Co to jest wyciek DNS i jak go naprawić?

DNS w 30 sekund

Zanim urządzenie otworzy stronę, musi zamienić nazwę taką jak example.com na adres IP. Robi to, pytając resolver DNS, zwykle prowadzony przez Twojego dostawcę internetu. Resolver widzi każdą nazwę strony, którą sprawdzasz, kiedy ją sprawdzasz, i Twój adres IP.

Co to jest wyciek DNS?

Gdy korzystasz z VPN, te zapytania powinny iść przez zaszyfrowany tunel do własnego resolvera VPN. Wyciek DNS (DNS leak) ma miejsce, gdy zamiast tego omijają tunel i trafiają bezpośrednio do Twojego dostawcy lub innego zewnętrznego resolvera.

Sam ruch nadal jest zaszyfrowany, ale resolver widzi listę wszystkich odwiedzanych przez Ciebie stron, a razem z nim każdy, kto obserwuje Twoje połączenie. W niektórych krajach dostawcy blokują strony przez DNS, więc przy wycieku zablokowane strony mogą nie działać nawet z włączonym VPN.

Wyciek DNS nie zmienia adresu IP, który widzą strony. Ujawnia za to Twojemu dostawcy, jakie strony odwiedzasz. Dlatego samo sprawdzenie IP go nie wykryje.

Jak sprawdzić, czy masz wyciek DNS

1. Połącz się z VPN.
2. Otwórz Test wycieku DNS. Sprawia on, że przeglądarka wyszukuje kilka losowych nazw, na które może odpowiedzieć tylko nasz serwer testowy, i zapisuje, które resolvery o nie pytają.
3. Spójrz na listę resolverów.

Brak wycieku: każdy resolver należy do Twojego dostawcy VPN lub znajduje się w tym samym kraju, z którego wychodzi Twój VPN.

Wyciek: widzisz resolvery własnego dostawcy internetu albo resolvery w Twoim kraju, choć serwer VPN jest gdzie indziej.

Duże publiczne resolvery, takie jak Google (8.8.8.8) i Cloudflare (1.1.1.1), mają serwery na całym świecie. Dla nich test pokazuje też podsieć klienta, którą resolver przekazał dalej, a ona może ujawnić Twoją prawdziwą sieć, nawet jeśli sam resolver wygląda neutralnie.

Co powoduje wycieki DNS?

• VPN nie ustawia własnego DNS. Niektóre aplikacje VPN, ręcznie skonfigurowane połączenia WireGuard lub OpenVPN i wiele narzędzi proxy pozostawia systemowy resolver bez zmian.
• Windows pyta wszystkie sieci naraz. Windows wysyła zapytania DNS do wszystkich kart sieciowych i bierze najszybszą odpowiedź, więc zapytanie może wyjść przez zwykłe połączenie.
• IPv6. Jeśli VPN obsługuje tylko IPv4, zapytania przez IPv6 trafiają do resolvera IPv6 Twojego dostawcy.
• DNS-over-HTTPS w przeglądarce. Chrome, Edge i Firefox mogą wysyłać zapytania do własnego szyfrowanego resolvera. To nie jest wyciek do Twojego dostawcy, ale omija resolver VPN i może zdradzać Twoją prawdziwą lokalizację.
• Narzędzia proxy w trybie „proxy systemowe”. Aplikacje takie jak Clash czy klienty V2Ray i Shadowsocks często przekierowują tylko ruch przeglądarki, a system nadal rozwiązuje nazwy lokalnie.
• Router lub dostawca przechwytuje DNS. Niektórzy dostawcy przechwytują cały ruch na porcie 53 i sami na niego odpowiadają.

Jak naprawić wyciek DNS

Zacznij od pierwszego kroku i testuj ponownie po każdej zmianie.

1. Włącz ochronę przed wyciekiem DNS w VPN. Większość dobrych aplikacji VPN ma ustawienie o nazwie ochrona przed wyciekiem DNS, „używaj tylko DNS VPN” lub podobnej. Włącz też kill switch.
2. Włącz ochronę przed wyciekiem IPv6 lub zablokuj IPv6 w aplikacji VPN. Dlaczego to ważne, wyjaśnia poradnik IPv4 a IPv6.
3. Ustaw DNS w konfiguracji VPN. W WireGuard dodaj wiersz DNS = w sekcji [Interface]. W OpenVPN na Windows użyj block-outside-dns.
4. W narzędziach proxy włącz tryb TUN (Clash, sing-box i inne nazywają go TUN, enhanced mode lub trybem VPN) oraz ich obsługę DNS, aby wszystkie zapytania szły przez proxy.
5. Sprawdź ustawienie bezpiecznego DNS w przeglądarce. W Chrome lub Edge znajdziesz je w Ustawienia > Prywatność i bezpieczeństwo > Bezpieczeństwo > Używaj bezpiecznego DNS. Wyłącz je, aby używany był resolver VPN, albo ustaw resolver, któremu ufasz.
6. Zmień systemowy DNS na publiczny resolver jako rozwiązanie awaryjne. Nie naprawia to wycieku do tego resolvera, ale sprawia, że Twój dostawca nie widzi Twoich zapytań.

Następnie ponownie uruchom Test wycieku DNS. Pełne sprawdzenie VPN, łącznie z WebRTC i IPv6, opisujemy w poradniku jak sprawdzić, czy VPN działa.

Najczęstsze pytania

Czy wyciek DNS jest niebezpieczny?

Ujawnia odwiedzane strony, ale nie hasła ani treść stron, które nadal chroni HTTPS. Jeśli jednak używasz VPN dla prywatności, wyciek w dużej mierze niweczy jego sens.

Czy wyciek DNS może ujawnić moje prawdziwe IP?

Pośrednio. Resolver Twojego dostawcy widzi Twoje prawdziwe IP, a resolvery przekazujące podsieć klienta zdradzają serwerowi DNS strony, mniej więcej gdzie jesteś. Same strony nie widzą Twojego IP przez DNS.

Czy 1.1.1.1 lub 8.8.8.8 zapobiega wyciekom DNS?

Nie. Zmienia tylko to, kto widzi Twoje zapytania, czyli Cloudflare lub Google zamiast dostawcy, ale te zapytania nadal mogą omijać VPN. Wyciek zatrzyma tylko kierowanie DNS przez VPN.

Dlaczego test pokazuje serwery w innym kraju?

Duże resolvery wysyłają zapytanie z centrum danych najbliższego Tobie lub Twojemu serwerowi VPN, a ono może być w sąsiednim kraju. Sprawdź nazwę sieci: jeśli to Twój dostawca VPN albo duży publiczny resolver w pobliżu serwera VPN, wszystko jest w porządku.