מה זה דליפת DNS ואיך בודקים ומתקנים אותה

דליפת DNS מתרחשת כשהמכשיר שולח בקשות חיפוש של כתובות אתרים מחוץ למנהרה המוצפנת של ה-VPN, בדרך כלל לספק האינטרנט או לשרת DNS אחר. כך אפשר לחשוף את שמות הדומיינים שאתם מבקרים בהם, גם אם ה-VPN עדיין מסתיר מהאתר עצמו את כתובת ה-IP שלכם.

החדשות הטובות הן שאפשר לבדוק דליפות DNS, וברוב המקרים גם לתקן אותן. המדריך הזה מסביר מה זה DNS, למה בקשות DNS רגישות לפרטיות, מה גורם לדליפה, איך מריצים בדיקת DNS אמינה, ואיך מצמצמים את הסיכון במחשב, בנייד ובדפדפן.

מה זה DNS ולמה זה חשוב?

DNS הוא קיצור של Domain Name System. זהו ספר הכתובות של האינטרנט. כשאתם מקלידים שם של אתר בדפדפן, המכשיר צריך למצוא את כתובת השרת של אותו שם לפני שהעמוד נטען.

למשל, בני אדם זוכרים שם דומיין כי הוא קריא ונוח. דפדפנים ואפליקציות צריכים כתובת IP, כי רשתות מנתבות תעבורה לפי מספרים. DNS הוא המנגנון שמתרגם את השם לכתובת.

בקשת DNS רגילה עובדת כך:

1. אתם מקלידים שם דומיין או פותחים אפליקציה.
2. המכשיר שואל שרת DNS לאן הדומיין הזה מפנה.
3. השרת מחזיר כתובת IP או רשומות רלוונטיות אחרות.
4. המכשיר מתחבר ליעד וטוען את השירות.

הנקודה החשובה לפרטיות היא שבקשות DNS יכולות לחשוף כוונה. שרת DNS לא בהכרח רואה את כל כתובת הדף, את המאמר המדויק או את התוכן של חיבור HTTPS מוצפן. אבל הוא כן יכול לראות לעיתים קרובות את שם הדומיין שביקשתם, למשל אתר חדשות, בנק, פורום בריאות, כלי עבודה או שירות סטרימינג.

לכן טיפול ב-DNS הוא חלק מהפרטיות של VPN. VPN לא נועד רק לשנות את כתובת ה-IP שרואים באתרים. הוא גם אמור למנוע מתעבורת חיפוש רגילה לברוח מחוץ למסלול המוגן. אם אתם צריכים רקע בסיסי, ראו גם מה זה VPN.

מהי דליפת DNS?

דליפת DNS היא חוסר התאמה בין המסלול של תעבורת האינטרנט הראשית שלכם לבין המסלול של שאילתות ה-DNS. ייתכן שתעבורת הגלישה עוברת דרך שרת VPN, אבל חיפושי ה-DNS עדיין יוצאים לספק האינטרנט, לספק הסלולר, לשרת ציבורי שהוגדר במכשיר, או לשרת שהדפדפן בחר.

זה יוצר פער בפרטיות. האתר שבו ביקרתם אולי רואה את כתובת ה-IP של שרת ה-VPN, אבל שרת ה-DNS שמחוץ למנהרה עדיין יכול לראות אילו דומיינים ביקשתם. אם השרת הזה שייך לספק האינטרנט, הוא יכול להסיק לא מעט על פעילות הגלישה שלכם מהמטא-דאטה של ה-DNS.

דליפת DNS לא בהכרח אומרת שכל ה-VPN נכשל. היא יכולה לקרות גם כשהאייקון של ה-VPN מראה מחובר, וגם כשה-IP הציבורי שלכם נראה כמו כתובת של שרת VPN. בגלל זה קל לפספס דליפות DNS אם לא בודקים אותן ישירות.

ב-Crispy VPN בקשות DNS עוברות דרך מנהרת ה-VPN כשהאפליקציה מחוברת. כך תעבורת חיפושי ה-DNS נשארת מיושרת עם חיבור ה-VPN, ולא נופלת חזרה לרשת שבה אתם משתמשים.

