Co to jest wyciek DNS i jak go wykryć oraz naprawić

Wyciek DNS pojawia się wtedy, gdy urządzenie wysyła zapytania o adresy stron poza zaszyfrowanym tunelem VPN, zwykle do dostawcy internetu albo innego resolvera DNS. To może ujawnić domeny, które odwiedzasz, nawet jeśli VPN nadal ukrywa przed witryną Twój adres IP.

Dobra wiadomość jest taka, że wyciek DNS da się wykryć i zwykle da się go naprawić. Ten poradnik wyjaśnia, czym jest DNS, dlaczego zapytania DNS są wrażliwe, skąd biorą się wycieki, jak wykonać wiarygodny test wycieku DNS i jak ograniczyć ryzyko na komputerze, telefonie i w przeglądarce.

Czym jest DNS i dlaczego ma znaczenie?

DNS to skrót od Domain Name System. To internetowa książka adresowa. Gdy wpisujesz nazwę strony w przeglądarce, urządzenie musi znaleźć adres serwera przypisany do tej nazwy, zanim strona się otworzy.

Na przykład: zapamiętujesz nazwę domeny, bo jest czytelna dla człowieka. Przeglądarka i aplikacje potrzebują adresu IP, ponieważ sieci przesyłają ruch za pomocą liczb. DNS to system, który zamienia nazwę na adres.

Typowy odpytywanie DNS wygląda tak:

1. Wpisujesz nazwę domeny albo otwierasz aplikację.
2. Urządzenie pyta resolver DNS, gdzie prowadzi ta domena.
3. Resolver odpowiada adresem IP lub innymi rekordami.
4. Urządzenie łączy się z celem i ładuje usługę.

Ważna dla prywatności jest jedna rzecz, zapytania DNS mogą zdradzać intencję. Resolver DNS nie zawsze widzi pełny adres konkretnej podstrony, treść szyfrowanej sesji HTTPS ani cały URL. Ale często widzi nazwę domeny, o którą pytasz, na przykład serwis informacyjny, bank, forum o zdrowiu, narzędzie do pracy albo usługę streamingową.

Dlatego obsługa DNS jest częścią prywatności VPN. VPN nie służy tylko do zmiany adresu IP widocznego dla stron. Powinien też zapobiegać temu, by zwykłe zapytania o adresy wysypywały się poza chronioną trasę. Jeśli dopiero zaczynasz, zobacz czym jest VPN, aby lepiej zrozumieć, jak działają tunele VPN.

Co to jest wyciek DNS?

Wyciek DNS to sytuacja, w której główny ruch internetowy i zapytania DNS idą różnymi drogami. Ruch z przeglądarki może być kierowany przez serwer VPN, a wyszukiwania DNS nadal trafiają do dostawcy internetu, operatora komórkowego, publicznego resolvera ustawionego w urządzeniu albo resolvera wybranego przez przeglądarkę.

To tworzy lukę prywatności. Strona, którą odwiedzasz, może widzieć adres IP serwera VPN, ale resolver DNS poza tunelem nadal może widzieć domeny, o które pytasz. Jeśli ten resolver należy do Twojego dostawcy internetu, może on wywnioskować sporą część Twojej aktywności na podstawie metadanych DNS.

Wyciek DNS nie oznacza automatycznie, że cały VPN przestał działać. Może wystąpić nawet wtedy, gdy ikona VPN pokazuje połączenie i gdy publiczny adres IP wygląda na adres serwera VPN. Dlatego łatwo go przeoczyć, jeśli nie sprawdzisz go bezpośrednio.

W Crispy VPN zapytania DNS są prowadzone przez tunel VPN, gdy aplikacja jest połączona. Taka konstrukcja utrzymuje ruch DNS w zgodzie z połączeniem VPN, zamiast pozwalać mu wrócić do sieci, z której korzystasz.

