Что такое утечка DNS?
Утечка DNS — это когда устройство продолжает отправлять запросы доменных имён резолверу вашего интернет-провайдера, хотя трафик идёт через VPN. Соединение в туннеле, а список сайтов, которые вы посещаете, — нет. Вот как это происходит, как это увидеть и как остановить.
В этой статье
Как происходят утечки DNS
Перед загрузкой любого сайта устройство спрашивает у DNS-резолвера его адрес. Обычно это резолвер, который выдала ваша сеть, — резолвер провайдера. VPN должен перенаправлять эти запросы в туннель к собственному резолверу, но мешает несколько вещей: приложение VPN не меняет системный резолвер (типично для VPN, настроенных вручную); операционная система опрашивает все сетевые интерфейсы сразу (Smart Multi-Homed Name Resolution в Windows); браузер использует собственную настройку DNS over HTTPS в обход резолвера VPN; DNS по IPv6 не туннелируется, а по IPv4 — да; или VPN на миг отваливается, и система откатывается. В каждом случае резолвер провайдера видит каждый запрошенный домен с вашим реальным адресом в качестве источника, а оператор сайта может определить ваше реальное местоположение по резолверу, который запросил его записи.
Проверить сейчас
ПроверкаВыполняется против наших собственных тестовых серверов. Ничего не сохраняется.
Открыть: Тест утечки DNSКак проверить утечку DNS
Тест утечки DNS выдаёт вашему браузеру уникальные имена в нашей собственной DNS-зоне; резолверы, которые спрашивают о них наш сервер имён, по построению и есть те, что обрабатывают ваш DNS. При включённом VPN резолвер вашего провайдера или публичный резолвер, передающий префикс вашей домашней сети, — утечка. Запустите сначала без VPN, чтобы узнать резолвер провайдера, затем с ним. Проверка VPN выполняет ту же проверку вместе с WebRTC и IPv6.
Как исправить
Включите защиту от утечек DNS в приложении VPN (также называется использовать DNS VPN или блокировать DNS вне туннеля) и его kill switch. Если такой опции нет, задайте системный резолвер вручную публичным, чтобы резолверу провайдера некуда было утекать, и отключите множественное разрешение имён в Windows через групповую политику. Убедитесь, что DoH в браузере, если включён, указывает на резолвер, которому вы доверяете, поскольку он обходит резолвер VPN. Если VPN не туннелирует IPv6, включите его защиту IPv6 или отключите IPv6 на время подключения. Повторяйте тест после каждого изменения, пока резолвер провайдера не перестанет появляться.
Вопросы
Насколько опасна утечка DNS?
Она раскрывает домены, которые вы запрашиваете, провайдеру (или тому, кто держит утекающий резолвер) и позволяет сайтам определить ваше реальное местоположение, сводя на нет приватность VPN. Содержимое трафика она не раскрывает.
Как исправить утечку DNS?
Направьте DNS через туннель: защита от утечек DNS и kill switch в приложении VPN, вручную заданный публичный резолвер, отключение Smart Multi-Homed Name Resolution в Windows и защита IPv6. Затем повторите тест.
Как понять, что мой DNS взломан?
Подменённая настройка DNS отправляет вас не на те сайты: неожиданные редиректы, предупреждения о сертификате на крупных сайтах, резолвер, который вы не настраивали. Запустите проверку мой DNS-сервер и сравните резолвер с тем, что вы задавали; сбросьте DNS роутера, если его изменили без вашего ведома.
Как проверить, есть ли у меня утечка DNS?
Запустите тест утечки DNS с подключённым VPN. Любой резолвер, принадлежащий вашему провайдеру, — утечка; страница скажет об этом прямо.
Настоящий ли тест утечки DNS?
Да: наш использует имена, которые существуют только на нашем сервере имён, поэтому резолвер может появиться, только реально запросив нас. Устройство теста описано на странице методики.