Teste de vazamento de DNS

Pressione Iniciar teste. Seu navegador solicita seis nomes de host únicos (36 no teste estendido) que existem apenas no nosso servidor de nomes; registramos qual resolvedor pediu cada um, consultamos a rede e o operador dele e mostramos a lista em poucos segundos. Diga à página se você está em uma VPN para receber um veredito preciso — a mesma lista de resolvedores significa coisas diferentes com e sem túnel.

Seis consultas. O suficiente para pegar o caso comum em que a VPN deixa o resolvedor do sistema no lugar e toda consulta vai para o seu provedor.

Trinta e seis consultas em uma janela mais longa, o que também revela resolvedores que cuidam só de parte das suas consultas — pools de resolvedores do provedor com balanceamento de carga, um segundo servidor DNS configurado no aparelho ou o Windows consultando todas as interfaces ao mesmo tempo.

Cada linha é um resolvedor que chegou ao nosso servidor de nomes em seu nome: o endereço, a rede e o operador a que pertence, o país e quantas das consultas ele atendeu. O veredito compara essas redes com a rede de onde vem o seu tráfego HTTP.

Um resolvedor na rede do seu serviço de VPN, ou no mesmo endereço da saída da VPN, significa que o DNS está dentro do túnel. Um resolvedor na rede do seu provedor residencial enquanto a VPN está ligada é um vazamento. Um resolvedor público (Cloudflare, Google, Quad9 e outros) está tudo bem desde que a consulta tenha chegado a ele pelo túnel — o que conseguimos confirmar quando o resolvedor encaminha o prefixo da sua rede (EDNS Client Subnet) e ele coincide com o seu endereço de VPN.

Se o seu navegador ou sistema usa DNS over HTTPS ou DNS over TLS, o nosso servidor vê o endereço do resolvedor criptografado (por exemplo, o da Cloudflare ou o do Google), não o do seu provedor. A criptografia esconde o conteúdo das consultas da sua rede; ela não as roteia por si só pela VPN, então o veredito ainda verifica a rede de onde a consulta saiu.

Antes de o navegador conectar a um site, ele pede a um resolvedor DNS o endereço do site. Uma VPN deveria transportar essas consultas pelo túnel até o resolvedor da própria VPN. Quando o sistema operacional continua mandando as consultas para o resolvedor que aprendeu na sua rede doméstica, o seu provedor continua vendo todo domínio que você visita — e o operador do site consegue deduzir a sua localização real pela rede do resolvedor —, mesmo com a conexão em si tunelada. Isso é um vazamento de DNS. O guia o que é vazamento de DNS entra na mecânica.

A correção é fazer o aparelho usar o resolvedor da VPN, ou um resolvedor público alcançado pelo túnel, e nada mais.

Ative a proteção contra vazamento de DNS do aplicativo da VPN. Se os vazamentos continuarem, abra as configurações do adaptador da sua conexão de rede física, defina os servidores DNS manualmente para um resolvedor público e desative a Resolução de Nomes Multi-Homed Inteligente (Política de Grupo › Modelos Administrativos › Rede › Cliente DNS) para que o Windows pare de consultar todos os adaptadores em paralelo. Limpe o cache com ipconfig /flushdns e execute o teste de novo.

Use a configuração de proteção de DNS do aplicativo da VPN. Caso contrário, defina os servidores DNS do serviço de rede ativo em Ajustes do Sistema › Rede › Detalhes › DNS, ou configure DNS criptografado (DoH/DoT) com um perfil. Execute o teste de novo; um resolvedor na rede da VPN, ou um resolvedor público com prefixo coincidente, significa que o vazamento foi fechado.

Os dois sistemas suportam DNS privado (Android: Configurações › Rede › DNS privado; iOS via um perfil de configuração), que envia as consultas por TLS ao resolvedor que você indicar. Combine com a proteção contra vazamento do aplicativo da VPN. No iOS, o aplicativo da VPN precisa incluir configurações de DNS na configuração dele para que as consultas usem o túnel.

Se a VPN roda no roteador, defina os servidores DNS do roteador para os resolvedores do serviço de VPN e garanta que o roteador não distribua os resolvedores do seu provedor aos aparelhos via DHCP. Execute este teste a partir de qualquer aparelho atrás do roteador para confirmar.

Execute o teste uma vez sem a VPN e anote a rede do resolvedor — essa é a sua referência. Conecte a VPN e execute de novo. Se a mesma rede aparecer, o vazamento é certo; a página lembra a referência por alguns minutos e a marca. Se um resolvedor público aparecer nas duas vezes, olhe a coluna EDNS Client Subnet: com a VPN conectada, ela precisa mostrar a rede da VPN, não o prefixo da sua casa. O teste de VPN executa isso junto com as verificações de WebRTC e IPv6.