מה דליפת DNS יכולה לחשוף

• שמות דומיין: האתרים והשירותים שהמכשיר מבקש לפתור.
• זמן: מתי הבקשות האלה מתרחשות.
• הקשר רשת: העובדה שהבקשה הגיעה מספק האינטרנט הביתי, מהעבודה, מבית המלון, מספק הסלולר או מרשת מקומית אחרת.

DNS לבדו בדרך כלל לא חושף את כל התוכן של דף HTTPS מאובטח. הוא גם לא הופך אתכם לאנונימיים. אתרים שאתם מחוברים אליהם יכולים עדיין לזהות את החשבון שלכם, ועוקבים יכולים להשתמש בקובצי Cookie או בטביעת אצבע של הדפדפן. אבל עדיין כדאי למנוע דליפות DNS, כי הן חושפות מפה שימושית של מה אתם פותחים.

איך דליפת DNS קורה?

דליפות DNS נובעות בדרך כלל מקונפליקט בין הגדרות. מערכות הפעלה מודרניות, דפדפנים, אפליקציות VPN ומתאמי רשת יכולים כולם להשפיע על אופן פעולת ה-DNS. אם השכבות האלה לא מסכימות, החיפושים עלולים לצאת במסלול לא צפוי.

הגדרות DNS של מערכת ההפעלה

מערכת ההפעלה מחליטה באילו שרתי DNS להשתמש עבור כל ממשק רשת. כש-VPN מתחבר, הוא בדרך כלל מוסיף ממשק רשת וירטואלי ומצופה שיכוון את תעבורת ה-DNS דרך הממשק הזה. דליפה יכולה לקרות אם המערכת ממשיכה להשתמש בשרת ה-DNS של ה-Wi-Fi או ה-Ethernet הישן.

זה נפוץ יותר אחרי החלפות רשת חוזרות, מצב שינה והתעוררות, כניסה לרשת עם captive portal, או שינויים ידניים בהגדרות הרשת. לפעמים חיבור מחדש של ה-VPN פותר בעיית ניתוב זמנית, אבל דליפות קבועות דורשות בדיקה של ההגדרות.

טיפול ב-IPv6

IPv6 הוא מנגנון כתובות אינטרנט חדש יותר שיכול לפעול לצד IPv4. DNS יכול לפתור גם רשומות IPv4 וגם רשומות IPv6. אם ה-VPN או המכשיר מנתבים נכון את IPv4 אבל מאפשרים ל-DNS של IPv6 או לתעבורת IPv6 לעבור דרך הרשת המקומית, יכולה להיווצר דליפה.

לכן חשוב לבדוק את כל החיבור, ולא רק אם כתובת IPv4 אחת השתנתה. תוצאה נקייה אומרת ששרתי ה-DNS וה-IP הגלוי תואמים למסלול ה-VPN שבחרתם.

שרתי DNS ידניים

הרבה אנשים מגדירים שרתי DNS מותאמים אישית במכשיר, בנתב או בדפדפן כדי לשפר מהירות, סינון או אמינות. ההגדרות האלה יכולות לעקוף את שרתי ה-DNS שאפליקציית ה-VPN מספקת. אם השרת המותאם נגיש מחוץ למנהרה, יש לכם דליפת DNS.

DNS ידני לא תמיד רע, אבל הוא חייב להתאים למטרת הפרטיות שלכם. כשמשתמשים ב-VPN, ברירת המחדל הבטוחה היא לתת לאפליקציית ה-VPN לנהל את ה-DNS, אלא אם יש לכם סיבה ברורה ואתם יודעים לאן השאילתות האלה הולכות.

DNS over HTTPS בדפדפן

לחלק מהדפדפנים יש אפשרות ל-DNS over HTTPS, שנקרא לפעמים Secure DNS. הוא מצפין את ה-DNS בין הדפדפן לבין ספק DNS. זה יכול להגן על ה-DNS מהרשת המקומית, אבל גם לעקוף את הגדרות ה-DNS שבהן אפליקציית ה-VPN משתמשת.

אם DNS over HTTPS בדפדפן מוגדר מול שרת מחוץ למסלול של ה-VPN, בדיקת דליפה עשויה להציג את השרת הזה במקום את DNS של ה-VPN. הוא אמנם מוצפן, אבל עדיין לא משתמש בטיפול ה-DNS של ה-VPN כפי שהתכוונתם. גם תוספי דפדפן יכולים לפעול לפי כללי ניתוב משלהם, לכן בדיקת דפדפן ובדיקת מכשיר מלא יכולות לתת תוצאות שונות.

