Vad är en DNS-läcka? Så testar och fixar du den

En DNS-läcka uppstår när din enhet skickar förfrågningar om webbplatser utanför den krypterade VPN-tunneln, ofta till din internetleverantör eller en annan DNS-tjänst. Då kan domännamnen du besöker avslöjas, även om VPN:en fortfarande döljer din IP-adress för själva webbplatsen.

Det positiva är att DNS-läckor går att testa och oftast går att åtgärda. Den här guiden förklarar vad DNS är, varför DNS-förfrågningar är känsliga, vanliga orsaker till en DNS-läcka, hur du gör ett tillförlitligt test och hur du minskar risken på dator, mobil och i webbläsare.

Vad är DNS och varför spelar det roll?

DNS står för Domain Name System. Det är internets adressbok. När du skriver in ett webbplatsnamn i webbläsaren måste enheten först hitta serveradressen innan sidan kan laddas.

Du minns ett domännamn eftersom det är läsbart för människor. Webbläsare och appar behöver en IP-adress eftersom nätverk skickar trafik med siffror. DNS är systemet som översätter namnet till adressen.

En vanlig DNS-uppslagning fungerar i princip så här:

1. Du skriver ett domännamn eller öppnar en app.
2. Din enhet frågar en DNS-resolver var domänen pekar.
3. Resolversvarar med IP-adressen eller andra relevanta poster.
4. Din enhet ansluter till målet och laddar tjänsten.

Den viktiga integritetsfrågan är att DNS-förfrågningar kan avslöja avsikt. En DNS-resolver ser kanske inte hela sidans URL, den exakta artikeln eller innehållet i en krypterad HTTPS-session. Men den kan ofta se domännamnet du frågade efter, till exempel en nyhetssajt, bank, hälsoforum, arbetsverktyg eller streamingtjänst.

Därför är DNS-hantering en del av VPN-integritet. En VPN handlar inte bara om att ändra IP-adressen som webbplatser ser. Den bör också se till att vanlig uppslagningstrafik inte läcker utanför den skyddade vägen. Om du är ny till grunderna, läs vad är en VPN för en bredare förklaring av hur VPN-tunnlar fungerar.

Vad är en DNS-läcka?

En DNS-läcka är en skillnad mellan var din vanliga internettrafik går och var dina DNS-frågor går. Din webbtrafik kan skickas genom en VPN-server, samtidigt som DNS-uppslagningar fortfarande går till din internetleverantör, din mobiloperatör, en publik resolver som är inställd på enheten eller en resolver som webbläsaren valt.

Det skapar ett integritetsglapp. Webbplatsen du besöker kan se VPN-serverns IP-adress, men DNS-resolvern utanför tunneln kan fortfarande se vilka domäner du begär. Om den resolvern tillhör din internetleverantör kan leverantören ofta dra slutsatser om mycket av din surfning utifrån DNS-metadata.

En DNS-läcka betyder inte nödvändigtvis att hela VPN:en har slutat fungera. Det kan hända samtidigt som VPN-ikonen säger att anslutningen är aktiv och samtidigt som din publika IP-adress ser ut att vara VPN-serverns. Därför är DNS-läckor lätta att missa om du inte testar direkt.

Med Crispy VPN skickas DNS-förfrågningar genom VPN-tunneln när appen är ansluten. Det håller DNS-trafiken i linje med VPN-anslutningen i stället för att låta den falla tillbaka till nätverket du använder.

Vad en DNS-läcka kan avslöja

• Domännamn: vilka sajter och tjänster din enhet försöker slå upp.
• Tidpunkt: när dessa förfrågningar sker.
• Nätverkskontext: att begäran kom från ditt hemnät, jobbet, hotellnätet, mobilnätet eller ett annat lokalt nätverk.

DNS avslöjar normalt inte hela innehållet i en säker HTTPS-sida. Det gör dig inte heller anonym. Webbplatser du loggar in på kan fortfarande känna igen ditt konto, och spårare kan fortfarande använda cookies eller webbläsarfingeravtryck. Men DNS-läckor är ändå viktiga att förhindra eftersom de avslöjar en användbar karta över vad du besöker.

Hur uppstår en DNS-läcka?

