crispy
DNS leak nastane ve chvíli, kdy vaše zařízení posílá dotazy na překládání webových adres mimo šifrovaný tunel VPN, obvykle k poskytovateli internetu nebo jinému DNS resolveru. Tím může prozradit domény, které navštěvujete, i když VPN dál skrývá vaši IP adresu před samotným webem.
Dobrá zpráva je, že DNS leak jde otestovat a většinou i opravit. Tenhle průvodce vysvětluje, co je DNS, proč jsou DNS dotazy citlivé, jaké jsou nejčastější příčiny úniku DNS, jak spolehlivě udělat test a jak snížit riziko na počítači, mobilu i v prohlížeči.
Co je DNS a proč na něm záleží?
DNS znamená Domain Name System. Je to internetový adresář. Když do prohlížeče napíšete název webu, zařízení musí zjistit jeho serverovou adresu, než stránku načte.
Lidsky si pamatujete doménu, protože dává smysl. Prohlížeč a aplikace ale potřebují IP adresu, protože sítě směrují provoz pomocí čísel. DNS je systém, který název přeloží na adresu.
Běžné vyhledání DNS funguje jednoduše:
- Napíšete název domény nebo otevřete aplikaci.
- Zařízení se zeptá DNS resolveru, kam daná doména ukazuje.
- Resolver vrátí IP adresu nebo související záznamy.
- Zařízení se připojí k cíli a načte službu.
Pro soukromí je důležité, že DNS dotazy mohou prozradit záměr. DNS resolver sice často neuvidí celou URL adresu, přesný článek ani obsah šifrované HTTPS relace, ale obvykle vidí doménu, kterou jste si vyžádali, třeba zpravodajský web, banku, zdravotní fórum, pracovní nástroj nebo streamovací službu.
Proto je práce s DNS součástí soukromí ve VPN. VPN není jen o změně IP adresy viditelné webům. Měla by také zabránit tomu, aby běžné DNS dotazy unikaly mimo chráněnou cestu. Pokud jste v základech noví, podívejte se na co je VPN, kde najdete širší vysvětlení tunelů VPN.
Co je DNS leak?
DNS leak je nesoulad mezi tím, kudy jde hlavní internetový provoz, a tím, kudy jdou DNS dotazy. Webový provoz může být veden přes server VPN, ale DNS dotazy dál jdou k vašemu ISP, mobilnímu operátorovi, veřejnému resolveru nastavenému v zařízení nebo k resolveru zvolenému prohlížečem.
Vzniká tím mezera v soukromí. Web, který navštívíte, může vidět IP adresu serveru VPN, ale DNS resolver mimo tunel stále může vidět domény, které vyžadujete. Pokud ten resolver patří vašemu poskytovateli internetu, může z DNS metadat odvodit velkou část vaší aktivity na webu.
DNS leak nutně neznamená, že selhala celá VPN. Může se objevit i ve chvíli, kdy ikona VPN hlásí připojeno a veřejná IP adresa vypadá jako adresa serveru VPN. Právě proto se únik DNS snadno přehlédne, pokud ho přímo neotestujete.
U Crispy VPN jsou DNS dotazy při připojené aplikaci směrovány přes tunel VPN. Tím zůstává DNS provoz v souladu s připojením VPN a nevrací se zpět na síť, kterou zrovna používáte.
Co může DNS leak prozradit
- Doménová jména: weby a služby, které se zařízení snaží přeložit.
- Načasování: kdy k těmto dotazům dochází.
- Síťový kontext: že dotaz přišel z domácího ISP, práce, hotelu, mobilního operátora nebo jiné lokální sítě.
DNS samo o sobě obvykle neprozradí celý obsah zabezpečené stránky přes HTTPS. A také z vás neudělá anonymního uživatele. Weby, ke kterým jste přihlášení, vás mohou dál poznat podle účtu a trackery mohou používat cookies nebo otisk prohlížeče. Přesto je dobré DNS leak bránit, protože odhaluje užitečnou mapu toho, co navštěvujete.
Jak DNS leak vzniká?
DNS leak většinou vzniká kvůli konfliktu nastavení. Moderní operační systémy, prohlížeče, VPN aplikace i síťové adaptéry mohou ovlivňovat chování DNS. Když se tyhle vrstvy neshodnou, dotazy mohou jít jinudy, než čekáte.
