Що таке DNS leak і як його перевірити та виправити

DNS leak, це коли ваш пристрій надсилає запити для пошуку сайтів поза зашифрованим VPN-тунелем, зазвичай до провайдера або іншого DNS-сервера. Через це можуть бути видимі домени, які ви відкриваєте, навіть якщо VPN і далі приховує вашу IP-адресу від самого сайту.

Добра новина в тому, що DNS leak можна перевірити і зазвичай виправити. У цьому матеріалі розберемо, що таке DNS, чому DNS-запити важливі для приватності, звідки береться витік, як провести коректний тест і як зменшити ризик на комп'ютері, телефоні та в браузері.

Що таке DNS і чому це важливо

DNS розшифровується як Domain Name System. Це своєрідна адресна книга інтернету. Коли ви вводите назву сайту в браузері, пристрій має знайти його IP-адресу, перш ніж відкрити сторінку.

Назву домену людині легко запам'ятати. А мережам потрібні цифри, бо трафік маршрутизується за IP-адресами. DNS і перетворює зрозумілу назву на технічну адресу.

Звичайний DNS-запит працює так:

1. Ви вводите домен або відкриваєте застосунок.
2. Пристрій запитує у DNS-сервера, куди веде цей домен.
3. Сервер повертає IP-адресу або інші записи.
4. Пристрій підключається до потрібного сервісу і завантажує його.

Для приватності тут важливо одне: DNS-запити можуть показувати намір. DNS-сервер зазвичай не бачить повний URL сторінки, точний текст статті чи вміст зашифрованої HTTPS-сесії. Але він часто бачить сам домен, наприклад новинний сайт, банк, форум, робочий інструмент або стримінговий сервіс.

Саме тому обробка DNS є частиною VPN-приватності. VPN має не лише змінювати IP-адресу, яку бачать сайти, а й не дозволяти звичайним запитам на пошук адреси виходити за межі захищеного каналу. Якщо вам потрібна базова схема, що таке VPN, подивіться що таке VPN.

Що таке DNS leak

DNS leak, це коли основний інтернет-трафік і DNS-запити йдуть різними шляхами. Вебтрафік може проходити через VPN-сервер, а DNS-запити все ще йти до вашого провайдера, мобільного оператора, публічного резолвера, налаштованого в системі, або до сервера, який обрав браузер.

Через це виникає прогалина в приватності. Сайт може бачити IP-адресу VPN-сервера, але DNS-сервер поза тунелем все одно може бачити домени, які ви запитуєте. Якщо цей сервер належить вашому провайдеру, він може багато чого зрозуміти про вашу активність за DNS-метаданими.

DNS leak не обов'язково означає, що весь VPN зламався. Він може статися навіть тоді, коли значок VPN показує підключення, а публічна IP-адреса виглядає як адреса VPN-сервера. Саме тому такі витоки легко не помітити без окремої перевірки.

У Crispy VPN DNS-запити йдуть через VPN-тунель, коли застосунок підключено. Це зберігає DNS-трафік у межах VPN-з'єднання, а не віддає його назад у мережу, яку ви використовуєте.

Що може показати DNS leak

• Доменні імена: сайти та сервіси, які ваш пристрій намагається знайти.
• Час: коли саме відбуваються ці запити.
• Контекст мережі: що запит прийшов із домашньої мережі, офісу, готелю, мобільного оператора або іншої локальної мережі.

Сам DNS зазвичай не розкриває вміст захищеної HTTPS-сторінки. І він не робить вас анонімними. Сайти, куди ви входите, можуть і далі впізнавати ваш акаунт, а трекери можуть працювати через cookies або відбиток браузера. Але DNS leak все одно варто уникати, бо він показує корисну карту того, що ви відкриваєте.

Як виникає DNS leak

Зазвичай DNS leak з'являється через конфлікт налаштувань. Операційна система, браузер, VPN-застосунок і мережеві адаптери можуть по-різному поводитися з DNS. Якщо ці рівні не узгоджені, запити підуть не туди, куди ви очікуєте.