DNS-läckor beror oftast på konflikter i inställningarna. Moderna operativsystem, webbläsare, VPN-appar och nätverksadaptrar kan alla påverka DNS-beteendet. Om de här lagren inte är överens kan uppslagningar ta en väg du inte väntade dig.

DNS-inställningar i operativsystemet

Operativsystemet bestämmer vilka DNS-servrar som används för varje nätverksgränssnitt. När en VPN ansluter skapar den normalt ett virtuellt nätverksgränssnitt och bör styra DNS-trafiken genom det. En läcka kan uppstå om operativsystemet fortsätter att använda den gamla DNS-servern för Wi-Fi eller Ethernet i stället.

Det blir mer sannolikt efter upprepade nätverksbyten, vila och väckning, inloggning via captive portal eller manuella nätverksändringar. Att starta om VPN-anslutningen löser ofta ett tillfälligt routingproblem, men ihållande läckor behöver en genomgång av inställningarna.

Hantering av IPv6

IPv6 är ett nyare adressystem på internet som kan köras parallellt med IPv4. DNS kan slå upp både IPv4- och IPv6-poster. Om en VPN eller en enhet hanterar IPv4 korrekt men låter IPv6-DNS eller IPv6-trafik gå via det lokala nätverket kan det skapa en läcka.

Därför bör testet kontrollera hela anslutningen, inte bara att en synlig IPv4-adress ändrats. Ett rent resultat betyder att DNS-servrar och synliga IP-uppgifter stämmer med den VPN-väg du tänkt använda.

Manuella DNS-servrar

Många ställer in egna DNS-servrar på en enhet, router eller i webbläsaren för att förbättra hastighet, filtrering eller tillförlitlighet. De inställningarna kan skriva över DNS-servrarna som en VPN-app erbjuder. Om den manuella resolvern nås utanför tunneln har du en DNS-läcka.

Manuell DNS är inte alltid fel, men den måste passa ditt integritetsmål. När du använder VPN är det säkraste standardläget att låta VPN-appen sköta DNS, om du inte har en tydlig anledning och vet vart frågorna går.

DNS over HTTPS i webbläsaren

Vissa webbläsare erbjuder DNS over HTTPS, ofta kallat säker DNS. Det krypterar DNS mellan webbläsaren och en DNS-leverantör. Det kan skydda DNS från det lokala nätverket, men det kan också kringgå de DNS-inställningar som din VPN-app använder.

Om webbläsarens DNS over HTTPS är inställt på en resolver utanför VPN-vägen kan ett läcktest visa just den resolvern i stället för VPN:ens DNS. Det kan vara krypterat, men det använder ändå inte VPN:ens tänkta DNS-hantering. Webbläsartillägg kan också ha egna regler för routing, så test i webbläsare och test på hela enheten kan ge olika resultat.

Val i split tunneling

Split tunneling låter utvalda appar eller webbplatser använda en annan väg än resten av trafiken. Det är användbart när du vill att en del trafik ska gå genom VPN och en del utanför. Men det kan också förklara oväntade DNS-resultat.

Om en app eller webbplats är undantagen från VPN kan dess DNS också undantas, beroende på plattform och implementation. Crispy VPN stöder split tunneling på Android per app, på iPhone och iPad per webbplats, och i webbläsartillägg per webbplats. Om du använder split tunneling, kontrollera reglerna innan du utgår från att varje DNS-förfrågan skyddas. För en djupare genomgång, läs vad är split tunneling.

Så kör du ett test för DNS-läcka

Ett test för DNS-läcka kontrollerar vilka DNS-resolvers som kan se dina uppslagningar. Grundidén är att jämföra vad som syns med VPN av och med VPN på. Om samma DNS-servrar från internetleverantören eller det lokala nätverket syns medan VPN är ansluten, har du sannolikt en läcka.

Kör testet under samma förhållanden som du faktiskt använder. Om du mest surfar i en viss webbläsare, testa där. Om du använder en datorapp eller mobilapp, testa även hela enhetens anslutning. Om du ofta växlar mellan Wi-Fi och mobildata, testa båda näten.

