Wat is een DNS-lek? Testen en oplossen

Een DNS-lek ontstaat wanneer je apparaat website-opvragingen buiten de versleutelde VPN-tunnel verstuurt, meestal naar je internetprovider of een andere DNS-resolver. Daardoor kunnen de domeinnamen zichtbaar worden die je bezoekt, ook al verbergt de VPN je IP-adres wel voor de website zelf.

Het goede nieuws is dat DNS-lekken te testen en meestal op te lossen zijn. In deze gids lees je wat DNS is, waarom DNS-verzoeken gevoelig zijn, waardoor een lek ontstaat, hoe je een betrouwbare DNS-lektest uitvoert en hoe je het risico verkleint op desktop, mobiel en in browsers.

Wat is DNS en waarom is het belangrijk?

DNS staat voor Domain Name System. Zie het als het adressenboek van het internet. Als je een sitenaam in je browser typt, moet je apparaat het serveradres bij die naam vinden voordat de pagina kan laden.

Je onthoudt een domeinnaam omdat die menselijk leesbaar is. Je browser en apps hebben een IP-adres nodig, omdat netwerken verkeer op basis van nummers routeren. DNS is het systeem dat de naam omzet naar het adres.

Een normale DNS-opvraging verloopt in de basis zo:

1. Je typt een domeinnaam of opent een app.
2. Je apparaat vraagt een DNS-resolver waar dat domein naartoe wijst.
3. De resolver stuurt het IP-adres of andere records terug.
4. Je apparaat maakt verbinding met de bestemming en laadt de dienst.

Het privacyprobleem is dat DNS-verzoeken je intentie kunnen verraden. Een DNS-resolver ziet misschien niet de volledige URL, het exacte artikel of de inhoud van een versleutelde HTTPS-sessie. Maar hij kan vaak wel zien welke domeinnaam je opvroeg, zoals een nieuwssite, bank, gezondheidsforum, werktool of streamingdienst.

Daarom hoort DNS-afhandeling bij VPN-privacy. Een VPN draait niet alleen om het wijzigen van het IP-adres dat websites zien. Het moet ook voorkomen dat gewone lookup-verzoeken buiten de beveiligde route terechtkomen. Ben je nog nieuw met de basis, lees dan ook wat een VPN is voor een bredere uitleg van VPN-tunnels.

Wat is een DNS-lek?

Een DNS-lek is een verschil tussen waar je gewone internetverkeer naartoe gaat en waar je DNS-queries naartoe gaan. Je webverkeer kan via een VPN-server lopen, terwijl DNS-opvragingen nog steeds naar je provider, mobiele netwerk, een openbare resolver op je apparaat of een resolver in je browser gaan.

Dat creëert een privacygat. De website die je bezoekt ziet misschien het IP-adres van de VPN-server, maar de DNS-resolver buiten de tunnel kan nog steeds de domeinen zien die je opvraagt. Als die resolver van je provider is, kan je provider via DNS-metadata veel van je browsegedrag afleiden.

Een DNS-lek betekent niet automatisch dat je hele VPN is uitgevallen. Het kan gebeuren terwijl het VPN-pictogram gewoon verbonden lijkt en terwijl je openbare IP-adres inderdaad dat van de VPN-server is. Juist daardoor valt een DNS-lek vaak pas op als je er expliciet op test.

Bij Crispy VPN lopen DNS-verzoeken via de VPN-tunnel wanneer de app verbonden is. Daardoor blijft het lookup-verkeer in lijn met de VPN-verbinding in plaats van terug te vallen op het netwerk dat je gebruikt.

Wat een DNS-lek kan onthullen

• Domeinnamen: de sites en diensten waarvoor je apparaat een adres opvraagt.
• Tijdstip: wanneer die verzoeken plaatsvinden.
• Netwerkcontext: dat het verzoek kwam via je thuisprovider, werknetwerk, hotel, mobiele provider of een ander lokaal netwerk.

DNS alleen onthult meestal niet de volledige inhoud van een beveiligde HTTPS-pagina. Het maakt je ook niet anoniem. Websites waar je bent ingelogd kunnen je account nog steeds herkennen, en trackers kunnen cookies of browserfingerprints gebruiken. Toch is het verstandig om DNS-lekken te voorkomen, omdat ze een bruikbare kaart geven van wat je bezoekt.

Hoe ontstaat een DNS-lek?