Nastavení DNS v operačním systému
Operační systém rozhoduje, které DNS servery použije pro jednotlivá síťová rozhraní. Když se připojí VPN, obvykle přidá virtuální síťové rozhraní a DNS provoz by měl vést přes něj. Únik může nastat, pokud systém dál používá starý DNS server z Wi-Fi nebo Ethernetu.
Je to pravděpodobnější po opakovaných změnách sítě, uspání a probuzení zařízení, přihlašování přes captive portal nebo ručních úpravách sítě. Restart připojení VPN často vyřeší dočasný problém s routováním, ale trvalý leak už vyžaduje kontrolu nastavení.
Zpracování IPv6
IPv6 je novější systém adresování internetu, který může běžet vedle IPv4. DNS umí překládat záznamy pro IPv4 i IPv6. Pokud VPN nebo zařízení správně směruje IPv4 provoz, ale nechá IPv6 DNS nebo IPv6 provoz na lokální síti, může vzniknout únik.
Proto je důležité testovat celé připojení, ne jen to, jestli se změnila jedna viditelná IPv4 adresa. Čistý výsledek znamená, že DNS servery i viditelné IP údaje odpovídají trase VPN, kterou jste chtěli použít.
Ručně nastavené DNS servery
Mnoho lidí si nastavuje vlastní DNS servery v zařízení, routeru nebo prohlížeči kvůli rychlosti, filtrování nebo spolehlivosti. Takové nastavení může přepsat DNS servery, které vám poskytne VPN aplikace. Pokud je tenhle resolver dostupný mimo tunel, máte DNS leak.
Ruční DNS není vždy špatně, ale musí odpovídat vašemu cíli v oblasti soukromí. Při použití VPN je nejbezpečnější výchozí volba nechat správu DNS na VPN aplikaci, pokud k tomu nemáte konkrétní důvod a víte, kam dotazy míří.
DNS over HTTPS v prohlížeči
Některé prohlížeče nabízejí DNS over HTTPS, často jako zabezpečené DNS. Šifruje DNS mezi prohlížečem a poskytovatelem DNS. To může chránit DNS před lokální sítí, ale také to může obejít nastavení DNS, které používá vaše VPN aplikace.
Když je DNS over HTTPS nastavené na resolver mimo trasu VPN, test úniku může ukázat právě tenhle resolver místo DNS VPN. Šifrované sice je, ale pořád nepoužívá zamýšlené zpracování DNS přes VPN. I browserové rozšíření může mít vlastní pravidla směrování, takže výsledky z prohlížeče a z celého zařízení se mohou lišit.
Volby split tunnelingu
Split tunneling dovoluje vybraným aplikacím nebo webům používat jinou trasu než zbytek provozu. Je užitečný, když chcete část provozu uvnitř VPN a část mimo ni. Může ale také vysvětlit nečekané výsledky DNS.
Pokud je aplikace nebo web vyňatý z VPN, může být podle platformy a implementace vyňat i jeho DNS. Crispy VPN podporuje split tunneling na Androidu podle aplikace, na iPhone a iPadu podle webu a v browserových rozšířeních podle webu. Když split tunneling používáte, zkontrolujte pravidla, než předpokládáte, že je každý DNS dotaz chráněný. Podrobněji to rozebírá co je split tunneling.
Jak provést test úniku DNS
Test úniku DNS kontroluje, které DNS resolvery mohou vidět vaše dotazy. Základní princip je porovnat stav s vypnutou VPN a se zapnutou VPN. Pokud se při připojené VPN objeví stejné DNS servery vašeho ISP nebo lokální sítě, je únik pravděpodobný.
Test spusťte ve stejných podmínkách, ve kterých zařízení opravdu používáte. Jestli nejčastěji surfujete v konkrétním prohlížeči, testujte tam. Pokud používáte desktopovou nebo mobilní aplikaci, otestujte celé připojení zařízení. A pokud často přepínáte mezi Wi-Fi a mobilními daty, otestujte obě sítě.
Kontrolní seznam pro test DNS leak
- Odpojte VPN. Otevřete stránku pro test DNS leak a poznamenejte si názvy DNS poskytovatelů, země a IP adresy, které se zobrazí. To je vaše výchozí hodnota.
- Připojte VPN. Vyberte lokaci serveru VPN, kterou používáte běžně, a počkejte, až aplikace ukáže připojeno.
