DNSリークテスト

実際にどのDNSサーバーが問い合わせに応答しているか、そしてVPNがそれを契約中のプロバイダーに漏らしていないか(DNSリーク)を確認できます。このDNSリークテスト(DNS Leak Test)はページを開くと同時に始まり、すべてのサーバーを名前付きで示して、わかりやすい判定を表示します。

当サイトのテスト用ネームサーバーで観測 · DNSサーバーはIPv4アドレスで表示 · 観測結果は10分間メモリ内に保持した後、削除

何を確認しますか?
まずVPNをオフにして1回、次にオンにしてもう1回実行してください。消えたDNSサーバーを表示します。

ページを開くと自動で開始 · 誰も問い合わせたことのない名前で6回の問い合わせ · 約4秒 · 10分後に消去

あなたIPv4IPv6接続を確認中…
当サイトのネームサーバーに問い合わせてきたDNSサーバー
  1. 当サイトのネームサーバーに問い合わせてきたDNSサーバーが、届いた順に1行ずつここに表示されます。

コマンドラインで確認

1システムのDNS

アプリが使っているDNSサーバーです。上の行と比べてください。

C:\> nslookup -type=txt whoami.leak.dnsrobot.net
  • 応答は、当サイトに問い合わせてきたDNSサーバーのアドレスです。
  • 応答が異なる場合は、ブラウザーとアプリが別の経路を使っています。たとえば、ブラウザーのセキュア DNSです。
  • 自前のリゾルバー(Unbound付きのPi-hole)を運用していますか?その場合、応答は自宅のアドレスです。公開の場に投稿しないでください。

2ハイジャックテスト

Cloudflare(1.1.1.1)に直接問い合わせます。

C:\> nslookup -type=txt whoami.leak.dnsrobot.net 1.1.1.1
  • Cloudflareのアドレス(AS13335):問い合わせは指定どおりCloudflareに届きました。
  • それ以外のネットワークのアドレス:何かがDNSの経路を変えている強い兆候です。考えられるのは、VPNアプリ(意図的に行うものもあります)、セキュリティソフト、ルーター、プロバイダーです。
どのコマンドですか?

テキストはこのページにとどまります。ネットワークを特定するため、アドレスだけを当サイトのサーバーで調べます。

当サイトのネームサーバーは、各テストの観測結果を10分間メモリ内に保持した後、削除します。前回の結果は、前後の比較のためにこのブラウザー内にのみ保存されます。

DNSリークテストの結果は何を意味しますか?

2つの点で決まります。どのDNSサーバーが当サイトのネームサーバーに問い合わせてきたかと、VPNを使っているかどうかです。プロバイダーのDNSは、VPNなしなら正常、VPN使用中ならリークです。CloudflareやGoogleのようなパブリックDNSは、それだけでリークになることはありません。

DNSリークとは、VPNを使っている間に契約中のプロバイダーのDNSサーバーが応答したことを意味します。トンネルがあっても、あなたが調べるサイトがプロバイダーに見えてしまいます。VPNのDNSを運用するパートナー企業やホスティング企業はリークではありません。Proton VPNも同じ線引きをしています。

テストは各サーバーを種類(VPNのDNS、パブリックDNS、ISPのDNS、ホスティングのネットワーク、自前のリゾルバー)で分類し、その組み合わせから、ブランド名を挙げて判定を書きます。VPNのDNSとプロバイダーのDNSが混在していれば部分的なリークで、一部の問い合わせがときどき漏れています。

何も届かずは決して合格ではありません。テストの問い合わせがインターネットに届く前に、何かが止めたということです。また、別の国にあるDNSサーバーもリークではありません。