DNS-lekken komen meestal door conflicten in de configuratie. Moderne besturingssystemen, browsers, VPN-apps en netwerkadapters kunnen allemaal invloed hebben op DNS-gedrag. Als die lagen niet op elkaar zijn afgestemd, kan lookup-verkeer een andere route nemen dan je verwacht.

DNS-instellingen van het besturingssysteem

Je besturingssysteem bepaalt welke DNS-servers per netwerkinterface worden gebruikt. Wanneer een VPN verbinding maakt, voegt die normaal een virtuele netwerkinterface toe en zou DNS-verkeer via die interface moeten sturen. Een lek kan ontstaan als het systeem toch de oude Wi-Fi- of ethernet-DNS-server blijft gebruiken.

Dat gebeurt sneller na veel netwerkwissels, slaapstand en hervatten, inlogschermen van captive portals of handmatige netwerkwijzigingen. De VPN opnieuw verbinden lost een tijdelijk routingprobleem vaak op, maar hardnekkige lekken vragen om een instellingencontrole.

IPv6-afhandeling

IPv6 is een nieuwer internetworkingssysteem dat naast IPv4 kan draaien. DNS kan zowel IPv4- als IPv6-records oplossen. Als een VPN of apparaat IPv4-verkeer goed routeert, maar IPv6-DNS of IPv6-verkeer via het lokale netwerk laat lopen, kan dat een lek veroorzaken.

Daarom moet een test de hele verbinding controleren, niet alleen of één zichtbaar IPv4-adres is veranderd. Een schoon resultaat betekent dat je DNS-servers en zichtbare IP-informatie overeenkomen met de VPN-route die je wilde gebruiken.

Handmatige DNS-servers

Veel mensen stellen zelf DNS-servers in op een apparaat, router of browser voor snelheid, filtering of betrouwbaarheid. Die instellingen kunnen de DNS-servers overschrijven die een VPN-app doorgeeft. Als de aangepaste resolver buiten de tunnel wordt bereikt, heb je een DNS-lek.

Handmatige DNS is niet per se slecht, maar het moet wel passen bij je privacydoel. Gebruik je een VPN, dan is de veiligste standaard om de VPN-app DNS te laten beheren, tenzij je daar een goede reden voor hebt en weet waar die queries naartoe gaan.

DNS over HTTPS in de browser

Sommige browsers bieden DNS over HTTPS, ook wel beveiligde DNS genoemd. Daarmee wordt DNS versleuteld tussen de browser en een DNS-provider. Dat kan DNS beschermen tegen het lokale netwerk, maar het kan ook de DNS-instellingen van je VPN-app omzeilen.

Als DNS over HTTPS in de browser op een resolver buiten het VPN-pad staat, kan een lektest die resolver tonen in plaats van de VPN-DNS. Het verkeer is dan wel versleuteld, maar gebruikt nog steeds niet de bedoelde DNS-afhandeling van de VPN. Browserextensies kunnen bovendien hun eigen routeringsregels hebben, waardoor browsertests en volledige apparaattests anders kunnen uitpakken.

Split tunneling-keuzes

Split tunneling laat geselecteerde apps of websites een andere route gebruiken dan de rest van je verkeer. Dat is handig als je sommige diensten wel en andere niet via de VPN wilt laten lopen. Maar het kan ook verrassende DNS-resultaten verklaren.

Als een app of website van de VPN is uitgesloten, kan de DNS daarvan ook worden uitgesloten, afhankelijk van het platform en de implementatie. Crispy VPN ondersteunt split tunneling op Android per app, op iPhone en iPad per website, en in browserextensies per website. Gebruik je split tunneling, controleer dan je regels voordat je aanneemt dat elk DNS-verzoek beschermd is. Lees voor meer achtergrond ook wat split tunneling is.

Hoe voer je een DNS-lektest uit?

Een DNS-lektest controleert welke DNS-resolvers je opvragingen kunnen zien. Het basisidee is om te vergelijken wat verschijnt met de VPN uit en met de VPN aan. Als dezelfde DNS-servers van je provider of lokale netwerk zichtbaar blijven terwijl de VPN verbonden is, heb je waarschijnlijk een lek.

Doe de test in dezelfde omstandigheden als waarin je de VPN echt gebruikt. Browse je vooral in een specifieke browser, test dan daar. Gebruik je een desktopapp of mobiele app, test dan ook de volledige apparaatverbinding. Wissel je vaak tussen wifi en mobiel internet, test dan beide netwerken.

