Kiểm tra rò rỉ DNS

Bấm Bắt đầu kiểm tra. Trình duyệt của bạn yêu cầu sáu hostname duy nhất (36 trong bài mở rộng) chỉ tồn tại trên name server của chúng tôi; chúng tôi ghi lại resolver nào hỏi từng hostname, tra cứu mạng và đơn vị vận hành của nó, rồi hiển thị danh sách trong vài giây. Hãy cho trang biết bạn có đang dùng VPN không để có kết luận chính xác — cùng một danh sách resolver mang ý nghĩa khác nhau khi có và không có đường hầm.

Sáu truy vấn. Đủ để bắt trường hợp phổ biến khi VPN để nguyên resolver hệ thống và mọi truy vấn đều chạy tới nhà mạng của bạn.

Ba mươi sáu truy vấn trong khoảng thời gian dài hơn, giúp lộ ra cả những resolver chỉ xử lý một phần truy vấn của bạn — các cụm resolver cân bằng tải của nhà mạng, máy chủ DNS thứ hai cấu hình trên thiết bị, hoặc Windows truy vấn mọi giao diện cùng lúc.

Mỗi hàng là một resolver đã tới name server của chúng tôi thay mặt bạn: địa chỉ, mạng và đơn vị vận hành, quốc gia và số truy vấn nó đã xử lý. Kết luận so các mạng này với mạng mà lưu lượng HTTP của bạn xuất phát.

Resolver trong mạng của nhà cung cấp VPN, hoặc ở cùng địa chỉ với điểm ra VPN, nghĩa là DNS đang ở trong đường hầm. Resolver trong mạng của nhà mạng gia đình khi VPN đang bật là rò rỉ. Resolver công cộng (Cloudflare, Google, Quad9 và các dịch vụ khác) thì ổn miễn là truy vấn tới đó qua đường hầm — điều chúng tôi xác nhận được khi resolver chuyển tiếp prefix mạng của bạn (EDNS Client Subnet) và nó khớp với địa chỉ VPN.

Nếu trình duyệt hoặc hệ thống của bạn dùng DNS over HTTPS hoặc DNS over TLS, máy chủ của chúng tôi thấy địa chỉ của resolver mã hóa (ví dụ của Cloudflare hoặc Google), không phải của nhà mạng. Mã hóa che nội dung truy vấn khỏi mạng của bạn; tự nó không đưa truy vấn qua VPN, nên kết luận vẫn kiểm tra truy vấn đi ra từ mạng nào.

Trước khi trình duyệt kết nối tới một website, nó hỏi một resolver DNS về địa chỉ của trang. VPN lẽ ra phải đưa các truy vấn đó qua đường hầm tới resolver riêng của VPN. Khi hệ điều hành vẫn gửi chúng tới resolver mà nó học được từ mạng nhà bạn, nhà mạng vẫn thấy mọi tên miền bạn ghé — và chủ website có thể nhận ra vị trí thật của bạn từ mạng của resolver — dù bản thân kết nối đã đi qua đường hầm. Đó là rò rỉ DNS. Bài rò rỉ DNS là gì đi sâu vào cơ chế.

Cách sửa là bắt thiết bị dùng resolver của VPN, hoặc một resolver công cộng đi qua đường hầm, và không gì khác.

Bật bảo vệ rò rỉ DNS trong ứng dụng VPN. Nếu vẫn rò rỉ, mở cài đặt adapter của kết nối mạng vật lý và đặt máy chủ DNS thủ công thành một resolver công cộng, đồng thời tắt Smart Multi-Homed Name Resolution (Group Policy › Administrative Templates › Network › DNS Client) để Windows ngừng truy vấn mọi adapter song song. Xóa bộ đệm bằng ipconfig /flushdns rồi chạy lại bài kiểm tra.

Dùng thiết lập bảo vệ DNS của ứng dụng VPN. Nếu không, đặt máy chủ DNS cho dịch vụ mạng đang dùng trong System Settings › Network › Details › DNS, hoặc cấu hình DNS mã hóa (DoH/DoT) bằng một profile. Chạy lại bài kiểm tra; một resolver trong mạng của VPN hoặc một resolver công cộng có prefix khớp nghĩa là rò rỉ đã được bịt.

Cả hai hệ thống đều hỗ trợ Private DNS (Android: Cài đặt › Mạng › DNS riêng tư; iOS qua profile cấu hình), gửi truy vấn qua TLS tới resolver bạn chỉ định. Hãy kết hợp với bảo vệ rò rỉ của ứng dụng VPN. Trên iOS, ứng dụng VPN phải đưa thiết lập DNS vào cấu hình của nó thì truy vấn mới đi qua đường hầm.

Nếu VPN chạy trên router, hãy đặt máy chủ DNS của router thành resolver của nhà cung cấp VPN và đảm bảo router không phát resolver của nhà mạng cho các thiết bị qua DHCP. Chạy bài kiểm tra này từ bất kỳ thiết bị nào sau router để xác nhận.

Chạy bài kiểm tra một lần không có VPN và ghi lại mạng của resolver — đó là mốc chuẩn của bạn. Kết nối VPN rồi chạy lại. Nếu cùng mạng đó xuất hiện, rò rỉ là chắc chắn; trang ghi nhớ mốc chuẩn trong vài phút và đánh dấu nó. Nếu một resolver công cộng xuất hiện ở cả hai lần, hãy nhìn cột EDNS Client Subnet: khi VPN đang kết nối, nó phải hiển thị mạng của VPN chứ không phải prefix nhà bạn. Kiểm tra VPN chạy bài này cùng với các bài kiểm tra WebRTC và IPv6.