Налаштування DNS в операційній системі

Операційна система вирішує, які DNS-сервери використовувати для кожного мережевого інтерфейсу. Коли VPN підключається, він зазвичай додає віртуальний інтерфейс і має спрямовувати DNS через нього. Витік може статися, якщо система продовжує використовувати старий DNS від Wi-Fi або Ethernet.

Таке частіше буває після зміни мереж, виходу зі сну, входу через captive portal або ручних правок мережевих параметрів. Перепідключення VPN часто прибирає тимчасову проблему маршрутизації, але стійкий витік потребує перевірки налаштувань.

Обробка IPv6

IPv6, це сучасніша система адресації, яка може працювати поруч із IPv4. DNS може повертати записи і для IPv4, і для IPv6. Якщо VPN або пристрій коректно маршрутизує IPv4, але дозволяє DNS чи трафіку IPv6 йти через локальну мережу, з'являється витік.

Саме тому тестувати треба все з'єднання, а не лише одну видиму IPv4-адресу. Чистий результат означає, що DNS-сервери та видима IP-адреса відповідають тому VPN-шляху, який ви обрали.

Ручні DNS-сервери

Багато людей задають власні DNS-сервери на пристрої, маршрутизаторі або в браузері, щоб покращити швидкість, фільтрацію або стабільність. Такі налаштування можуть перекрити DNS, який задає VPN-застосунок. Якщо до цього резолвера є доступ поза тунелем, це і є DNS leak.

Ручний DNS не завжди поганий, але він має бути сумісним із вашою метою щодо приватності. Коли ви користуєтеся VPN, безпечніше залишити керування DNS самому VPN-застосунку, якщо у вас немає конкретної причини робити інакше і ви розумієте, куди йдуть запити.

DNS over HTTPS у браузері

Деякі браузери мають DNS over HTTPS, або захищений DNS. Він шифрує DNS між браузером і DNS-провайдером. Це може захистити запити від локальної мережі, але також може обійти DNS-налаштування, які задає VPN-застосунок.

Якщо DNS over HTTPS у браузері спрямований на сервер поза VPN-шляхом, тест покаже саме його, а не DNS від VPN. Шифрування тут не означає, що запити йдуть через потрібний VPN-маршрут. Розширення браузера теж можуть мати власні правила маршрутизації, тому тест у браузері і тест у всій системі можуть давати різні результати.

Рішення split tunneling

Split tunneling дозволяє окремим застосункам або сайтам йти іншим маршрутом, ніж решта трафіку. Це зручно, коли частину трафіку ви хочете вести через VPN, а частину, ні. Але через це можуть з'явитися несподівані результати DNS.

Якщо застосунок або сайт виключено з VPN, його DNS також може бути виключеним, залежно від платформи і реалізації. Crispy VPN підтримує split tunneling на Android за застосунками, на iPhone та iPad за сайтами, а також у браузерних розширеннях за сайтами. Якщо використовуєте split tunneling, перегляньте правила, перш ніж вважати, що всі DNS-запити захищені. Детальніше про це читайте в матеріалі що таке split tunneling.

Як перевірити DNS leak

Перевірка DNS leak показує, які DNS-сервери бачать ваші запити. Ідея проста, порівняти, що видно без VPN і що видно з VPN. Якщо під час підключення все одно відображаються ті самі DNS-сервери провайдера або локальної мережі, імовірно, є витік.

Тестуйте в тих самих умовах, у яких ви реально користуєтеся інтернетом. Якщо ви зазвичай працюєте в одному браузері, перевіряйте саме його. Якщо використовуєте десктопний або мобільний застосунок, перевіряйте і з'єднання на рівні всієї системи. Якщо часто перемикаєтеся між Wi-Fi і мобільним інтернетом, тестуйте обидві мережі.