Checklist voor een DNS-lektest

1. Koppel de VPN los. Bezoek een DNS-lektestpagina en noteer de namen van de DNS-providers, landen en IP-adressen die worden getoond. Dit is je basislijn.
2. Verbind met de VPN. Kies de serverlocatie die je normaal gebruikt en wacht tot de app aangeeft dat de verbinding actief is.
3. Ververs de testpagina. Voer eerst de standaardtest uit. Is er een uitgebreide test beschikbaar, voer die dan ook uit.
4. Vergelijk de resultaten. Je zou je provider, werkplek, school, hotel of mobiele provider niet moeten zien wanneer de VPN verbonden is.
5. Controleer je zichtbare IP. Gebruik een IP-check om te bevestigen dat je openbare IP ook is veranderd naar de VPN-locatie. Daarvoor kun je wat is mijn IP-adres gebruiken.
6. Test opnieuw na een netwerkwissel. Controleer nog eens na het wisselen van wifi, overstappen op mobiel internet of het wekken van het apparaat uit slaapstand.

Een goed resultaat wordt niet altijd met jouw VPN-naam aangeduid. DNS-infrastructuur kan verschillende providernamen, datacenternamen of relay-adressen tonen. Het belangrijkste is dat je lokale provider of een andere resolver die je niet wilde gebruiken niet in de resultaten verschijnt.

Gebruik je Crispy VPN, verbind dan eerst de app en voer daarna de test uit. DNS hoort dan via de tunnel te lopen, samen met je VPN-verkeer. Zie je toch je provider-DNS, behandel dat dan als een apparaat- of browserinstelling en loop de oplossingen hieronder door.

Hoe los je DNS-lekproblemen op?

De juiste oplossing hangt af van de oorzaak. Begin met de minst ingrijpende stappen en ga daarna pas naar platform- en browserinstellingen als het lek blijft bestaan.

Snelle oplossingen om eerst te proberen

1. Verbreek en herstel de VPN-verbinding. Daarmee ververs je routes en DNS-instellingen.
2. Wissel van serverlocatie. Een nieuwe verbinding kan verouderde netwerkstatus opruimen.
3. Herstart de app en browser. Browsers kunnen DNS-beslissingen cachen tot ze opnieuw starten.
4. Herstart het apparaat. Dat zet netwerkinterfaces en oude DNS-toewijzingen terug.
5. Werk de VPN-app en het besturingssysteem bij. DNS-routingbugs worden vaak via updates verholpen.

Controleer handmatige DNS-instellingen

Kijk in je wifi-, ethernet- en mobiele netwerkinstellingen. Heb je handmatig DNS-servers toegevoegd, verwijder die dan tijdelijk en zet DNS terug op automatisch. Verbind daarna opnieuw met de VPN en voer de DNS-lektest nog eens uit.

Verdwijnt het lek, dan overschreven de handmatige DNS-instellingen de VPN. Je kunt daarna zelf bepalen of je die aangepaste DNS wilt behouden, maar ga er niet van uit dat die automatisch privé is, alleen omdat hij bekend of versleuteld lijkt.

Controleer beveiligde DNS in de browser

Open de privacy- of beveiligingsinstellingen van je browser en zoek naar secure DNS of DNS over HTTPS. Staat dit aan met een specifieke provider, schakel het dan tijdelijk uit of zet de browser op het standaardgedrag van het besturingssysteem. Verbind de VPN opnieuw, start de browser opnieuw op en test nog eens.

Dit is extra belangrijk als alleen één browser lekt terwijl andere apps wel schoon testen. In dat geval kan de VPN op systeemniveau prima werken, terwijl de browser zelf een eigen resolver kiest.

Controleer split tunneling-regels

Als split tunneling aan staat, controleer dan of de browser, testsite of app van de VPN is uitgesloten. Verwijder die uitzondering en voer de test opnieuw uit. Verandert het resultaat na het uitzetten van split tunneling, dan is dat niet mysterieus. De regel deed simpelweg wat hij moest doen.

Gebruik de VPN-app in plaats van omwegen zonder ondersteuning

Niet-ondersteunde routeropstellingen, losse configuratiebestanden of willekeurige netwerktools kunnen DNS-routing onvoorspelbaar maken. Crispy VPN heeft apps voor iPhone en iPad, Mac, Windows, Linux, Android, Apple TV, Android TV en Google TV, plus browserextensies voor Chrome, Edge en Firefox. Download de juiste app via de downloadpagina en test van daaruit.

