIR 注册局与 5 路 DNSBL 黑名单交叉判定机房 Hosting 与广播 IP，并通过唯一随机子域名实测 IPv6、WebSocket、WebTransport、HTTP/3 QUIC、DNS Prefetch、Preconnect 与 Beacon 等 10 个通道是否发生旁路泄露。

  3. 03 · 协议栈指纹、硬件熵值与 JSON 报告导出

    IPGuard 在浏览器本地计算 TLS JA3 握手哈希、抗量子密钥交换、HTTP Header 顺序以及 Canvas 2D、WebGL、WebAudio、系统字体 SHA-256 指纹，支持 4 languages 切换并将设置保存在 localStorage，一键导出 100% 完整的结构化 JSON 审计报告。

❓ 常见问题与风控判定原理解答 (FAQ)

IPGuard 汇总了关于机房 Hosting IP 识别、原生与广播 IP 判定、10 通道 WebRTC 与 DNS 递归泄露、TLS JA3 协议断层以及 0 bytes 纯前端 localStorage 隐私安全的核心技术解答。

IPGuard 是如何区分机房 IP (Hosting/Datacenter) 与家庭宽带住宅 IP (ISP) 的？

IPGuard 通过 HTTPS 并发查询 IPinfo、ipapi.is、ipwho.is、FreeIPAPI 以及 AliDNS DoH 反向 PTR 记录，对自治系统号 (ASN) 与运营商名称执行 8 源交叉投票，可在 5 seconds 内精准识别 AWS、Vultr、Cloudflare、DMIT、搬瓦工等 100% 已知机房段并导出 JSON 结果。

IPGuard 如何纯前端判定原生 IP (Native IP) 与广播 IP (Broadcast IP)？

IPGuard 利用 DNS-over-HTTPS (DoH) 直接查询 Team Cymru 官方 asn.cymru.com TXT 记录，提取该 ASN 在 ARIN、RIPE、APNIC 等 5 大区域注册局 (RIR) 的官方注册国家代码，并与 GeoIP 实际落地国家比对，在 4 languages 界面下一目了然地区分 100% 原生 IP 与跨国广播 IP。

为什么开启了代理，IPGuard 仍提示 WebRTC、IPv6 或 DNS Prefetch 存在泄露？

IPGuard 实测 10 条独立网络通道：当代理仅接管 IPv4 TCP 流量而未开启 TUN 虚拟网卡时，WebRTC STUN UDP、WebTransport QUIC、纯 IPv6 AAAA 直连或 dns-prefetch 后台预解析会绕过代理直接暴露国内宽带 IP，只需 3 steps 开启 TUN 模式与远端 Fake-IP DNS 即可 100% 修复。

本机浏览器发出的 TLS / HTTP/2 流量经过机房代理后会产生协议指纹不一致吗？

IPGuard 通过远端 TLS 与 Header 探针检测 JA3 指纹哈希、X25519MLKEM768 抗量子扩展、HTTP Header 排列顺序以及 TCP Connect 与 HTTP TTFB 的时延差；若代理网关对 HTTPS 进行了 TLS 终结重打包或注入了 X-Forwarded-For 脏头，IPGuard 会在 5 seconds 内标出风险并写入 JSON 报告。

IPGuard 会将我的真实 IP、浏览器指纹或检测记录上传到后台服务器保存吗？

IPGuard 采用 100% 纯前端零后端架构，向私有服务器上传 0 bytes 历史日志；所有 IP 情报请求与 Canvas、WebGL、WebAudio、字体指纹 SHA-256 计算均在当前浏览器内存中实时完成，仅将 4 languages 语言偏好保存在本机 localStorage 中。