crispy
DNS漏れとは、Webサイトの名前を調べるDNSリクエストが、暗号化されたVPNトンネルの外に出てしまう状態です。これにより、サイト側にはVPNのIPアドレスが見えていても、閲覧先のドメイン名はISPや別のDNSリゾルバーに見えることがあります。
DNS漏れは確認でき、たいていは対処も可能です。この記事では、DNS サーバー とは何か、なぜDNSリクエストが重要なのか、漏れが起きる原因、DNS確認のやり方、デスクトップやスマホ、ブラウザでの対策まで順番に整理します。
DNSサーバーとは何か、なぜ重要なのか
DNSは Domain Name System の略で、インターネットの住所録のような役割を持ちます。ブラウザにサイト名を入力すると、端末はその名前に対応するサーバーのアドレスを探してからページを開きます。
人間はドメイン名を覚えますが、ネットワークは数値のIPアドレスで通信します。DNSは、その名前をアドレスに変換する仕組みです。
通常のDNS問い合わせは、次のように流れます。
- ドメイン名を入力するか、アプリを開く。
- 端末がDNSリゾルバーに、そのドメインの場所を尋ねる。
- リゾルバーがIPアドレスなどを返す。
- 端末が接続してサービスを読み込む。
大事なのは、DNSリクエストが行動の手がかりになることです。DNSリゾルバーは、HTTPSの中身までは見えないことが多いですが、ニュースサイト、銀行、健康関連フォーラム、職場ツール、動画配信サービスなど、問い合わせたドメイン名は把握できる場合があります。
そのため、VPNのプライバシーではDNSの扱いが重要です。VPNはWebサイトに見えるIPアドレスを変えるだけではありません。保護された経路の外に通常の問い合わせが漏れないようにする必要があります。VPNの基本を先に押さえたい人は、VPNとは何かも参考になります。
DNS漏れとは何か
DNS漏れとは、主なインターネット通信の行き先と、DNSクエリの行き先がずれている状態です。Web通信はVPNサーバーを通っていても、DNS問い合わせだけがISP、モバイル回線事業者、端末に設定された公開リゾルバー、あるいはブラウザが選んだリゾルバーへ流れることがあります。
このずれがプライバシーの穴になります。アクセス先のサイトにはVPNサーバーのIPアドレスが見えていても、トンネルの外にあるDNSリゾルバーには問い合わせたドメインが見えます。もしそのリゾルバーがISPのものなら、DNSメタデータから閲覧傾向をある程度推測される可能性があります。
DNS漏れは、VPNそのものが完全に失敗したことを意味するとは限りません。VPNアイコンが接続中のままでも、公開IPがVPNサーバーに変わっているように見えても起こります。だからこそ、見た目だけでは気づきにくく、DNS確認を直接行う価値があります。
Crispy VPNでは、アプリ接続中のDNSリクエストもVPNトンネル経由で処理されます。これにより、DNSの問い合わせが使っているネットワークへ戻ってしまうのではなく、VPN接続と同じ経路にそろいます。
DNS漏れで見えること
- ドメイン名: 端末が解決しようとしたサイトやサービス。
- タイミング: いつ問い合わせが起きたか。
- ネットワークの手がかり: 自宅のISP、職場、ホテル、モバイル回線など、どの回線から来たか。
DNSだけでHTTPSページの中身まで丸見えになるわけではありませんし、匿名化が完成するわけでもありません。ログイン中のサイトはアカウントを識別できますし、トラッカーはCookieやブラウザ指紋を使えます。それでも、DNS漏れを防ぐ価値は高いです。どこを見に行っているかという手がかりを減らせるからです。
DNS漏れが起きる原因
DNS漏れは、設定の食い違いから起きることが多いです。現代のOS、ブラウザ、VPNアプリ、ネットワークアダプタは、どれもDNSの動きに影響します。これらの層が合わないと、想定外の経路に流れます。
OSのDNS設定
OSは、ネットワークごとにどのDNSサーバーを使うかを管理します。VPNが接続すると、通常は仮想ネットワークアダプタが追加され、その経路にDNSも通すべきです。ところが、古いWi-FiやEthernetのDNS設定がそのまま優先されると漏れが起きます。
再接続を何度もしたあと、スリープ復帰後、ログインが必要なホテルWi-Fi、手動でネットワーク設定をいじったあとに起きやすくなります。いったんVPNを再接続すると直ることもありますが、継続するなら設定の見直しが必要です。
IPv6の扱い
IPv6は、IPv4と並んで使われる新しいアドレス体系です。DNSはIPv4とIPv6の両方を解決できます。VPNがIPv4の通信だけ正しく通し、IPv6のDNSやIPv6通信だけがローカルネットワークに残ると、漏れにつながります。
そのため、確認では1つのIPアドレスが変わったかだけではなく、接続全体を見る必要があります。きれいな結果とは、DNSサーバー情報と見えているIP情報が、意図したVPN経路に一致している状態です。
手動で指定したDNSサーバー
速度、フィルタリング、安定性のために、端末、ルーター、ブラウザに独自のDNSサーバーを設定している人もいます。ただし、その設定がVPNアプリより優先されることがあります。もしそのリゾルバーがトンネルの外から使われるなら、それはDNS漏れです。