Чеклист для DNS leak test

1. Вимкніть VPN. Відкрийте тест DNS leak і запишіть назви провайдера DNS, країни та IP-адреси, які показані. Це ваша база для порівняння.
2. Підключіть VPN. Виберіть сервер, яким ви користуєтеся зазвичай, і дочекайтеся статусу підключення.
3. Оновіть сторінку тесту. Спершу запустіть стандартний тест. Якщо є розширений тест, пройдіть і його.
4. Порівняйте результати. Під час активного VPN ви не повинні бачити DNS-сервери свого провайдера, роботи, школи, готелю або мобільного оператора.
5. Перевірте видиму IP-адресу. Скористайтеся сторінкою для перевірки IP, щоб побачити, чи змінилася публічна IP на адресу VPN. Для цього можна використати що таке моя IP.
6. Повторіть після зміни мережі. Знову перевірте після переходу між Wi-Fi, мобільним інтернетом або після пробудження пристрою.

Гарний результат не завжди підписаний брендом VPN. DNS-інфраструктура може показувати різні назви провайдерів, дата-центрів або релейних адрес. Головне, щоб у результатах не було вашого локального провайдера чи іншого резолвера, який ви не хотіли використовувати.

Якщо ви користуєтеся Crispy VPN, спершу підключіть застосунок, а потім запускайте тест. DNS має йти через тунель разом із VPN-трафіком. Якщо після підключення ви все ще бачите DNS свого провайдера, розглядайте це як проблему налаштувань пристрою або браузера і переходьте до виправлень нижче.

Як виправити DNS leak

Правильне рішення залежить від причини. Почніть із найпростіших кроків, а потім переходьте до налаштувань платформи та браузера, якщо витік не зникає.

Що спробувати спочатку

1. Від'єднайте і знову під'єднайте VPN. Це оновлює маршрути і DNS-налаштування.
2. Змініть сервер VPN. Нова сесія може прибрати застарілий стан мережі.
3. Перезапустіть застосунок і браузер. Браузери можуть кешувати DNS-рішення до перезапуску.
4. Перезавантажте пристрій. Це скидає мережеві інтерфейси та старі DNS-призначення.
5. Оновіть VPN-застосунок і операційну систему. Помилки маршрутизації DNS часто виправляються оновленнями.

Перевірте ручні DNS-налаштування

Перегляньте налаштування Wi-Fi, Ethernet і мобільної мережі. Якщо ви вручну додавали DNS-сервери, тимчасово приберіть їх і поверніть DNS на автоматичний режим. Потім знову підключіть VPN і повторіть тест DNS leak.

Якщо витік зник, значить ручний DNS перекривав VPN. Далі вже ви вирішуєте, чи варто залишати цей DNS, але не припускайте, що він приватний лише тому, що він знайомий або шифрований.

Перегляньте захищений DNS у браузері

Відкрийте налаштування приватності або безпеки в браузері й знайдіть secure DNS або DNS over HTTPS. Якщо він увімкнений для конкретного провайдера, тимчасово вимкніть його або змусьте браузер використовувати DNS за замовчуванням системи. Потім знову підключіть VPN, перезапустіть браузер і повторіть тест.

Це особливо важливо, якщо тільки один браузер показує витік, а інші застосунки працюють чисто. У такому разі VPN може працювати нормально на рівні системи, а браузер просто використовує власний резолвер.

Перевірте правила split tunneling

Якщо split tunneling увімкнено, перевірте, чи не виключено з VPN сам браузер, тестовий сайт або застосунок. Приберіть виключення і запустіть тест ще раз. Якщо результат змінюється після вимкнення split tunneling, це не загадка. Просто правило працювало так, як було налаштовано.

Користуйтеся застосунком VPN, а не обхідними схемами

Непідтримувані налаштування роутера, випадкові конфігураційні файли або сторонні мережеві інструменти можуть зробити DNS- маршрутизацію непередбачуваною. Crispy VPN має застосунки для iPhone та iPad, Mac, Windows, Linux, Android, Apple TV, Android TV і Google TV, а також розширення для Chrome, Edge та Firefox. Завантажте потрібний застосунок із сторінки завантаження і тестуйте вже з ним.

На підтримуваних пристроях Crispy VPN використовує WireGuard на кожному сервері. Це сучасний VPN-протокол із невеликою кодовою базою, хорошою швидкістю та ощадною витратою батареї на мобільних пристроях. Якщо хочете розібратися в протоколі, читайте що таке WireGuard.