Co może ujawnić wyciek DNS

• Nazwy domen: strony i usługi, o które pyta Twoje urządzenie.
• Moment wysłania zapytań: kiedy dokładnie pojawiają się żądania.
• Kontekst sieci: fakt, że żądanie pochodzi z domowego internetu, pracy, hotelu, sieci komórkowej albo innej lokalnej sieci.

Sam DNS zwykle nie ujawnia pełnej treści bezpiecznej strony HTTPS. Nie daje też anonimowości. Witryny, do których się logujesz, nadal mogą rozpoznać konto, a trackery nadal mogą korzystać z plików cookie albo odcisku przeglądarki. Mimo to warto zapobiegać wyciekom DNS, bo pokazują cenną mapę tego, co przeglądasz.

Skąd bierze się wyciek DNS?

Wyciek DNS zwykle wynika z konfliktu konfiguracji. Nowoczesne systemy operacyjne, przeglądarki, aplikacje VPN i karty sieciowe mogą wpływać na zachowanie DNS. Jeśli te warstwy się nie zgadzają, zapytania mogą trafić inną drogą niż zakładałeś.

Ustawienia DNS w systemie operacyjnym

System operacyjny decyduje, jakich serwerów DNS użyć dla każdego interfejsu sieciowego. Gdy łączy się VPN, zwykle dodaje wirtualny interfejs i powinien kierować ruch DNS przez ten interfejs. Do wycieku może dojść, jeśli system nadal korzysta ze starego serwera DNS z Wi-Fi albo Ethernetu.

Jest to bardziej prawdopodobne po częstych zmianach sieci, wybudzeniu z uśpienia, logowaniu do sieci z captive portalem albo ręcznych zmianach ustawień. Ponowne uruchomienie połączenia VPN często usuwa chwilowy problem z routingiem, ale uporczywy wyciek wymaga sprawdzenia ustawień.

Obsługa IPv6

IPv6 to nowszy system adresowania internetu, który może działać obok IPv4. DNS potrafi rozwiązywać rekordy zarówno IPv4, jak i IPv6. Jeśli VPN albo urządzenie poprawnie kieruje ruch IPv4, ale pozwala lokalnej sieci obsługiwać DNS IPv6 albo ruch IPv6, może dojść do wycieku.

Dlatego test powinien sprawdzać całe połączenie, a nie tylko to, czy zmienił się jeden widoczny adres IPv4. Czysty wynik oznacza, że serwery DNS i widoczny adres IP zgadzają się z trasą VPN, której chcesz używać.

Ręcznie ustawione serwery DNS

Wiele osób ustawia własne serwery DNS na urządzeniu, routerze albo w przeglądarce, żeby poprawić szybkość, filtrowanie lub niezawodność. Takie ustawienia mogą nadpisać serwery DNS dostarczane przez aplikację VPN. Jeśli do takiego resolvera dochodzi ruch poza tunelem, masz wyciek DNS.

Ręczny DNS nie zawsze jest zły, ale musi pasować do Twojego celu prywatności. Przy korzystaniu z VPN najbezpieczniejszym domyślnym rozwiązaniem jest pozwolić aplikacji VPN zarządzać DNS, chyba że masz konkretny powód i wiesz, dokąd trafiają te zapytania.

DNS over HTTPS w przeglądarce

Niektóre przeglądarki oferują DNS over HTTPS, często nazywany bezpiecznym DNS. Szyfruje on DNS między przeglądarką a dostawcą DNS. Może to chronić DNS przed lokalną siecią, ale może też ominąć ustawienia DNS używane przez aplikację VPN.

Jeśli DNS over HTTPS w przeglądarce jest ustawiony na resolver poza trasą VPN, test wycieku może pokazać ten resolver zamiast DNS z VPN. Ruch może być zaszyfrowany, ale nadal nie korzysta z zamierzonej obsługi DNS przez VPN. Rozszerzenia do przeglądarki też mogą mieć własne reguły routingu, więc test przeglądarki i test całego urządzenia mogą dać różne wyniki.

