Что такое DNS leak и как его проверить

DNS leak, или утечка DNS, возникает, когда устройство отправляет запросы к сайтам не через зашифрованный VPN-туннель, а напрямую, обычно к провайдеру или другому DNS-резолверу. Из-за этого можно увидеть домены, которые вы открываете, даже если сам VPN уже скрывает ваш IP-адрес.

Хорошая новость в том, что DNS leak можно проверить и обычно можно исправить. Ниже разберем, что такое DNS, почему DNS-запросы важны для приватности, из-за чего появляется утечка, как провести проверку и что делать на компьютере, телефоне и в браузере.

Что такое DNS и почему это важно

DNS расшифровывается как Domain Name System. Это адресная книга интернета. Когда вы вводите адрес сайта в браузере, устройству нужно понять, какой сервер соответствует этому имени, чтобы загрузить страницу.

Сайт вы запоминаете по имени, потому что так удобнее. А браузеру и приложениям нужен IP-адрес, потому что сети маршрутизируют трафик по числам. DNS и делает перевод имени в адрес.

Обычный DNS-запрос устроен просто:

1. Вы вводите домен или открываете приложение.
2. Устройство спрашивает DNS-резолвер, куда ведет этот домен.
3. Резолвер отвечает IP-адресом или другими записями.
4. Устройство подключается к нужному серверу и загружает сервис.

Для приватности здесь есть важный нюанс. DNS-запросы могут показывать намерение. Резолвер обычно не видит полный URL, точную статью или содержимое зашифрованной HTTPS-сессии. Но он часто видит домен, который вы запросили, например новостной сайт, банк, рабочий сервис или стриминг-платформу.

Поэтому обработка DNS входит в базовую защиту VPN. VPN нужен не только для смены IP-адреса, который видят сайты. Он также должен не дать обычным DNS-запросам уйти мимо защищенного канала. Если хотите сначала освежить основы, посмотрите что такое VPN.

Что такое DNS leak

DNS leak, это ситуация, когда основной интернет-трафик идет через VPN, а DNS-запросы уходят в другое место. Веб-трафик может идти через VPN-сервер, а DNS-lookup при этом продолжают обрабатывать ваш провайдер, мобильный оператор, публичный резолвер в настройках устройства или сервер, выбранный браузером.

Так возникает разрыв в приватности. Сайт видит IP-адрес VPN-сервера, но DNS-резолвер вне туннеля все еще может видеть домены, которые вы запрашиваете. Если этот резолвер принадлежит провайдеру, он может сделать выводы о части вашей активности по DNS-метаданным.

DNS leak не всегда означает, что VPN полностью сломался. Он может происходить даже тогда, когда значок VPN показывает подключение, а ваш публичный IP уже выглядит как IP VPN-сервера. Именно поэтому такие утечки легко не заметить без отдельной проверки.

В Crispy VPN DNS-запросы идут через VPN-туннель, когда приложение подключено. Это помогает удерживать DNS-traffic внутри того же защищенного пути, а не отдавать его обратно в обычную сеть.

Что может показать DNS leak

• Домены: сайты и сервисы, которые устройство пытается открыть.
• Время: когда именно происходят запросы.
• Контекст сети: что запрос идет из домашней сети, офиса, отеля, мобильной сети или другой локальной сети.

При этом DNS сам по себе обычно не раскрывает содержимое защищенной HTTPS-страницы. И он не делает вас анонимным. Сайты, в которые вы вошли, все равно могут узнавать аккаунт, а трекеры, cookies и browser fingerprinting по-прежнему работают. Но утечки DNS все равно важно исключить, потому что они показывают полезную карту ваших запросов.

Почему появляется DNS leak

Чаще всего DNS leak возникает из-за конфликта настроек. На поведение DNS влияют операционная система, браузер, VPN-приложение и сетевые адаптеры. Если они настроены по-разному, запросы могут пойти не туда, куда вы ожидаете.

Настройки DNS в операционной системе

Операционная система выбирает, какие DNS-серверы использовать для каждого сетевого интерфейса. Когда VPN подключается, он обычно создает виртуальный интерфейс и должен направить DNS через него. Утечка возникает, если система продолжает использовать старый DNS от Wi-Fi или Ethernet.

Это чаще бывает после смены сети, выхода из сна, авторизации через captive portal или ручных правок сети. Переподключение VPN иногда убирает временную ошибку маршрутизации, но постоянную утечку нужно уже разбирать в настройках.

Как обрабатывается IPv6

IPv6, это более новая схема адресации в интернете, которая может работать вместе с IPv4. DNS умеет возвращать и IPv4, и IPv6-записи. Если VPN или устройство корректно маршрутизирует IPv4, но позволяет IPv6-DNS или IPv6-трафику идти через локальную сеть, может появиться утечка.

Поэтому проверять нужно не только один видимый IPv4-адрес. Чистый результат означает, что DNS-серверы и видимый IP совпадают с тем маршрутом VPN, который вы хотели использовать.