手動DNSが常に悪いわけではありませんが、プライバシー目的と合っている必要があります。VPNを使うなら、特別な理由がない限り、DNSはVPNアプリに管理させるのが無難です。
ブラウザのDNS over HTTPS
一部のブラウザには、DNS over HTTPS という機能があります。これは、ブラウザとDNSプロバイダーの間の通信を暗号化します。ローカルネットワークからDNSを守れることはありますが、VPNアプリが想定するDNS設定を迂回することもあります。
ブラウザのDNS over HTTPSがVPNの外にあるリゾルバーを使う設定だと、確認結果にはそのリゾルバーが出ることがあります。暗号化されていても、VPNが意図したDNSの扱いになっていないなら意味は変わりません。ブラウザ拡張機能にも独自の経路ルールがあるため、ブラウザ単体の確認と端末全体の確認が一致しないこともあります。
スプリットトンネリングの設定
スプリットトンネリングは、一部のアプリやWebサイトだけ別経路にする機能です。VPNの中に入れる通信と、外に出す通信を分けたいときに便利です。ただし、DNS結果が意外になる原因にもなります。
アプリやサイトがVPNの対象外なら、プラットフォームや実装によってはDNSも対象外になります。Crispy VPNでは、Androidはアプリ単位、iPhoneとiPadはWebサイト単位、ブラウザ拡張機能もWebサイト単位でスプリットトンネリングを使えます。使っている場合は、すべてのDNSリクエストが守られていると思い込まず、ルールを見直してください。詳しくはスプリットトンネリングとはも読めます。
DNS漏れの確認方法
DNS漏れの確認は、どのDNSリゾルバーが問い合わせを見られるかを調べる作業です。基本は、VPNオフとVPNオンで表示される内容を比べることです。VPN接続中なのに、同じISPやローカルネットワークのDNSサーバーが見えるなら、漏れの可能性があります。
実際に使う条件で確認してください。普段使うブラウザがあるなら、そのブラウザで試します。デスクトップアプリやモバイルアプリを使うなら、端末全体の接続としても確認します。Wi-Fiとモバイルデータを切り替えることが多いなら、両方で試すのが大切です。
DNS漏れテストの手順
- VPNを切る。 DNS漏れテストのページを開き、表示されたDNSプロバイダー名、国、IPアドレスを確認する。これが基準です。
- VPNをつなぐ。 普段使うサーバー場所を選び、アプリが接続完了と表示するまで待つ。
- テストページを更新する。 まず標準テストを実行し、拡張テストがあるならそれも行う。
- 結果を比べる。 VPN接続中に、自宅ISP、職場、学校、ホテル、モバイル回線のDNSサーバーが見えてはいけません。
- 見えているIPも確認する。 IP確認ページで公開IPがVPNの場所に変わっているかチェックします。この部分は自分のIPアドレスとはが役立ちます。
- ネットワークを変えたら再確認する。 Wi-Fiを切り替えたあと、モバイルデータに移ったあと、スリープ復帰後にもう一度試します。
良い結果でも、必ずしもVPNブランド名が出るとは限りません。DNSのインフラは、プロバイダー名、データセンター名、リレーアドレスなどが表示されることがあります。大事なのは、意図していないISPやローカルDNSが出ないことです。
Crispy VPNを使っているなら、まずアプリを接続してからテストしてください。DNSはVPN通信と一緒にトンネル経由になるはずです。接続後もISPのDNSが見えるなら、端末かブラウザの設定に問題があると考え、次の対策を順番に試しましょう。
DNS漏れの直し方
正しい直し方は原因によって変わります。まずは影響の少ない手順から始め、残る場合にOSやブラウザの設定へ進みます。
最初に試す簡単な対処
- VPNを切って、もう一度つなぐ。 経路とDNS設定を更新します。
- 接続先サーバーを変える。 新しい接続で古い状態が消えることがあります。
- アプリとブラウザを再起動する。 ブラウザは再起動までDNS判断を保持することがあります。
- 端末を再起動する。 ネットワークアダプタと古いDNS割り当てをリセットできます。
- VPNアプリとOSを更新する。 DNSルーティングの不具合は更新で直ることが多いです。
手動DNS設定を見直す
Wi-Fi、Ethernet、モバイルネットワークの設定を確認します。手動でDNSサーバーを入れているなら、いったん削除して自動に戻します。その後、VPNをつなぎ直してDNS漏れテストをもう一度実行してください。
漏れが消えたなら、手動DNSがVPNを上書きしていたことになります。独自DNSを残すかは別の判断ですが、慣れているから、あるいは暗号化されているからといって自動的に安全とは考えないでください。
ブラウザのセキュアDNSを確認する
ブラウザのプライバシーやセキュリティ設定を開き、セキュアDNSやDNS over HTTPSを探します。特定のプロバイダーが指定されているなら、一時的にオフにするか、OSの既定を使う設定に変えます。その後、VPNをつなぎ直し、ブラウザを再起動して再確認します。