Opcje split tunnelingu

Split tunneling pozwala wybranym aplikacjom albo stronom korzystać z innej trasy niż reszta ruchu. To przydatne, gdy chcesz, by część ruchu była w VPN, a część poza nim. Ale może też tłumaczyć zaskakujące wyniki DNS.

Jeśli aplikacja albo strona jest wyłączona z VPN, jej DNS również może być poza tunelem, zależnie od platformy i implementacji. Crispy VPN obsługuje split tunneling na Androidzie per aplikacja, na iPhonie i iPadzie per strona oraz w rozszerzeniach przeglądarki per strona. Jeśli używasz split tunnelingu, sprawdź reguły, zanim założysz, że każde zapytanie DNS jest chronione. Po szersze wyjaśnienie zajrzyj do czym jest split tunneling.

Jak wykonać test wycieku DNS?

Test wycieku DNS sprawdza, które resolvery DNS widzą Twoje zapytania. Podstawowy pomysł polega na porównaniu wyników przy wyłączonym VPN i przy włączonym VPN. Jeśli przy połączeniu VPN nadal widzisz te same serwery DNS od ISP albo lokalnej sieci, prawdopodobnie masz wyciek.

Wykonuj test w takich samych warunkach, w jakich faktycznie korzystasz z internetu. Jeśli najczęściej używasz konkretnej przeglądarki, testuj właśnie tam. Jeśli korzystasz z aplikacji na komputerze lub telefonie, sprawdzaj też całe połączenie urządzenia. Jeśli często przełączasz się między Wi-Fi a danymi komórkowymi, testuj obie sieci.

Lista kontrolna testu wycieku DNS

1. Odłącz VPN. Wejdź na stronę testu wycieku DNS i zapisz nazwy dostawców DNS, kraje oraz widoczne adresy IP. To będzie punkt odniesienia.
2. Połącz VPN. Wybierz lokalizację serwera VPN, z której zwykle korzystasz, i poczekaj, aż aplikacja pokaże połączenie.
3. Odśwież stronę testową. Najpierw uruchom standardowy test. Jeśli dostępny jest test rozszerzony, wykonaj go także.
4. Porównaj wyniki. Przy włączonym VPN nie powinieneś widzieć serwerów DNS swojego ISP, pracy, szkoły, hotelu ani operatora komórkowego.
5. Sprawdź widoczny adres IP. Użyj strony do sprawdzenia IP, by upewnić się, że publiczny adres IP również zmienił się na lokalizację VPN. W tym pomoże czym jest mój adres IP.
6. Powtórz po zmianie sieci. Sprawdź ponownie po zmianie Wi-Fi, przejściu na dane komórkowe albo wybudzeniu urządzenia z uśpienia.

Dobry wynik nie zawsze jest opisany nazwą Twojej marki VPN. Infrastruktura DNS może używać różnych nazw dostawców, nazw centrów danych albo adresów relay. Najważniejsze jest to, żeby w wyniku nie pojawiał się Twój lokalny ISP ani inny resolver, którego nie chciałeś używać.

Jeśli korzystasz z Crispy VPN, najpierw połącz aplikację, a dopiero potem wykonaj test. DNS powinien przechodzić przez tunel razem z ruchem VPN. Jeśli po połączeniu nadal widzisz DNS swojego ISP, potraktuj to jako problem konfiguracji urządzenia albo przeglądarki i przejdź do poprawek poniżej.

Jak naprawić problemy z wyciekiem DNS

Właściwa naprawa zależy od przyczyny. Zacznij od najmniej inwazyjnych kroków, a potem przejdź do ustawień systemu i przeglądarki, jeśli wyciek nadal występuje.

