Что такое утечка DNS и как её устранить?

DNS за 30 секунд

Прежде чем открыть сайт, устройство должно превратить имя вроде example.com в IP-адрес. Для этого оно обращается к DNS-резолверу, который обычно держит ваш провайдер. Резолвер видит каждое имя сайта, которое вы запрашиваете, время запроса и ваш IP-адрес.

Что такое утечка DNS?

Когда вы пользуетесь VPN, эти запросы должны идти через зашифрованный туннель к собственному резолверу VPN. Утечка DNS — это когда они идут в обход туннеля, напрямую к провайдеру или другому внешнему резолверу.

Сам трафик остаётся зашифрованным, но резолвер видит список всех сайтов, которые вы посещаете, а вместе с ним и любой, кто следит за вашим подключением. В некоторых странах провайдеры блокируют сайты через DNS, поэтому из-за утечки заблокированные сайты могут не открываться даже с VPN.

Утечка DNS не меняет IP-адрес, который видят сайты. Она раскрывает провайдеру, какие сайты вы посещаете. Поэтому одной проверкой IP её не обнаружить.

Как проверить утечку DNS

1. Подключитесь к VPN.
2. Откройте проверку утечки DNS. Тест заставляет браузер запросить несколько случайных имён, на которые может ответить только наш тестовый сервер, и записывает, какие резолверы их запрашивают.
3. Посмотрите на список резолверов.

Утечки нет: каждый резолвер принадлежит вашему VPN-провайдеру или находится в той же стране, где выходит ваш VPN.

Утечка есть: вы видите резолверы своего интернет-провайдера или резолверы в своей стране, тогда как VPN-сервер находится в другой.

Крупные публичные резолверы, например Google (8.8.8.8) и Cloudflare (1.1.1.1), держат серверы по всему миру. Для них тест также показывает подсеть клиента, которую передал резолвер: она может раскрыть вашу настоящую сеть, даже когда сам резолвер выглядит нейтральным.

Почему возникает утечка DNS?

• VPN не задаёт собственный DNS. Некоторые VPN-приложения, ручные настройки WireGuard или OpenVPN и многие прокси-клиенты оставляют системный резолвер без изменений.
• Windows опрашивает все сети сразу. Windows отправляет DNS-запросы на все сетевые адаптеры и берёт самый быстрый ответ, поэтому запрос может уйти через обычное подключение.
• IPv6. Если VPN работает только с IPv4, запросы по IPv6 уходят к IPv6-резолверу провайдера.
• DNS-over-HTTPS в браузере. Chrome, Edge и Firefox могут отправлять запросы своему зашифрованному резолверу. Это не утечка к провайдеру, но так обходится резолвер VPN, и может передаваться ваше настоящее местоположение.
• Прокси-клиенты в режиме «системного прокси». Такие приложения, как Clash, V2Ray или клиенты Shadowsocks, часто проксируют только трафик браузера, а система продолжает резолвить имена локально.
• Роутер или провайдер перехватывает DNS. Некоторые провайдеры перехватывают весь трафик на порт 53 и отвечают на него сами.

Как устранить утечку DNS

Начните с первого пункта и после каждого шага проверяйте снова.

1. Включите защиту от утечки DNS в VPN. В большинстве хороших VPN-приложений есть настройка «защита от утечки DNS», «использовать только DNS VPN» или похожая. Включите также kill switch.
2. Включите защиту от утечки IPv6 или заблокируйте IPv6 в приложении VPN. Почему это важно, читайте в статье IPv4 и IPv6.
3. Пропишите DNS в конфигурации VPN. Для WireGuard добавьте строку DNS = в раздел [Interface]. Для OpenVPN в Windows используйте block-outside-dns.
4. В прокси-клиентах включите режим TUN (в Clash, sing-box и других он называется TUN, расширенным режимом или режимом VPN) и включите их обработку DNS, чтобы все запросы шли через прокси.
5. Проверьте настройку безопасного DNS в браузере. В Chrome или Edge она находится в разделе Настройки > Конфиденциальность и безопасность > Безопасность > Использовать безопасный DNS. Либо отключите её, чтобы использовался резолвер VPN, либо укажите резолвер, которому доверяете.
6. Смените системный DNS на публичный резолвер как запасной вариант. Утечку к этому резолверу это не устранит, но провайдер перестанет видеть ваши запросы.

Затем снова запустите проверку утечки DNS. Полную проверку VPN, включая WebRTC и IPv6, смотрите в статье как проверить, работает ли VPN.

Частые вопросы

Опасна ли утечка DNS?

Она раскрывает сайты, которые вы посещаете, но не пароли и не содержимое страниц — они остаются защищены HTTPS. Тем не менее, если вы используете VPN ради приватности, утечка сводит на нет большую часть его смысла.

Может ли утечка DNS раскрыть мой настоящий IP?

Косвенно. Резолвер провайдера видит ваш настоящий IP, а резолверы, передающие подсеть клиента, сообщают DNS-серверу сайта, где вы примерно находитесь. Сами сайты ваш IP через DNS не видят.

Защищает ли от утечки DNS использование 1.1.1.1 или 8.8.8.8?

Нет. Это меняет лишь то, кто видит ваши запросы — провайдер или Cloudflare и Google, — но запросы по-прежнему могут идти в обход VPN. Остановить утечку можно, только направив DNS через VPN.

Почему тест показывает серверы в другой стране?

Крупные резолверы отправляют запрос из ближайшего к вам или к VPN-серверу дата-центра, а он может находиться в соседней стране. Посмотрите на название сети: если это ваш VPN-провайдер или крупный публичный резолвер рядом с VPN-сервером, всё в порядке.