Checklista för test av DNS-läcka

1. Koppla bort VPN. Besök en sida för DNS-läcktest och notera namnen på DNS-leverantörer, länder och IP-adresser som visas. Det här är din baslinje.
2. Anslut VPN. Välj den VPN-serverplats du normalt använder och vänta tills appen visar att anslutningen är aktiv.
3. Uppdatera testsidan. Kör standardtestet först. Om ett utökat test finns, kör det också.
4. Jämför resultaten. Du ska inte se DNS-servrar från din internetleverantör, arbetsplats, skola, hotell eller mobiloperatör när VPN är ansluten.
5. Kontrollera din synliga IP. Använd en sida för IP-kontroll för att bekräfta att din publika IP också har ändrats till VPN-platsen. Du kan använda vad är min IP för den delen.
6. Testa igen efter nätverksbyte. Kör testet på nytt efter att du bytt Wi-Fi, gått över till mobildata eller väckt enheten ur viloläge.

Ett bra resultat är inte alltid märkt med ditt VPN-varumärke. DNS-infrastruktur kan använda olika leverantörsnamn, datacenternamn eller relay-adresser. Det viktiga är att resultatet inte visar din lokala internetleverantör eller någon annan resolver du inte tänkt använda.

Om du använder Crispy VPN, anslut appen först och kör sedan testet. DNS ska då skickas genom tunneln tillsammans med VPN-trafiken. Om du ser din internetleverantörs DNS efter anslutning, behandla det som ett problem med enhetens eller webbläsarens inställningar och gå igenom felen nedan.

Så fixar du problem med DNS-läcka

Rätt åtgärd beror på orsaken. Börja med de minst ingripande stegen och gå sedan vidare till inställningar i system och webbläsare om läckan finns kvar.

Snabba åtgärder att prova först

1. Koppla från och anslut VPN igen. Det uppdaterar rutter och DNS-inställningar.
2. Byt VPN-serverplats. En ny anslutning kan rensa gammalt nätverkstillstånd.
3. Starta om appen och webbläsaren. Webbläsare kan cachelagra DNS-beslut tills de startas om.
4. Starta om enheten. Det återställer nätverksgränssnitt och gamla DNS-tilldelningar.
5. Uppdatera VPN-appen och operativsystemet. Buggar i DNS-routing åtgärdas ofta via uppdateringar.

Kontrollera manuella DNS-inställningar

Titta på inställningarna för Wi-Fi, Ethernet och mobilnät. Om du har lagt in manuella DNS-servrar, ta bort dem tillfälligt och ställ tillbaka DNS till automatiskt. Anslut sedan VPN igen och kör testet på nytt.

Om läckan försvinner var det den manuella DNS-inställningen som skrev över VPN:en. Du kan sedan avgöra om den egna DNS-tjänsten är värd att behålla, men utgå inte från att den är privat bara för att den är bekant eller krypterad.

Granska säker DNS i webbläsaren

Öppna webbläsarens sekretess- eller säkerhetsinställningar och leta efter säker DNS eller DNS over HTTPS. Om den är aktiverad med en viss leverantör, stäng av den tillfälligt eller låt webbläsaren använda operativsystemets standard. Anslut VPN igen, starta om webbläsaren och testa på nytt.

Det här är särskilt viktigt om bara en webbläsare läcker medan andra appar ser rena ut. I så fall kan VPN:en fungera korrekt på systemnivå medan webbläsaren väljer sin egen resolver.

Granska regler för split tunneling

Om split tunneling är aktiverat, kontrollera om webbläsaren, testsidan eller appen är undantagen från VPN. Ta bort undantaget och kör testet igen. Ett resultat som ändras när du stänger av split tunneling är inte mystiskt. Det betyder bara att regeln fungerade som den var satt att göra.

Använd VPN-appen i stället för osäkra genvägar

Osäkra routerlösningar, slumpmässiga konfigurationsfiler eller tredjepartsverktyg för nätverk kan göra DNS-routing svårare att förutsäga. Crispy VPN har appar för iPhone och iPad, Mac, Windows, Linux, Android, Apple TV, Android TV och Google TV, samt webbläsartillägg för Chrome, Edge och Firefox. Hämta rätt app från nedladdningssidan och testa därifrån.

På stödda enheter använder Crispy VPN WireGuard på varje server. WireGuard är ett modernt VPN-protokoll med liten kodbas, bra prestanda och god batterihantering på mobila enheter. Om du vill veta mer om protokollet, läs vad är WireGuard.