בחירות של split tunneling

Split tunneling מאפשר לאפליקציות או אתרים מסוימים לעבור במסלול שונה משאר התעבורה. זה שימושי כשאתם רוצים שחלק מהתעבורה תהיה בתוך ה-VPN וחלק מחוץ לו. אבל זה גם יכול להסביר תוצאות DNS מפתיעות.

אם אפליקציה או אתר מוחרגים מה-VPN, גם ה-DNS שלהם עשוי להיות מוחרג, תלוי בפלטפורמה ובמימוש. Crispy VPN תומך ב-split tunneling באנדרואיד לפי אפליקציה, ב-iPhone וב-iPad לפי אתר, ובתוספי דפדפן לפי אתר. אם אתם משתמשים ב-split tunneling, בדקו את הכללים לפני שאתם מניחים שכל בקשת DNS מוגנת. למדריך מפורט יותר, קראו מה זה split tunneling.

איך מריצים בדיקת דליפת DNS?

בדיקת דליפת DNS בודקת אילו שרתי DNS יכולים לראות את בקשות החיפוש שלכם. הרעיון הבסיסי הוא להשוות מה מופיע כשה-VPN כבוי ומה מופיע כשה-VPN דולק. אם אותם שרתי DNS של ספק האינטרנט או הרשת המקומית מופיעים כשה-VPN מחובר, כנראה יש דליפה.

כדאי להריץ את הבדיקה באותם תנאים שבהם אתם באמת משתמשים. אם אתם גולשים בעיקר בדפדפן מסוים, בדקו שם. אם אתם משתמשים באפליקציית מחשב או באפליקציה לנייד, בדקו גם את החיבור של כל המכשיר. אם אתם עוברים הרבה בין Wi-Fi לנתונים סלולריים, בדקו את שתי הרשתות.

צ'קליסט לבדיקת DNS

1. נתקו את ה-VPN. פתחו עמוד בדיקת דליפת DNS ורשמו את שמות ספקי ה-DNS, המדינות וכתובות ה-IP שמופיעות. זהו קו הבסיס שלכם.
2. חברו את ה-VPN. בחרו את מיקום השרת שבו אתם בדרך כלל משתמשים, והמתינו עד שהאפליקציה תציג מחובר.
3. רעננו את עמוד הבדיקה. הריצו קודם בדיקה רגילה. אם יש בדיקה מורחבת, הריצו גם אותה.
4. השוו את התוצאות. לא אמורים להופיע ספק האינטרנט שלכם, מקום העבודה, בית הספר, מלון או שרתי DNS של הסלולר כשה-VPN מחובר.
5. בדקו את ה-IP הגלוי. השתמשו בעמוד בדיקת IP כדי לוודא שגם ה-IP הציבורי שלכם השתנה למיקום של ה-VPN. אפשר להשתמש במה ה-IP שלי לצורך הזה.
6. חזרו על הבדיקה אחרי החלפת רשת. בדקו שוב אחרי מעבר בין רשתות Wi-Fi, מעבר לנתונים סלולריים, או אחרי התעוררות של המכשיר משינה.

תוצאה טובה לא תמיד תסומן בשם המותג של ה-VPN שלכם. תשתית DNS יכולה להופיע תחת שמות ספקים שונים, שמות של מרכזי נתונים או כתובות של ממסרים. מה שחשוב הוא שהתוצאה לא תראה את ספק האינטרנט המקומי או שרת אחר שלא התכוונתם להשתמש בו.

אם אתם משתמשים ב-Crispy VPN, התחברו לאפליקציה קודם, ורק אז הריצו את הבדיקה. ה-DNS אמור לעבור דרך המנהרה יחד עם תעבורת ה-VPN. אם אחרי החיבור אתם עדיין רואים DNS של ספק האינטרנט, התייחסו לזה כבעיה בהגדרות המכשיר או הדפדפן, ועברו על התיקונים בהמשך.

איך מתקנים בעיות דליפת DNS?

הפתרון הנכון תלוי בסיבה. התחילו בצעדים הפשוטים יותר, ורק אחר כך עברו להגדרות מערכת או דפדפן אם הדליפה ממשיכה.