Ручные DNS-серверы

Многие вручную задают DNS на устройстве, роутере или в браузере ради скорости, фильтрации или стабильности. Такие настройки могут перебивать DNS, которые выдает VPN-приложение. Если запросы идут вне туннеля, возникает DNS leak.

Ручной DNS не всегда плохой, но он должен совпадать с вашей задачей по приватности. При использовании VPN самый безопасный вариант по умолчанию, это позволить приложению управлять DNS, если у вас нет конкретной причины делать иначе.

DNS over HTTPS в браузере

Некоторые браузеры поддерживают DNS over HTTPS, его еще называют secure DNS. Он шифрует DNS между браузером и DNS-провайдером. Это защищает DNS от локальной сети, но может обходить DNS-настройки вашего VPN-приложения.

Если браузерный DNS over HTTPS использует резолвер вне пути VPN, тест может показать именно его, а не DNS от VPN. Передача может быть зашифрована, но это все равно не тот DNS-маршрут, который вы ожидаете от VPN. У браузерных расширений тоже могут быть свои правила маршрутизации, поэтому результат в браузере и на всем устройстве может отличаться.

Выборы split tunneling

Split tunneling позволяет отдельным приложениям или сайтам идти по другому маршруту, чем остальной трафик. Это полезно, когда часть трафика нужна через VPN, а часть нет. Но это же может объяснить неожиданные результаты DNS.

Если приложение или сайт исключены из VPN, их DNS тоже может быть исключен, в зависимости от платформы и реализации. В Crispy VPN split tunneling доступен на Android по приложениям, на iPhone и iPad по сайтам, а также в браузерных расширениях по сайтам. Если вы используете split tunneling, сначала проверьте правила, а уже потом делайте вывод, что DNS защищен. Подробный разбор есть в статье что такое split tunneling.

Как сделать проверку DNS leak

Проверка DNS leak показывает, какие DNS-резолверы видят ваши запросы. Смысл в том, чтобы сравнить результат при выключенном VPN и при включенном. Если при активном VPN на тесте все равно видны DNS вашего провайдера или локальной сети, скорее всего есть утечка.

Проводите проверку в тех же условиях, в которых вы реально пользуетесь интернетом. Если вы чаще сидите в конкретном браузере, тестируйте именно его. Если используете десктопное или мобильное приложение, проверьте и весь путь на устройстве. Если часто переключаетесь между Wi-Fi и мобильной сетью, проверьте обе сети.

Чек-лист для теста DNS leak

1. Отключите VPN. Откройте страницу проверки DNS leak и запомните названия DNS-провайдеров, страны и IP-адреса. Это будет базовая точка сравнения.
2. Подключите VPN. Выберите обычную локацию сервера и дождитесь, пока приложение покажет, что подключение установлено.
3. Обновите страницу теста. Сначала запустите обычную проверку. Если есть расширенный тест, запустите и его.
4. Сравните результаты. При подключенном VPN не должны появляться DNS вашего провайдера, офиса, учебного заведения, отеля или мобильного оператора.
5. Проверьте видимый IP. Откройте страницу проверки IP и убедитесь, что публичный IP тоже изменился на адрес VPN. Для этого можно использовать что такое мой IP.
6. Повторите после смены сети. Еще раз проверьте все после перехода на другую Wi-Fi-сеть, мобильные данные или после выхода устройства из сна.

Хороший результат не всегда подписан названием вашего VPN. DNS-инфраструктура может показывать разные имена провайдеров, дата-центров или промежуточных узлов. Главное, чтобы там не было вашего локального провайдера или другого резолвера, который вы не собирались использовать.

Если вы пользуетесь Crispy VPN, сначала подключите приложение, а потом запускайте тест. DNS должен идти через туннель вместе с остальным трафиком VPN. Если после подключения все еще виден DNS вашего провайдера, ищите причину в настройках устройства или браузера и пройдитесь по фиксам ниже.

Как исправить проблемы с DNS leak

Правильное решение зависит от причины. Начните с простых шагов, а потом переходите к настройкам системы и браузера, если утечка не исчезла.

Что попробовать в первую очередь

1. Отключите и снова подключите VPN. Это обновит маршруты и DNS-настройки.
2. Смените локацию сервера VPN. Новое соединение может сбросить старое состояние сети.
3. Перезапустите приложение и браузер. Браузер может держать старые DNS-решения до перезапуска.
4. Перезагрузите устройство. Это сбрасывает сетевые интерфейсы и старые DNS-назначения.
5. Обновите VPN-приложение и операционную систему. Ошибки маршрутизации DNS часто исправляют обновления.

Проверьте ручные DNS-настройки

Посмотрите настройки Wi-Fi, Ethernet и мобильной сети. Если вы вручную добавляли DNS-серверы, временно уберите их и верните DNS в автоматический режим. Потом снова подключите VPN и повторите тест DNS leak.

Если утечка исчезла, значит ручной DNS перебивал VPN. После этого вы можете решить, нужен ли вам такой DNS вообще, но не стоит считать его приватным только потому, что он знакомый или зашифрованный.

Проверьте secure DNS в браузере

Откройте настройки приватности или безопасности браузера и найдите secure DNS или DNS over HTTPS. Если там включен конкретный провайдер, временно отключите опцию или поставьте использование системных настроек. Затем переподключите VPN, перезапустите браузер и проверьте снова.