特定のブラウザだけ漏れるのに、他のアプリは問題ない場合は特に重要です。このケースでは、VPNはシステムレベルでは正常でも、ブラウザが独自のリゾルバーを選んでいることがあります。
スプリットトンネリングのルールを確認する
スプリットトンネリングを使っているなら、ブラウザ、テストサイト、アプリがVPN対象外になっていないか見ます。除外を外して再度テストしてください。無効化したら結果が変わるのは不思議ではありません。設定どおりに動いていたということです。
非対応の回避策ではなく、アプリを使う
非公式のルーター設定、適当な設定ファイル、サードパーティのネットワークツールは、DNSの経路を読みにくくします。Crispy VPNは、iPhoneとiPad、Mac、Windows、Linux、Android、Apple TV、Android TV、Google TVに対応し、Chrome、Edge、Firefox向けのブラウザ拡張機能もあります。ダウンロードページから正しいアプリを入れて、その環境で確認してください。
対応デバイスでは、Crispy VPNはすべてのサーバーでWireGuardを使います。WireGuardは、コードベースが小さく、高速で、モバイルでもバッテリーにやさしい現代的なVPNプロトコルです。プロトコルの背景はWireGuardとはを参考にできます。
端末別のDNS漏れ対策
DNS漏れ対策の基本は、VPNアプリに経路制御を任せ、干渉するDNS設定を避けることです。細かい点は端末ごとに変わります。
Windows、Mac、Linux
デスクトップでは、Wi-Fi、Ethernet、仮想アダプタ、会社用プロファイルなど、複数のネットワークが同時に存在しがちです。DNS漏れが出たら、アダプタのDNS設定を確認し、古い手動リゾルバーを消してからVPNを再接続します。
Windows、Mac、Linuxでは、接続が落ちたときの露出を抑えるためにキルスイッチも役立ちます。Crispy VPNは、これらのデスクトップ環境でオプトイン式のキルスイッチを備えています。Windowsには、追加でLockdown modeもあります。キルスイッチはDNS漏れ防止そのものではありませんが、接続が切れた瞬間にVPNの外へ通信が続くのを防ぐ助けになります。
iPhone、iPad、Android
モバイル端末は、Wi-Fi、モバイルデータ、ホテルのネットワーク、ログイン画面つきの回線を行き来します。プライバシー目的でVPNを使うなら、ネットワーク変更のたびに確認してください。Private DNS、端末管理プロファイル、セキュリティアプリがDNS挙動を変えていないかも見ます。
Androidでは、システム設定の Always-on VPN と VPNなしでは接続をブロック の設定が、うっかりVPN外へ出るのを防ぐ助けになります。iPhoneとiPadでは、VPNアプリを最新に保ち、特定サイトだけ挙動が違うなら、そのサイトのスプリットトンネリング設定を見直してください。
ブラウザと拡張機能
ブラウザは、独自のセキュアDNS設定を使えるため、結果がややこしくなりやすいです。Chrome、Edge、Firefoxの中だけで漏れて見えるなら、端末全体を変える前にブラウザ設定を確認します。
ブラウザ拡張機能は、端末全体ではなくブラウザ通信だけを対象にします。Web閲覧だけ守りたいときは便利ですが、端末全体のVPN接続とは同じではありません。この違いについてはVPNブラウザ拡張機能も役立ちます。
テレビ端末
テレビ向けのプラットフォームは比較的シンプルですが、そのぶん細かなネットワーク操作は少なめです。Crispy VPNはApple TVとAndroid TV、Google TVに対応し、スマホでQRコードを読み取ってサインインできます。テレビのDNSを確認するなら、まずスマホかノートPCで同じ回線を試し、そのあとTVアプリを再接続すると切り分けしやすいです。
VPNで隠せること、隠せないこと
正しく設定されたVPNは、DNSリクエストを暗号化トンネルの中に保ちます。そうすることで、ローカルWi-Fiの提供者、ISP、モバイル回線事業者が通常のDNS問い合わせを平文で見るのを防げます。また、選んだVPNサーバーに合わせてDNS経路をそろえられます。
Crispy VPNはノーログ方針を採用し、誰であるかと何をしているかを分ける二者中継設計を使っています。DNSのプライバシーはトンネルだけの話ではなく、サービス全体の設計で余計な結びつきを減らせるかどうかも関係します。
それでも、VPNは匿名化装置ではありません。マルウェアやフィッシングを止めるわけでもなく、ログインしたサイトからの識別も防げません。ブラウザ内に保存済みの追跡Cookieを消すこともできません。
DNS漏れ対策は、あくまで1つの層として考えてください。サイトの問い合わせ先の手がかりをローカルネットワークやISPから遠ざける助けになります。そこに、ブラウザ設定の見直し、慎重なアカウント利用、定期的な更新、VPNが何を守るかの理解を組み合わせるのが実用的です。
VPN導入後に動作を確認するなら、DNSだけでなく他の項目も見たほうがいいです。公開IP、WebRTCの挙動、キルスイッチ設定、ブラウザ設定などがプライバシーに影響します。次の確認としては、VPNは正常に動いているかを読むと全体像をつかみやすいです。