Op ondersteunde apparaten gebruikt Crispy VPN WireGuard op elke server. WireGuard is een modern VPN-protocol met een kleine codebasis, goede prestaties en gunstig batterijverbruik op mobiele apparaten. Voor de achtergrond van het protocol kun je wat WireGuard is lezen.

DNS-lekken voorkomen op verschillende apparaten

DNS-lekken voorkomen draait vooral om het in control houden van de routering door de VPN-app en het vermijden van conflicterende DNS-instellingen. De details verschillen per apparaat.

Windows, Mac en Linux

Desktopsystemen hebben vaak meerdere netwerkinterfaces, zoals wifi, ethernet, virtuele adapters en soms werkprofielen. Zie je een DNS-lek, controleer dan de DNS-instellingen van de adapter en verwijder oude handmatige resolvers. Verbind daarna opnieuw met de VPN.

Op Windows, Mac en Linux kan een kill switch ook helpen om blootstelling te beperken als de VPN-verbinding wegvalt. Crispy VPN bevat op deze desktopplatforms een opt-in kill switch. Op Windows is er daarnaast een optionele Lockdown-modus. Een kill switch is niet hetzelfde als DNS-lekbescherming, maar het helpt wel voorkomen dat verkeer buiten de VPN doorgaat bij verbindingsonderbrekingen.

iPhone, iPad en Android

Mobiele apparaten wisselen tussen wifi, mobiel internet, hotelnetwerken en captive portals. Test opnieuw na netwerkwissels als je de VPN voor privacy gebruikt. Controleer ook of private DNS, apparaatprofielen of beveiligingsapps DNS-gedrag wijzigen.

Op Android kunnen de systeeminstellingen Always-on VPN en Verbindingen blokkeren zonder VPN helpen om onbedoeld verkeer buiten de VPN te voorkomen. Op iPhone en iPad houd je de VPN-app up-to-date en controleer je eventuele split tunneling-regels per website als een specifieke site onverwacht gedrag vertoont.

Browsers en extensies

Browsers veroorzaken vaak verwarrende DNS-resultaten, omdat ze hun eigen beveiligde DNS-instelling kunnen gebruiken. Als een lek alleen in Chrome, Edge of Firefox verschijnt, controleer dan eerst de browserinstellingen voordat je het hele apparaat aanpast.

Browserextensies dekken alleen browserverkeer, niet elke app op het apparaat. Dat is handig als je alleen bescherming voor webverkeer nodig hebt, maar het is niet hetzelfde als een volledige VPN-verbinding op apparaatniveau. Voor dat verschil kun je VPN-browserextensie lezen.

TV-apparaten

TV-platforms zijn eenvoudiger, maar bieden ook minder netwerkopties. Crispy VPN ondersteunt Apple TV en Android TV of Google TV, met inloggen door een QR-code te scannen met je telefoon. Als je DNS op een tv wilt troubleshooten, test dan eerst hetzelfde netwerk op je telefoon of laptop en verbind daarna de tv-app opnieuw.

Wat een VPN wel en niet kan verbergen voor DNS

Een goed geconfigureerde VPN hoort DNS-verzoeken binnen de versleutelde tunnel te houden. Daarmee voorkom je dat de lokale wifi-exploitant, provider of mobiele netwerkaanbieder gewone DNS-lookups in leesbare vorm ziet. Ook blijft je DNS-route dan consistent met de VPN-server die je hebt gekozen.

Crispy VPN heeft ook een no-logsbeleid voor activiteit en gebruikt een twee-partijen relay-ontwerp dat scheidt wie je bent van wat je doet. Dat is relevant, omdat DNS-privacy niet alleen over de tunnel gaat. Het gaat ook over de manier waarop de dienst is opgebouwd om onnodige koppeling te beperken.

Toch maakt een VPN je niet anoniem. Hij stopt malware of phishing niet vanzelf, en hij voorkomt niet dat een site je herkent wanneer je inlogt op je account. Ook kan hij trackingcookies die al in je browser staan niet verwijderen.

Zie DNS-lekbescherming als één laag. Het helpt om metadata over website-opvragingen weg te houden van het lokale netwerk en je provider. Combineer dat met verstandige browserinstellingen, bewust accountgebruik, regelmatige updates en een helder beeld van wat de VPN wel en niet beschermt.

Controleer je setup na installatie van een VPN, dan is het slim om meer te testen dan alleen DNS. Openbaar IP, WebRTC-gedrag, kill-switchinstellingen en browserconfiguratie kunnen allemaal invloed hebben op privacy. Een logische vervolgstap is werkt mijn VPN, waarin de bredere controles worden uitgelegd.