תיקונים מהירים שכדאי לנסות קודם

1. נתקו וחברו מחדש את ה-VPN. זה מרענן מסלולים והגדרות DNS.
2. החליפו מיקום שרת VPN. חיבור חדש יכול לנקות מצב רשת ישן.
3. הפעילו מחדש את האפליקציה והדפדפן. דפדפנים עלולים לשמור החלטות DNS בזיכרון עד לאתחול.
4. אתחלו את המכשיר. זה מאפס ממשקי רשת והקצאות DNS ישנות.
5. עדכנו את אפליקציית ה-VPN ואת מערכת ההפעלה. באגים בניתוב DNS נפתרים לא פעם דרך עדכונים.

בדקו הגדרות DNS ידניות

בדקו את הגדרות ה-Wi-Fi, ה-Ethernet והסלולר. אם הוספתם ידנית שרתי DNS, הסירו אותם זמנית והחזירו את ה-DNS למצב אוטומטי. אחר כך התחברו מחדש ל-VPN והריצו שוב את בדיקת דליפת ה-DNS.

אם הדליפה נעלמת, ההגדרה הידנית עקפה את ה-VPN. אתם יכולים להחליט אם ה-DNS הזה שווה את השימוש, אבל אל תניחו שהוא פרטי רק כי הוא מוכר או מוצפן.

בדקו את Secure DNS בדפדפן

פתחו את הגדרות הפרטיות או האבטחה של הדפדפן וחפשו Secure DNS או DNS over HTTPS. אם הוא מופעל מול ספק מסוים, כבו אותו זמנית או הגדירו את הדפדפן להשתמש בברירת המחדל של מערכת ההפעלה. התחברו מחדש ל-VPN, הפעילו מחדש את הדפדפן ובדקו שוב.

זה חשוב במיוחד אם רק דפדפן אחד מדליף, בזמן שאפליקציות אחרות נבדקות תקין. במקרה כזה, ייתכן שה-VPN עובד נכון ברמת המערכת, אבל הדפדפן בוחר לעצמו שרת DNS משלו.

בדקו את כללי ה-split tunneling

אם split tunneling מופעל, בדקו אם הדפדפן, אתר הבדיקה או האפליקציה מוחרגים מה-VPN. הסירו את ההחרגה והריצו שוב את הבדיקה. תוצאה שמשתנה אחרי ביטול split tunneling היא לא מסתורית. זה פשוט אומר שהכלל עבד כמו שהוגדר.

העדיפו את אפליקציית ה-VPN על פני פתרונות עוקפים לא נתמכים

הגדרות נתב לא נתמכות, קובצי תצורה אקראיים או כלי רשת של צד שלישי יכולים להפוך ניתוב DNS לבלתי צפוי. Crispy VPN מספק אפליקציות ל-iPhone ו-iPad, Mac, Windows, Linux, Android, Apple TV, Android TV ו-Google TV, וגם תוספי דפדפן ל-Chrome, Edge ו-Firefox. הורידו את האפליקציה המתאימה מעמוד ההורדה ובדקו משם.

במכשירים נתמכים, Crispy VPN משתמש ב-WireGuard בכל השרתים. WireGuard הוא פרוטוקול VPN מודרני עם בסיס קוד קטן, ביצועים טובים והתנהגות סוללה טובה במובייל. אם אתם רוצים רקע על הפרוטוקול, ראו מה זה WireGuard.

מניעת דליפת DNS במכשירים שונים

מניעת דליפת DNS היא בעיקר עניין של שמירה על השליטה של אפליקציית ה-VPN בניתוב, והימנעות מהגדרות DNS שמתנגשות זו עם זו. הפרטים משתנים בין מכשירים.

Windows, Mac ו-Linux

במערכות שולחניות יש לא פעם כמה ממשקי רשת: Wi-Fi, Ethernet, מתאמים וירטואליים, ולפעמים גם פרופילי עבודה. אם מופיעה דליפת DNS, בדקו את הגדרות ה-DNS של המתאמים והסירו שרתים ידניים ישנים. אחר כך התחברו מחדש ל-VPN.