Skydd mot DNS-läcka på olika enheter

Skydd mot DNS-läcka handlar främst om att låta VPN-appen styra routingen och undvika motstridiga DNS-inställningar. Detaljerna skiljer sig mellan olika enheter.

Windows, Mac och Linux

Datorer har ofta flera nätverksgränssnitt: Wi-Fi, Ethernet, virtuella adaptrar och ibland arbetsprofiler. Om en DNS-läcka dyker upp, kontrollera DNS-inställningar för adaptrarna och ta bort gamla manuella resolvers. Anslut sedan VPN igen.

På Windows, Mac och Linux kan en kill switch också hjälpa till att minska exponeringen om VPN-anslutningen bryts. Crispy VPN har en valbar kill switch på dessa datorplattformar. På Windows finns dessutom ett valbart Lockdown-läge. En kill switch är inte samma sak som skydd mot DNS-läckor, men den hjälper till att hindra trafik från att fortsätta utanför VPN vid avbrott.

iPhone, iPad och Android

Mobila enheter växlar mellan Wi-Fi, mobildata, hotellnät och captive portals. Testa efter nätverksbyten om du använder VPN för integritet. Kontrollera också om privat DNS, enhetshanteringsprofiler eller säkerhetsappar ändrar DNS-beteendet.

På Android kan systeminställningarna Always-on VPN och Block connections without VPN hjälpa till att förhindra oavsiktlig trafik utanför VPN. På iPhone och iPad bör du hålla appen uppdaterad och granska eventuella regler för split tunneling per webbplats om en viss sajt beter sig oväntat.

Webbläsare och tillägg

Webbläsare är en vanlig källa till förvirrande DNS-resultat eftersom de kan ha egna inställningar för säker DNS. Om en läcka bara syns i Chrome, Edge eller Firefox, kontrollera webbläsarens DNS-inställningar innan du ändrar hela enheten.

Webbläsartillägg skyddar dessutom bara webbläsartrafik, inte varje app på enheten. Det är praktiskt när du bara behöver skydd för surfning, men det är inte samma sak som en fullständig VPN-anslutning för hela enheten. För mer om skillnaden, läs VPN-browsertillägg.

TV-enheter

TV-plattformar är enklare, men de ger också färre nätverkskontroller. Crispy VPN stöder Apple TV och Android TV eller Google TV, med inloggning via QR-kod som du skannar med mobilen. Om du felsöker DNS på en TV, testa samma nätverk från en mobil eller laptop först och anslut sedan TV-appen igen.

Vad en VPN kan och inte kan dölja från DNS

En korrekt konfigurerad VPN ska hålla DNS-förfrågningar inne i den krypterade tunneln. Det hindrar den lokala Wi-Fi-ägaren, internetleverantören eller mobiloperatören från att se vanliga DNS-uppslagningar i klartext. Det håller också din DNS-väg i linje med den VPN-server du valt.

Crispy VPN har dessutom ingen loggning av aktivitet och använder en tvåparts-relaydesign som skiljer vem du är från vad du gör. Det spelar roll eftersom DNS-integritet inte bara handlar om tunneln. Det handlar också om hur tjänsten är byggd för att minska onödig koppling mellan uppgifter.

Ändå gör en VPN dig inte anonym. Den stoppar inte malware eller phishing på egen hand, och den hindrar inte en sajt från att känna igen dig när du loggar in på kontot. Den kan inte heller radera spårningscookies som redan ligger i webbläsaren.

Tänk på skydd mot DNS-läcka som ett lager. Det hjälper till att hålla metadata om webbplatsuppslagning borta från det lokala nätverket och internetleverantören. Kombinera det med vettiga webbläsarinställningar, försiktig kontoanvändning, regelbundna uppdateringar och en tydlig bild av vad VPN:en faktiskt skyddar.

Om du vill kontrollera din installation efter att du installerat en VPN är det värt att testa mer än bara DNS. Publik IP, WebRTC-beteende, kill switch-inställningar och webbläsarkonfiguration kan alla påverka integriteten. Ett praktiskt nästa steg är fungerar min VPN, som går igenom de bredare kontrollerna.