Szybkie poprawki, od których warto zacząć

1. Rozłącz i połącz VPN ponownie. To odświeża trasy i ustawienia DNS.
2. Zmień lokalizację serwera VPN. Nowe połączenie może usunąć stare dane sieciowe.
3. Uruchom ponownie aplikację i przeglądarkę. Przeglądarki mogą buforować decyzje DNS do czasu restartu.
4. Zrestartuj urządzenie. To resetuje interfejsy sieciowe i stare przypisania DNS.
5. Zaktualizuj aplikację VPN i system operacyjny. Błędy routingu DNS często są naprawiane aktualizacjami.

Sprawdź ręczne ustawienia DNS

Sprawdź ustawienia Wi-Fi, Ethernetu i sieci komórkowej. Jeśli ręcznie dodałeś serwery DNS, tymczasowo je usuń i ustaw DNS z powrotem na automatyczny. Następnie połącz VPN ponownie i wykonaj test wycieku DNS.

Jeśli wyciek znika, oznacza to, że ręczne ustawienie DNS nadpisywało VPN. Możesz zdecydować, czy chcesz zachować taki DNS, ale nie zakładaj, że jest prywatny tylko dlatego, że jest znajomy albo szyfrowany.

Sprawdź bezpieczny DNS w przeglądarce

Otwórz ustawienia prywatności lub bezpieczeństwa przeglądarki i znajdź opcję secure DNS albo DNS over HTTPS. Jeśli jest włączona dla konkretnego dostawcy, wyłącz ją tymczasowo albo ustaw przeglądarkę tak, by korzystała z domyślnego DNS systemu. Połącz VPN ponownie, uruchom przeglądarkę na nowo i sprawdź wynik jeszcze raz.

To szczególnie ważne, jeśli tylko jedna przeglądarka pokazuje wyciek, a inne aplikacje przechodzą test bez problemu. W takim przypadku VPN może działać poprawnie na poziomie systemu, a przeglądarka wybiera własny resolver.

Przejrzyj reguły split tunnelingu

Jeśli split tunneling jest włączony, sprawdź, czy przeglądarka, strona testowa albo aplikacja nie jest wyłączona z VPN. Usuń wyjątek i wykonaj test ponownie. Wynik, który zmienia się po wyłączeniu split tunnelingu, nie jest zagadką. To tylko oznacza, że reguła działała tak, jak ją ustawiono.

Używaj aplikacji VPN zamiast nieobsługiwanych obejść

Nieobsługiwane konfiguracje routerów, przypadkowe pliki konfiguracyjne albo narzędzia sieciowe firm trzecich mogą utrudnić przewidzenie routingu DNS. Crispy VPN oferuje aplikacje na iPhone i iPad, Mac, Windows, Linux, Android, Apple TV, Android TV i Google TV, a także rozszerzenia do Chrome, Edge i Firefox. Pobierz właściwą aplikację z strony pobierania i testuj właśnie z niej.

Na obsługiwanych urządzeniach Crispy VPN korzysta z WireGuard na każdym serwerze. WireGuard to nowoczesny protokół VPN z niewielką bazą kodu, dobrą wydajnością i korzystnym wpływem na baterię w urządzeniach mobilnych. Jeśli chcesz poznać szczegóły protokołu, zobacz czym jest WireGuard.

Jak zapobiegać wyciekom DNS na różnych urządzeniach

Zapobieganie wyciekom DNS polega głównie na tym, by aplikacja VPN kontrolowała routing i żeby nie dochodziło do konfliktu ustawień DNS. Szczegóły zależą od urządzenia.

Windows, Mac i Linux

Systemy desktopowe często mają wiele interfejsów sieciowych, Wi-Fi, Ethernet, wirtualne adaptery, a czasem profile służbowe. Jeśli pojawi się wyciek DNS, sprawdź ustawienia DNS adapterów i usuń stare ręczne resolvery. Następnie połącz VPN ponownie.

