Kaveo
DNS-утечка — ситуация, когда VPN работает, но запросы имён сайтов идут мимо туннеля. Тогда провайдер видит список доменов, хотя вы ожидали обратного. Разберём механику и то, как читать результат проверки.
Как это устроено
Прежде чем открыть сайт, устройство спрашивает у DNS-сервера: какой IP у этого домена? Только потом идёт соединение.
Когда VPN подключён, оба шага обычно идут через туннель. Но при неправильной настройке первый шаг — запрос имени — может уходить к серверу вашего оператора связи. Соединение при этом шифруется, а список сайтов провайдер видит.
Три вопроса вместо одного
У DNS-запроса есть три независимые характеристики, и вывод нельзя делать по одной из них.
- Кто владелец резолвера. Это организация, чей сервер отвечает на запрос: провайдер, VPN-сервис, публичный DNS-сервис. Сторонний DNS сам по себе не подтверждает утечку и не доказывает её отсутствие — резолвер мог быть выбран настройками приложения или браузера.
- Каким транспортом идёт запрос. Обычный DNS, DNS поверх HTTPS (DoH) или поверх TLS — это разные способы доставки одного и того же вопроса.
- По какому маршруту идёт запрос. Через туннель или напрямую. Именно маршрут отвечает на вопрос об утечке, а название организации в списке — нет.
Откуда берутся расхождения
- Ручная настройка. Конфигурация без параметра DNS оставляет системные значения.
- Несколько DNS одновременно. Система может опрашивать несколько серверов и брать быстрый ответ — так ведёт себя часть версий Windows.
- IPv6. Туннель поднят для IPv4, а запросы по IPv6 идут напрямую. Важно различать DNS-запросы по IPv6 и передачу другого трафика по IPv6: это разные вещи, и одно не означает другое.
- Браузерный DoH. Браузер может использовать свой DNS-сервер с собственными настройками. Это отдельный механизм: само его наличие не равно обходу VPN, а маршрут такого запроса зависит от того, как приложение и браузер настроены вместе.
Как проверить за минуту
- Подключитесь к VPN.
- Откройте любой сервис проверки DNS — их легко найти по запросу «dns leak test».
- Запустите расширенный тест.
- Посмотрите на список серверов в результатах и на то, чьи они.
Если в списке серверы вашего оператора — это повод проверить маршрут и настройки, но не окончательный вывод. Если только серверы VPN-провайдера или нейтральные — утечка по этому тесту не видна. Сторонний публичный DNS в списке может быть как выбором настроек, так и признаком проблемы: сопоставьте результат с настройками приложения и браузера.
Что делать, если результат вызывает вопросы
Первое: проверьте настройки приложения и инструкцию разработчика. Наличие защиты от DNS-утечек зависит от приложения и платформы, универсально её обещать нельзя.
Второе: изучите, как ведёт себя IPv6 в вашей системе и сети. Отключение IPv6 — не универсальное решение: оно может повлиять на другие программы и не всегда нужно.
Третье: посмотрите, использует ли браузер собственный защищённый DNS (DoH). Менять ли эту настройку, решайте по результатам теста; отключение DoH не является универсальным советом.
Четвёртое: при ручной конфигурации пропишите DNS-серверы явно.
Быстрый способ сверить адрес — страница проверки IP; общий порядок проверок описан в статье как проверить работу VPN.
Сопоставьте результат с настройками приложения и браузера. Название DNS-сервиса, локальный адрес или совпадение страны сами по себе не дают полного вывода о работе VPN.
Насколько это критично
Содержимое страниц при утечке остаётся защищено шифрованием. Утекает список доменов — то есть какие сайты вы открывали и когда. Для многих задач этого достаточно, чтобы отнестись к проблеме серьёзно, но решение зависит от вашей модели угроз.
Читайте также
Тарифы и 8 часов бесплатно без карты: посмотреть тарифы Kaveo.