Это особенно важно, если утечка видна только в одном браузере, а другие приложения проходят тест нормально. В таком случае VPN может работать корректно на уровне системы, а браузер выбирает свой собственный резолвер.

Проверьте правила split tunneling

Если split tunneling включен, проверьте, не исключены ли браузер, тестовый сайт или приложение из VPN. Уберите исключение и повторите тест. Если результат меняется после отключения split tunneling, это не загадка. Значит, правило просто работало так, как было настроено.

Используйте поддерживаемое приложение, а не обходные схемы

Неподдерживаемые настройки роутера, случайные конфигурационные файлы и сторонние сетевые инструменты делают DNS-маршрутизацию менее предсказуемой. Crispy VPN предлагает приложения для iPhone и iPad, Mac, Windows, Linux, Android, Apple TV, Android TV и Google TV, а также браузерные расширения для Chrome, Edge и Firefox. Скачайте нужное приложение на странице загрузок и проверяйте оттуда.

На поддерживаемых устройствах Crispy VPN использует WireGuard на каждом сервере. Это современный VPN-протокол с небольшим кодом, хорошей скоростью и экономным расходом батареи на мобильных устройствах. Если хотите понять логику протокола, посмотрите что такое WireGuard.

Защита от DNS leak на разных устройствах

Защита от DNS leak в основном сводится к тому, чтобы VPN-приложение контролировало маршрутизацию и чтобы не было конфликтующих DNS-настроек. На разных устройствах детали отличаются.

Windows, Mac и Linux

На компьютерах часто одновременно работают несколько сетевых интерфейсов: Wi-Fi, Ethernet, виртуальные адаптеры и иногда рабочие профили. Если появилась утечка, проверьте DNS у адаптеров и уберите старые ручные резолверы. Затем переподключите VPN.

На Windows, Mac и Linux снизить риск при обрыве соединения помогает kill switch. В Crispy VPN на этих платформах он включается по желанию пользователя. На Windows есть и дополнительный режим Lockdown. Kill switch не заменяет защиту от DNS leak, но помогает не выпускать трафик мимо VPN, если соединение прервалось.

iPhone, iPad и Android

Мобильные устройства постоянно переходят между Wi-Fi, мобильными данными, гостиничными сетями и captive portal. Если вы рассчитываете на VPN для приватности, перепроверяйте все после смены сети. Также стоит посмотреть, не меняют ли DNS private DNS, профили управления устройством или приложения безопасности.

На Android системные настройки Always-on VPN и Block connections without VPN помогают избежать случайного трафика вне VPN. На iPhone и iPad держите приложение VPN обновленным и проверяйте правила split tunneling, если конкретный сайт ведет себя странно.

Браузеры и расширения

Браузеры часто дают запутанные результаты по DNS, потому что у них может быть свой secure DNS. Если утечка видна только в Chrome, Edge или Firefox, сначала проверьте именно настройки браузера, а уже потом меняйте параметры всего устройства.

Браузерные расширения защищают только трафик браузера, а не все приложения на устройстве. Это удобно, если вам нужна защита только для веб-серфинга, но это не то же самое, что полноценное VPN-подключение на всем устройстве. Подробнее об этом читайте в статье браузерное расширение VPN.

ТВ-устройства

На ТВ-платформах все проще, но и сетевых настроек там меньше. Crispy VPN поддерживает Apple TV и Android TV или Google TV, а вход выполняется через QR-код, который вы сканируете телефоном. Если вы разбираете DNS на телевизоре, сначала проверьте ту же сеть с телефона или ноутбука, а потом снова подключите приложение на ТВ.

Что VPN может и не может скрыть в DNS

Корректно настроенный VPN должен удерживать DNS-запросы внутри зашифрованного туннеля. Это не дает локальной сети, провайдеру или мобильному оператору видеть обычные DNS-lookup в открытом виде. Кроме того, DNS-маршрут остается привязанным к выбранному вами VPN-серверу.

У Crispy VPN также действует политика отсутствия логов активности, а двухсторонняя relay-архитектура разделяет, кто вы, и то, что вы делаете. Это важно, потому что приватность DNS зависит не только от туннеля, но и от того, как устроен сам сервис.

Но VPN не делает вас анонимным. Он сам по себе не останавливает malware или phishing и не мешает сайту узнавать вас, когда вы входите в аккаунт. Он также не стирает cookies, которые уже лежат в браузере.

Защиту от DNS leak стоит воспринимать как один слой. Он помогает убрать метаданные о поиске сайтов у локальной сети и провайдера. Лучше сочетать его с аккуратными настройками браузера, осторожной работой с аккаунтами, обновлениями и пониманием того, что именно защищает VPN.

Если вы проверяете настройку после установки VPN, имеет смысл тестировать не только DNS. Публичный IP, поведение WebRTC, настройки kill switch и конфигурация браузера тоже влияют на приватность. Полезный следующий шаг, это как понять, работает ли VPN, там собраны более широкие проверки.