Прежде чем браузер откроет сайт, он спрашивает у DNS-резолвера IP-адрес этого сайта. Когда вы пользуетесь VPN, такие запросы должны идти через зашифрованный туннель к резолверу VPN-сервиса. Утечка DNS происходит, когда они вместо этого попадают к резолверу вашего интернет-провайдера и выдают каждый сайт, который вы ищете.
При утечке DNS ваш IP-адрес остаётся скрытым, но провайдер (или тот, кто управляет «протекающим» резолвером) узнаёт, какие сайты вы посещаете и когда.
Почему возникают утечки DNS
- VPN-приложение не назначает собственные DNS-серверы, поэтому система продолжает обращаться к резолверу провайдера.
- Интеллектуальное многоадресное разрешение имён (Smart Multi-Homed Name Resolution) в Windows отправляет запросы сразу через все сетевые адаптеры и использует самый быстрый ответ.
- Трафик IPv6 идёт в обход туннеля, если VPN работает только с IPv4.
- DNS-серверы, заданные вручную на устройстве или роутере, перекрывают настройки VPN.
- DNS over HTTPS в браузере отправляет запросы на резолвер, указанный в настройках браузера, — вне контроля VPN.
- Страницы авторизации (captive portal) в отелях и аэропортах принудительно подставляют собственный DNS.
Как проверить, есть ли утечка DNS
Тест на утечку DNS заставляет браузер запросить несколько уникальных случайных имён хостов и фиксирует, какие резолверы их запрашивают. Если хотя бы один резолвер принадлежит вашему интернет-провайдеру, а не VPN-сервису, у вас утечка. Многие VPN-провайдеры предлагают такой тест на своём сайте.
Кроме того, пройдите наш тест на утечку WebRTC, который проверяет утечку другого рода, и убедитесь на нашей главной странице, что IP-адрес и местоположение принадлежат вашему VPN.
Как устранить утечку DNS
- Включите защиту от утечек DNS в VPN-приложении. В большинстве хороших приложений она включена по умолчанию.
- Активируйте kill switch (аварийный выключатель), чтобы при обрыве туннеля трафик не покидал устройство.
- Отключите IPv6 на устройстве или выберите VPN с полноценной поддержкой IPv6.
- Удалите вручную заданные DNS-серверы из настроек сетевого адаптера и роутера на время работы VPN или укажите DNS-серверы VPN-сервиса.
- Проверьте настройку безопасного DNS в браузере. Если в ней указан публичный резолвер, запросы шифруются, но уходят этой компании, а не вашему VPN. Выберите «Выкл.» или «Использовать текущего поставщика услуг», если хотите, чтобы DNS обрабатывал VPN.
- Windows: отключите интеллектуальное многоадресное разрешение имён через групповую политику, если ваш VPN не справляется с этим сам.
Утечка DNS и утечка WebRTC
| Утечка DNS | Утечка WebRTC | |
|---|---|---|
| Что утекает | Названия сайтов, которые вы посещаете | Ваш настоящий IP-адрес |
| Кто это видит | Ваш провайдер или DNS-резолвер | Сайт, который вы открываете |
| Как устранить | Защита DNS в VPN, отключение IPv6 | Защита WebRTC в VPN, настройки браузера |
Часто задаваемые вопросы
Защищает ли DNS over HTTPS от утечек DNS?
Он шифрует запросы, так что провайдер не может их прочитать, но выбранный вами резолвер по-прежнему их видит. Если вы пользуетесь надёжным VPN, проще доверить обработку DNS ему — тогда всё будет в одних руках.
Может ли быть утечка DNS без VPN?
Без VPN ваши запросы и так по умолчанию уходят на резолвер провайдера, поэтому утекать нечему. Если хотите скрыть их, используйте зашифрованный DNS.
Все ли VPN защищают от утечек DNS?
Не все. Проверяйте свой VPN после каждого крупного обновления приложения или операционной системы.