- Obnovte testovací stránku. Nejprve spusťte standardní test. Pokud je k dispozici rozšířený test, spusťte i ten.
- Porovnejte výsledky. Když je VPN připojená, neměli byste vidět DNS servery svého ISP, práce, školy, hotelu ani mobilního operátora.
- Zkontrolujte viditelnou IP. Použijte stránku pro kontrolu IP a ověřte, že se veřejná IP změnila na lokaci VPN. K tomu můžete použít co je moje IP.
- Test zopakujte po změně sítě. Otestujte znovu po přepnutí Wi-Fi, po přechodu na mobilní data nebo po probuzení zařízení ze spánku.
Správný výsledek nemusí být označen přímo značkou vaší VPN. DNS infrastruktura může používat různé názvy poskytovatelů, názvy datových center nebo relay adresy. Důležité je, aby výsledek neukazoval váš lokální ISP nebo jiný resolver, který jste používat nechtěli.
Pokud používáte Crispy VPN, nejdřív připojte aplikaci a teprve potom spusťte test. DNS by měl procházet tunelem spolu s VPN provozem. Pokud po připojení vidíte DNS od ISP, berte to jako problém v nastavení zařízení nebo prohlížeče a projděte opravy níže.
Jak opravit problémy s DNS leak
Správná oprava závisí na příčině. Začněte nejméně invazivními kroky a pokud leak přetrvává, přejděte k nastavení platformy a prohlížeče.
Rychlé opravy, které stojí za vyzkoušení
- Odpojte a znovu připojte VPN. Obnoví to trasy i nastavení DNS.
- Změňte lokaci serveru VPN. Nové připojení může vyčistit starý stav sítě.
- Restartujte aplikaci a prohlížeč. Prohlížeče mohou do restartu držet staré DNS rozhodnutí.
- Restartujte zařízení. Tím se resetují síťová rozhraní i staré DNS přiřazení.
- Aktualizujte VPN aplikaci i operační systém. Chyby v DNS routování se často opravují aktualizací.
Zkontrolujte ruční nastavení DNS
Podívejte se do nastavení Wi-Fi, Ethernetu a mobilní sítě. Pokud máte ručně přidané DNS servery, dočasně je odstraňte a nastavte DNS zpět na automatiku. Pak znovu připojte VPN a spusťte test DNS leak.
Když leak zmizí, ruční DNS přepisovalo nastavení VPN. Můžete si pak rozhodnout, jestli vám vlastní DNS stojí za to, ale neberte ho jako soukromý jen proto, že je známý nebo šifrovaný.
Zkontrolujte zabezpečené DNS v prohlížeči
Otevřete nastavení soukromí nebo zabezpečení v prohlížeči a najděte secure DNS nebo DNS over HTTPS. Pokud je zapnuté pro konkrétního poskytovatele, dočasně ho vypněte nebo nastavte prohlížeč na výchozí nastavení operačního systému. Potom znovu připojte VPN, restartujte prohlížeč a test zopakujte.
Je to důležité hlavně tehdy, když leakuje jen jeden prohlížeč, zatímco ostatní aplikace procházejí testem čistě. V takovém případě může VPN fungovat správně na úrovni systému, ale prohlížeč si vybírá vlastního resolvera.
Zkontrolujte pravidla split tunnelingu
Pokud je split tunneling zapnutý, ověřte, zda prohlížeč, testovací web nebo aplikace nejsou z VPN vyloučené. Vyloučení odstraňte a test zopakujte. Výsledek, který se po vypnutí split tunnelingu změní, není záhada. Znamená to, že pravidlo fungovalo přesně tak, jak bylo nastavené.
Používejte VPN aplikaci místo nepodporovaných řešení
Nepodporovaná konfigurace routeru, náhodné konfigurační soubory nebo cizí síťové nástroje mohou ztížit předvídání DNS routování. Crispy VPN nabízí aplikace pro iPhone a iPad, Mac, Windows, Linux, Android, Apple TV, Android TV a Google TV, plus rozšíření pro Chrome, Edge a Firefox. Správnou aplikaci stáhněte z stránky pro stažení a testujte přímo v ní.
Na podporovaných zařízeních používá Crispy VPN na všech serverech WireGuard. Je to moderní VPN protokol s malým kódem, dobrým výkonem a šetrným provozem na baterii. Pokud chcete víc o protokolu, podívejte se na co je WireGuard.