Na Windows, Mac i Linux wyłącznik awaryjny może też pomóc ograniczyć ekspozycję, jeśli połączenie VPN się urwie. Crispy VPN ma opcjonalny kill switch na tych platformach desktopowych. Na Windows dostępny jest też opcjonalny tryb Lockdown. Kill switch nie jest tym samym co ochrona przed wyciekiem DNS, ale pomaga zatrzymać ruch poza VPN podczas przerwy w połączeniu.

iPhone, iPad i Android

Urządzenia mobilne przełączają się między Wi-Fi, danymi komórkowymi, sieciami hotelowymi i captive portalami. Jeśli polegasz na VPN dla prywatności, testuj po zmianach sieci. Sprawdź też, czy private DNS, profile zarządzania urządzeniem albo aplikacje bezpieczeństwa nie zmieniają zachowania DNS.

Na Androidzie ustawienia systemowe Always-on VPN i Block connections without VPN mogą pomóc uniknąć przypadkowego ruchu poza VPN. Na iPhonie i iPadzie aktualizuj aplikację VPN i sprawdzaj reguły split tunnelingu per strona, jeśli konkretna witryna zachowuje się inaczej niż reszta.

Przeglądarki i rozszerzenia

Przeglądarki są częstym źródłem mylących wyników DNS, ponieważ mogą korzystać z własnego ustawienia bezpiecznego DNS. Jeśli wyciek pojawia się tylko w Chrome, Edge albo Firefox, sprawdź ustawienia DNS przeglądarki, zanim zmienisz konfigurację całego urządzenia.

Rozszerzenia do przeglądarki obejmują też tylko ruch przeglądarkowy, a nie każdą aplikację na urządzeniu. To przydatne, gdy potrzebujesz ochrony tylko do przeglądania internetu, ale nie jest to to samo co pełne połączenie VPN dla całego urządzenia. Więcej o tej różnicy znajdziesz w artykule rozszerzenie VPN do przeglądarki.

Urządzenia TV

Platformy TV są prostsze, ale dają też mniej kontroli sieciowych. Crispy VPN obsługuje Apple TV oraz Android TV i Google TV, a logowanie odbywa się przez zeskanowanie kodu QR telefonem. Jeśli diagnozujesz DNS na telewizorze, najpierw przetestuj tę samą sieć na telefonie albo laptopie, a potem połącz ponownie aplikację na TV.

Co VPN może, a czego nie może ukryć przed DNS

Poprawnie skonfigurowany VPN powinien utrzymywać zapytania DNS wewnątrz zaszyfrowanego tunelu. Dzięki temu lokalny operator Wi-Fi, ISP albo operator komórkowy nie widzi zwykłych zapytań DNS jawnym tekstem. Zostaje też zachowana zgodność ścieżki DNS z wybranym serwerem VPN.

Crispy VPN ma też politykę braku logów aktywności i korzysta z dwustronnej architektury relay, która oddziela to, kim jesteś, od tego, co robisz. To ważne, bo prywatność DNS nie dotyczy tylko samego tunelu. Chodzi też o to, jak zbudowana jest usługa i jak ogranicza niepotrzebne łączenie danych.

Nadal jednak VPN nie daje anonimowości. Nie zatrzymuje sam z siebie złośliwego oprogramowania ani phishingu i nie powstrzyma witryny przed rozpoznaniem Cię, gdy logujesz się na konto. Nie usuwa też ciasteczek śledzących już zapisanych w przeglądarce.

Ochronę przed wyciekiem DNS traktuj jak jedną warstwę. Pomaga ukryć metadane o wyszukiwanych stronach przed lokalną siecią i ISP. Połącz to z rozsądnymi ustawieniami przeglądarki, ostrożnym korzystaniem z kont, regularnymi aktualizacjami i jasnym rozumieniem tego, co VPN faktycznie chroni.

Jeśli sprawdzasz konfigurację po instalacji VPN, warto przetestować coś więcej niż DNS. Publiczny adres IP, zachowanie WebRTC, ustawienia kill switcha i konfiguracja przeglądarki też wpływają na prywatność. Dobrym kolejnym krokiem jest czy mój VPN działa, gdzie opisujemy szerszy zestaw kontroli.