Запобігання DNS leak на різних пристроях

Запобігання DNS leak здебільшого зводиться до того, щоб VPN-застосунок контролював маршрутизацію і щоб не було конфліктуючих DNS-налаштувань. На різних пристроях це виглядає трохи інакше.

Windows, Mac і Linux

На десктопних системах часто є кілька мережевих інтерфейсів: Wi-Fi, Ethernet, віртуальні адаптери, а іноді й робочі профілі. Якщо з'явився DNS leak, перевірте DNS-налаштування адаптерів і приберіть старі ручні резолвери. Потім перепідключіть VPN.

На Windows, Mac і Linux допомогти може й kill switch, бо він зменшує ризик, якщо VPN-з'єднання обірветься. У Crispy VPN на цих десктопних платформах kill switch можна увімкнути вручну. У Windows є ще й опційний Lockdown mode. Kill switch не замінює захист від DNS leak, але допомагає не відправляти трафік поза VPN під час обривів з'єднання.

iPhone, iPad і Android

Мобільні пристрої часто перемикаються між Wi-Fi, мобільним інтернетом, готельними мережами та captive portal. Якщо ви покладаєтесь на VPN для приватності, перевіряйте з'єднання після зміни мережі. Також подивіться, чи не змінюють поведінку DNS приватний DNS, профілі керування пристроєм або застосунки безпеки.

На Android системні параметри Always-on VPN і Block connections without VPN допомагають не дати трафіку піти повз VPN випадково. На iPhone та iPad тримайте VPN-застосунок оновленим і переглядайте правила split tunneling для сайтів, якщо певний сайт поводиться дивно.

Браузери та розширення

Браузери часто дають заплутані результати DNS, бо можуть використовувати власний захищений DNS. Якщо витік видно лише в Chrome, Edge або Firefox, спершу перевірте саме налаштування браузера, а не весь пристрій.

Браузерні розширення також працюють лише для вебтрафіку, а не для всіх застосунків на пристрої. Це зручно, коли вам потрібен захист тільки для серфінгу, але це не те саме, що повне VPN-з'єднання на всьому пристрої. Для більшого контексту подивіться про VPN-розширення для браузера.

ТВ-пристрої

Платформи для телевізорів простіші, але й мережевих налаштувань там менше. Crispy VPN підтримує Apple TV та Android TV або Google TV, а вхід на TV виконується через QR-код зі смартфона. Якщо ви шукаєте причину DNS-проблеми на телевізорі, спочатку протестуйте ту ж мережу з телефона або ноутбука, а потім підключіть TV-застосунок ще раз.

Що VPN може і не може приховати від DNS

Добре налаштований VPN має тримати DNS-запити всередині зашифрованого тунелю. Це не дає локальному Wi-Fi, провайдеру або мобільному оператору бачити звичайні DNS-запити у відкритому вигляді. Також це узгоджує ваш DNS-шлях із вибраним VPN-сервером.

У Crispy VPN також діє політика без журналів активності, а архітектура з двома сторонами розділяє, хто ви є, і що ви робите. Це важливо, бо приватність DNS залежить не лише від тунелю. Вона також залежить від того, як побудований сам сервіс і чи не створює він зайвих зв'язків між вашими діями.

Але VPN не робить вас анонімними. Він не зупиняє шкідливе ПЗ або фішинг сам по собі, і не заважає сайту впізнавати вас, коли ви входите у свій акаунт. Він також не стирає cookies, які вже зберігаються в браузері.

Сприймайте захист від DNS leak як один шар. Він допомагає ховати метадані про пошук сайтів від локальної мережі та провайдера. Додавайте до цього акуратні налаштування браузера, обережне використання акаунтів, регулярні оновлення і розуміння того, що саме захищає VPN.

Якщо ви перевіряєте налаштування після встановлення VPN, варто протестувати не лише DNS. Публічна IP, поведінка WebRTC, налаштування kill switch і конфігурація браузера теж впливають на приватність. Логічний наступний крок, це чи працює мій VPN, де розібрані ширші перевірки.