Jak chránit DNS leak na různých zařízeních
Prevence DNS leak je hlavně o tom, aby VPN aplikace držela kontrolu nad routováním a aby se vyhnula konfliktním nastavením DNS. Detaily se liší podle zařízení.
Windows, Mac a Linux
Desktopové systémy často mají víc síťových rozhraní, Wi-Fi, Ethernet, virtuální adaptéry a někdy i pracovní profily. Když se objeví DNS leak, zkontrolujte nastavení DNS na adaptérech a odstraňte staré ruční resolvery. Pak VPN znovu připojte.
Na Windows, Macu a Linuxu může pomoci i kill switch, aby se při výpadku VPN omezila expozice. Crispy VPN má na těchto desktopových platformách opt-in kill switch a na Windows také volitelný režim Lockdown. Kill switch není totéž co ochrana proti DNS leak, ale pomáhá zabránit tomu, aby provoz pokračoval mimo VPN během přerušení spojení.
iPhone, iPad a Android
Mobilní zařízení přecházejí mezi Wi-Fi, mobilními daty, hotelovými sítěmi a captive portály. Pokud na VPN spoléháte kvůli soukromí, test opakujte po změně sítě. Zkontrolujte také, jestli private DNS, správa zařízení nebo bezpečnostní aplikace nemění chování DNS.
Na Androidu mohou systémová nastavení Always-on VPN a Block connections without VPN pomoci zabránit nechtěnému provozu mimo VPN. Na iPhonu a iPadu udržujte aplikaci VPN aktualizovanou a zkontrolujte pravidla website split tunnelingu, pokud se konkrétní web chová divně.
Prohlížeče a rozšíření
Prohlížeče jsou častým zdrojem matoucích výsledků DNS, protože mohou používat vlastní secure DNS nastavení. Když se leak objeví jen v Chrome, Edge nebo Firefoxu, zkontrolujte nastavení DNS v prohlížeči dřív, než začnete měnit celé zařízení.
Browserová rozšíření navíc chrání jen provoz prohlížeče, ne všechny aplikace v zařízení. To je užitečné, když chcete chránit jen webové surfování, ale není to totéž jako plnohodnotné připojení VPN na zařízení. Více o tom vysvětluje VPN browser extension.
TV zařízení
Televizní platformy jsou jednodušší, ale také nabízejí méně síťových kontrol. Crispy VPN podporuje Apple TV a Android TV nebo Google TV, přihlášení probíhá naskenováním QR kódu mobilem. Pokud řešíte DNS na TV, nejdřív otestujte stejnou síť na telefonu nebo notebooku a teprve potom znovu připojte aplikaci na TV.
Co VPN dokáže a nedokáže skrýt před DNS
Správně nastavená VPN by měla držet DNS dotazy uvnitř šifrovaného tunelu. Tím zabrání tomu, aby lokální Wi-Fi operátor, ISP nebo mobilní operátor viděl běžné DNS dotazy v otevřené podobě. Zároveň tím udržuje DNS trasu v souladu se serverem VPN, který jste si zvolili.
Crispy VPN má také zásadu bez záznamů o aktivitě a používá dvoustranný relay design, který odděluje, kdo jste, od toho, co děláte. Je to relevantní, protože soukromí DNS není jen o tunelu. Je to i o tom, jak je služba navržená, aby omezila zbytečné propojení dat.
Přesto VPN neudělá z nikoho anonymního uživatele. Sama o sobě nezastaví malware ani phishing a nebrání webu, aby vás poznal po přihlášení k účtu. Také neumí smazat cookies, které už má prohlížeč uložené.
Na ochranu DNS leak se dívejte jako na jednu vrstvu. Pomáhá držet metadata o vyhledávání webů dál od lokální sítě a ISP. Spojte ji se smysluplným nastavením prohlížeče, opatrným používáním účtů, pravidelnými aktualizacemi a jasným chápáním toho, co VPN chrání.
Pokud po instalaci VPN kontrolujete celé nastavení, vyplatí se netestovat jen DNS. Veřejná IP, chování WebRTC, nastavení kill switch a konfigurace prohlížeče mohou ovlivnit soukromí také. Praktický další krok je funguje moje VPN, kde najdete širší kontrolu.
