Wat is een DNS-lek en hoe los je het op?

DNS in 30 seconden

Voordat je apparaat een website kan openen, moet het een naam als example.com omzetten naar een IP-adres. Dat doet het door een DNS-resolver te vragen, meestal die van je internetprovider. De resolver ziet elke sitenaam die je opzoekt, wanneer je die opzoekt, en je IP-adres.

Wat is een DNS-lek?

Als je een VPN gebruikt, horen die verzoeken door de versleutelde tunnel naar de eigen resolver van de VPN te gaan. Een DNS-lek ontstaat als ze in plaats daarvan om de tunnel heen gaan, rechtstreeks naar je provider of een andere externe resolver.

Je verkeer zelf blijft versleuteld, maar de resolver ziet een lijst van elke site die je bezoekt, en iedereen die je verbinding in de gaten houdt ook. In sommige landen blokkeren providers websites via DNS, dus door een lek kunnen geblokkeerde sites ook met je VPN aan niet laden.

Een DNS-lek verandert niets aan het IP-adres dat websites zien. Het laat je provider zien welke sites je bezoekt. Daarom kan een gewone IP-check het niet opsporen.

Zo test je op een DNS-lek

1. Verbind met je VPN.
2. Open de DNS-lektest. Die laat je browser een aantal willekeurige namen opzoeken die alleen onze testserver kan beantwoorden, en registreert welke resolvers erom vragen.
3. Bekijk de resolvers in de lijst.

Geen lek: elke resolver hoort bij je VPN-provider, of staat in hetzelfde land waar je VPN naar buiten gaat.

Lek: je ziet resolvers van je eigen internetprovider, of in je eigen land terwijl je VPN-server ergens anders staat.

Grote openbare resolvers zoals Google (8.8.8.8) en Cloudflare (1.1.1.1) hebben servers over de hele wereld. Bij die resolvers toont de test ook het client-subnet dat de resolver doorgaf, en dat kan je echte netwerk verraden, zelfs als de resolver zelf neutraal lijkt.

Wat veroorzaakt DNS-lekken?

• De VPN stelt geen eigen DNS in. Sommige VPN-apps, handmatige WireGuard- of OpenVPN-configuraties en veel proxytools laten de resolver van je systeem ongemoeid.
• Windows vraagt alle netwerken tegelijk. Windows stuurt DNS-verzoeken naar alle netwerkadapters en neemt het snelste antwoord, dus het verzoek kan via je gewone verbinding naar buiten gaan.
• IPv6. Als de VPN alleen IPv4 afhandelt, gaan verzoeken via IPv6 naar de IPv6-resolver van je provider.
• DNS-over-HTTPS in de browser. Chrome, Edge en Firefox kunnen verzoeken naar hun eigen versleutelde resolver sturen. Dat is geen lek naar je provider, maar het omzeilt de resolver van de VPN en kan je echte locatie meesturen.
• Proxytools in de modus "systeemproxy". Apps als Clash en V2Ray- of Shadowsocks-clients proxyen vaak alleen browserverkeer, terwijl het systeem namen nog steeds lokaal opzoekt.
• Je router of provider kaapt DNS. Sommige providers onderscheppen al het verkeer op poort 53 en beantwoorden het zelf.

Zo los je een DNS-lek op

Begin bij de eerste oplossing en test opnieuw na elke stap.

1. Zet de DNS-lekbescherming van je VPN aan. De meeste goede VPN-apps hebben een instelling die DNS-lekbescherming, "alleen VPN-DNS gebruiken" of iets vergelijkbaars heet. Zet ook de kill switch aan.
2. Zet IPv6-lekbescherming aan of blokkeer IPv6 in de VPN-app. Lees IPv4 vs IPv6 om te zien waarom dat belangrijk is.
3. Stel DNS in je VPN-configuratie in. Voeg bij WireGuard een regel DNS = toe in de sectie [Interface]. Gebruik bij OpenVPN op Windows block-outside-dns.
4. Zet bij proxytools de TUN-modus aan (Clash, sing-box en andere noemen het TUN, enhanced mode of VPN-modus) en schakel hun DNS-afhandeling in, zodat alle verzoeken via de proxy gaan.
5. Check de instelling voor beveiligde DNS in je browser. In Chrome of Edge staat die onder Instellingen > Privacy en beveiliging > Beveiliging > Beveiligde DNS gebruiken. Zet hem uit zodat de resolver van de VPN wordt gebruikt, of kies een resolver die je vertrouwt.
6. Wijzig de DNS van je systeem naar een openbare resolver als noodoplossing. Dat lost geen lek naar die resolver op, maar voorkomt wel dat je provider je verzoeken ziet.

Doe daarna de DNS-lektest opnieuw. Voor een volledige check van je VPN, inclusief WebRTC en IPv6, lees je zo check je of je VPN werkt.

Veelgestelde vragen

Is een DNS-lek gevaarlijk?

Het laat zien welke sites je bezoekt, niet je wachtwoorden of de inhoud van pagina's; die blijven beschermd door HTTPS. Toch maakt een lek een groot deel van het nut van je VPN teniet als je die voor je privacy gebruikt.

Kan een DNS-lek mijn echte IP verraden?

Indirect. De resolver van je provider ziet je echte IP, en resolvers die je client-subnet doorgeven, vertellen de DNS-server van de website ongeveer waar je bent. Websites zelf zien je IP niet via DNS.

Voorkomt 1.1.1.1 of 8.8.8.8 DNS-lekken?

Nee. Het verandert alleen wie je verzoeken ziet, Cloudflare of Google in plaats van je provider, maar die verzoeken kunnen nog steeds buiten je VPN om gaan. Alleen DNS via de VPN laten lopen stopt het lek.

Waarom toont de test servers in een ander land?

Grote resolvers sturen je verzoek vanuit het datacenter dat het dichtst bij jou of bij je VPN-server ligt, en dat kan in een buurland staan. Kijk naar de netwerknaam: is het je VPN-provider of een grote openbare resolver in de buurt van de VPN-server, dan is het in orde.