O que é vazamento de DNS e como corrigir?

DNS em 30 segundos

Antes de abrir um site, o seu dispositivo precisa transformar um nome como example.com em um endereço IP. Ele faz isso perguntando a um resolvedor DNS, geralmente operado pelo seu provedor de internet. O resolvedor vê cada nome de site que você consulta, quando consulta e o seu endereço IP.

O que é vazamento de DNS?

Quando você usa VPN, essas consultas deveriam passar pelo túnel criptografado até o resolvedor da própria VPN. Um vazamento de DNS acontece quando elas passam por fora do túnel, direto para o seu provedor ou outro resolvedor externo.

O seu tráfego em si continua criptografado, mas o resolvedor consegue ver a lista de todos os sites que você visita, e qualquer pessoa observando a sua conexão também. Em alguns países, os provedores usam o DNS para bloquear sites, então um vazamento também pode fazer sites bloqueados não abrirem mesmo com a VPN ligada.

Um vazamento de DNS não muda o endereço IP que os sites veem. Ele expõe ao seu provedor quais sites você visita. Por isso, só verificar o IP não detecta o problema.

Como fazer o teste de vazamento de DNS

1. Conecte-se à sua VPN.
2. Abra o teste de vazamento de DNS. Ele faz o seu navegador consultar vários nomes aleatórios que só o nosso servidor de teste consegue responder e registra quais resolvedores fizeram as consultas.
3. Veja os resolvedores listados.

Sem vazamento: todos os resolvedores pertencem ao seu provedor de VPN ou estão no mesmo país por onde a sua VPN sai.

Com vazamento: você vê resolvedores do seu próprio provedor de internet, ou do seu próprio país enquanto o servidor da VPN está em outro lugar.

Grandes resolvedores públicos como Google (8.8.8.8) e Cloudflare (1.1.1.1) têm servidores no mundo todo. Nesses casos, o teste também mostra a sub-rede do cliente repassada pelo resolvedor, que pode revelar a sua rede real mesmo quando o resolvedor em si parece neutro.

O que causa vazamento de DNS?

• A VPN não define o próprio DNS. Alguns apps de VPN, configurações manuais de WireGuard ou OpenVPN e muitas ferramentas de proxy deixam o resolvedor do sistema como está.
• O Windows pergunta a todas as redes ao mesmo tempo. O Windows envia as consultas DNS por todos os adaptadores de rede e fica com a resposta mais rápida, então a consulta pode sair pela sua conexão normal.
• IPv6. Se a VPN só cuida do IPv4, as consultas via IPv6 vão para o resolvedor IPv6 do seu provedor.
• DNS sobre HTTPS do navegador. Chrome, Edge e Firefox podem mandar as consultas para o próprio resolvedor criptografado. Não é um vazamento para o seu provedor, mas ignora o resolvedor da VPN e pode carregar a sua localização real.
• Ferramentas de proxy no modo "proxy do sistema". Apps como Clash, V2Ray ou clientes Shadowsocks muitas vezes só passam o tráfego do navegador pelo proxy, enquanto o sistema continua resolvendo nomes localmente.
• O seu roteador ou provedor sequestra o DNS. Alguns provedores interceptam todo o tráfego na porta 53 e respondem eles mesmos.

Como corrigir um vazamento de DNS

Comece pela primeira correção e teste de novo depois de cada passo.

1. Ative a proteção contra vazamento de DNS da VPN. A maioria dos bons apps de VPN tem uma opção chamada proteção contra vazamento de DNS, "usar apenas o DNS da VPN" ou parecida. Ative também o kill switch.
2. Ative a proteção contra vazamento de IPv6 ou bloqueie o IPv6 no app da VPN. Veja IPv4 x IPv6 para entender por que isso importa.
3. Defina o DNS na configuração da VPN. No WireGuard, adicione uma linha DNS = na seção [Interface]. No OpenVPN, use block-outside-dns no Windows.
4. Nas ferramentas de proxy, ative o modo TUN (Clash, sing-box e outras chamam de TUN, modo aprimorado ou modo VPN) e ative o tratamento de DNS delas, para que todas as consultas passem pelo proxy.
5. Confira a opção de DNS seguro do navegador. No Chrome ou no Edge, ela fica em Configurações > Privacidade e segurança > Segurança > Usar DNS seguro. Desative para que o resolvedor da VPN seja usado, ou escolha um resolvedor em que você confie.
6. Mude o DNS do sistema para um resolvedor público como plano B. Isso não corrige um vazamento para esse resolvedor, mas impede que o seu provedor veja as suas consultas.

Depois, faça de novo o teste de vazamento de DNS. Para uma verificação completa da VPN, incluindo WebRTC e IPv6, veja como saber se a sua VPN está funcionando.

Perguntas frequentes

Vazamento de DNS é perigoso?

Ele expõe os sites que você visita, não as suas senhas nem o conteúdo das páginas, que continuam protegidos por HTTPS. Mesmo assim, se você usa VPN por privacidade, um vazamento derruba boa parte do objetivo.

Um vazamento de DNS pode revelar o meu IP real?

Indiretamente. O resolvedor do seu provedor vê o seu IP real, e resolvedores que repassam a sua sub-rede de cliente informam ao servidor DNS do site mais ou menos onde você está. Os sites em si não veem o seu IP pelo DNS.

Usar 1.1.1.1 ou 8.8.8.8 evita vazamento de DNS?

Não. Isso muda quem vê as suas consultas, do seu provedor para a Cloudflare ou o Google, mas essas consultas ainda podem sair por fora da VPN. Só passar o DNS pela VPN acaba com o vazamento.

Por que o teste mostra servidores em outro país?

Grandes resolvedores enviam a sua consulta a partir do data center mais próximo de você ou do servidor da VPN, que pode ficar em um país vizinho. Confira o nome da rede: se for o seu provedor de VPN ou um grande resolvedor público perto do servidor da VPN, está tudo certo.