ב-Windows, Mac ו-Linux, מתג Kill Switch יכול גם לעזור לצמצם חשיפה אם חיבור ה-VPN נופל. ב-Crispy VPN יש Kill Switch אופציונלי בפלטפורמות השולחניות האלה. ב-Windows יש גם מצב Lockdown אופציונלי. Kill Switch הוא לא אותו דבר כמו הגנה מפני דליפת DNS, אבל הוא עוזר למנוע מתעבורה להמשיך מחוץ ל-VPN בזמן ניתוקים.

iPhone, iPad ו-Android

מכשירים ניידים עוברים בין Wi-Fi, נתונים סלולריים, רשתות של מלונות ו-captive portals. בדקו אחרי שינוי רשת אם אתם מסתמכים על ה-VPN לפרטיות. בדקו גם אם Private DNS, פרופילי ניהול מכשיר או אפליקציות אבטחה משנים את התנהגות ה-DNS.

ב-Android, ההגדרות המערכתיות Always-on VPN ו-Block connections without VPN יכולות לעזור למנוע תעבורה מקרית מחוץ ל-VPN. ב-iPhone וב-iPad, כדאי לשמור את אפליקציית ה-VPN מעודכנת ולבדוק כללי split tunneling לפי אתר אם אתר מסוים מתנהג בצורה לא צפויה.

דפדפנים ותוספים

דפדפנים הם מקור נפוץ לתוצאות DNS מבלבלות, כי הם יכולים להשתמש בהגדרת Secure DNS משלהם. אם דליפה מופיעה רק בתוך Chrome, Edge או Firefox, בדקו קודם את הגדרות ה-DNS של הדפדפן לפני שאתם משנים את כל המכשיר.

תוספי דפדפן מכסים רק את תעבורת הדפדפן ולא את כל האפליקציות במכשיר. זה שימושי כשאתם צריכים הגנה רק לגלישה, אבל זה לא אותו דבר כמו חיבור VPN מלא ברמת המכשיר. להסבר נוסף על ההבדל, ראו תוסף VPN לדפדפן.

מכשירי TV

פלטפורמות TV פשוטות יותר, אבל גם מציעות פחות שליטה ברשת. Crispy VPN תומך ב-Apple TV וב-Android TV או Google TV, עם כניסה באמצעות סריקת קוד QR מהטלפון. אם אתם פותרים בעיית DNS ב-TV, בדקו קודם את אותה רשת דרך טלפון או מחשב נייד, ואז חברו מחדש את אפליקציית ה-TV.

מה VPN יכול ומה הוא לא יכול להסתיר מ-DNS

VPN שמוגדר נכון אמור לשמור את בקשות ה-DNS בתוך המנהרה המוצפנת. זה מונע ממפעיל ה-Wi-Fi המקומי, מספק האינטרנט או מהסלולר לראות בקשות DNS רגילות בטקסט גלוי. זה גם שומר על מסלול DNS עקבי עם שרת ה-VPN שבחרתם.

Crispy VPN פועל ללא יומני פעילות, ומשתמש בעיצוב relay דו-צדדי שמפריד בין מי שאתם לבין מה שאתם עושים. זה רלוונטי, כי פרטיות DNS לא קשורה רק למנהרה עצמה. היא קשורה גם לאופן שבו השירות בנוי כדי לצמצם קישוריות מיותרת.

ובכל זאת, VPN לא הופך אתכם לאנונימיים. הוא לא עוצר לבד תוכנות זדוניות או פישינג, והוא לא מונע מאתר לזהות אתכם כשאתם מתחברים לחשבון שלכם. הוא גם לא מוחק קובצי Cookie שכבר נשמרו בדפדפן.

חשבו על הגנה מפני דליפת DNS כשכבה אחת. היא עוזרת להרחיק מטא-דאטה של חיפושי אתרים מהרשת המקומית וספק האינטרנט. כדאי לשלב אותה עם הגדרות דפדפן הגיוניות, שימוש זהיר בחשבונות, עדכונים קבועים, והבנה ברורה של מה ה-VPN כן מגן עליו.

אם אתם בודקים את ההתקנה אחרי התקנת VPN, כדאי לבדוק יותר מ-DNS. IP ציבורי, התנהגות WebRTC, הגדרות Kill Switch ותצורת הדפדפן יכולים כולם להשפיע על הפרטיות. צעד המשך שימושי הוא האם ה-VPN שלי עובד, שמסביר איך לבצע בדיקות רחבות יותר.