当サイトのネームサーバーに問い合わせたもの × VPNの有無6つの判定

観測したDNSサーバーVPNなしVPN使用時
VPNのDNSありえないVPNがなければ、見えるVPNのDNSはありません。リークなしフランクフルトのM247が応答:プロバイダーには何も見えません。
パブリックDNSCloudflareが応答1.1.1.1の設定は機能しています。リークではありません。リークなし問い合わせは、あなたのアドレスではなくVPNのアドレスから届きます。
あなたのISPのDNSISPのDNSVPNなしなので、通常どおりExample Broadbandが応答。リークではありません。DNSリークVPNを使っていても、調べた名前がすべてプロバイダーに見えます。
混在:VPNまたはパブリック+ISPリークではない2つ目のDNS設定かフォールバック:VPNなしでは正常です。部分的なリーク一部の問い合わせがトンネルから漏れています:拡張テストを実行してください。
ホスティングのネットワークQuad9と推定別のサービスのパートナーやルーターの上流の場合もあります:判別できないときは、ページにそう表示します。リークなしプロバイダーのネットワークではありません:VPNのDNSパートナーと推定されます。
何も届かず合格ではない決して「安全」ではありません:何かがテストの問い合わせを止めました。合格ではないテストの名前を許可するか、拡張テストを実行してください。
行はテストが特定するDNSサーバーの種類で、結果画面と同じ色で示しています。各セルは、ページに表示される判定です。VPN使用時のルール:プロバイダーのネットワーク以外は、リークではありません。
DNSリークテストの結果:VPN利用者の問い合わせにインターネットプロバイダーのDNSが応答し、各サーバーの名前と位置を表示DNSリークテストの結果:VPN利用者の問い合わせにインターネットプロバイダーのDNSが応答し、各サーバーの名前と位置を表示判定誰が問い合わせに応答しているか、それがリークかどうか、次に何をすべきかを1文で示します。DNSサーバー当サイトのネームサーバーに問い合わせてきた各サーバー:ブランドまたはネットワーク、IPv4アドレス、位置、種類、クエリに占める割合。そのほかの確認IPv6アドレスがどこから出ているかに加え、iCloud Private RelayやTorが通信を運んでいる場合はその注記。あなたのDNSの経路デバイス、VPNトンネル、問い合わせてきたDNSサーバー。リークは、トンネルの外を通る問い合わせとして描かれます。
VPN使用時の架空の結果です。Example BroadbandのDNSがトンネルの外で応答し続けているため、テストはリークと判定しています。番号を選ぶと、各部分に何が表示されているかを確認できます。

DNSリークテストの仕組みは?

このDNSリークチェッカーは、1-k3x9q2mfp7c1vn4a.leak.dnsrobot.netのように一度も存在したことのない名前を、ブラウザーに問い合わせさせます。どのDNSサーバーにもキャッシュがないため、問い合わせを処理するサーバーは当サイトのネームサーバーに問い合わせるしかありません。ネームサーバーはそのアドレスを記録し、「その名前はありません」と応答します。

続いてページが、このテストの名前を問い合わせてきたDNSサーバーを当サイトのネームサーバーに尋ねます。それが、設定がどうなっていても、ブラウザーが実際に使っているサーバーです。家庭のルーターは通常、問い合わせを中継するだけなので、表示されるのはルーターの転送先のサーバーです。各名前は1回しか使わず、当サイトのネームサーバーは10分後にそのテストを忘れます。

標準テストは6回問い合わせ、通常はこれでリークを見つけるのに十分です。拡張テストは6回ずつ36回問い合わせ、ときどきしか応答しないDNSサーバーを捉えます。たとえば、VPNのDNSの応答が遅いときに、Windowsがすべてのアダプターを試す場合です。

DNSサーバーがあなたのアドレスの一部を渡している場合(EDNS Client Subnet)、その行にはサブネットがあなたにだけ表示されます。記録されることはありません。

1回の問い合わせを追うテストの実行例(アドレスは置き換え済み)

ブラウザーDNSサーバーネームサーバー1-k3x9q2….leak.dnsrobot.net ?1-k3x9q2…のアドレスは?問い合わせ元203.0.113.53NXDOMAIN · その名前はありません画像は失敗:問い合わせ完了k3x9q2…を問い合わせたサーバーは?→ 203.0.113.53 ×4 · 203.0.113.54 ×2ブラウザーDNSサーバーネームサーバー1-k3x9q2….leak.dnsrobot.net ?1-k3x9q2…のアドレスは?問い合わせ元203.0.113.53NXDOMAIN · その名前はありません画像は失敗:問い合わせ完了k3x9q2…を問い合わせたサーバーは?→ 203.0.113.53 ×4203.0.113.54 ×2
上:家庭の回線からの6回の問い合わせのうち1回を、手順ごとに示しています。各名前は1回しか使わず、当サイトのネームサーバーは問い合わせ元を10分間メモリ内に保持します。下:2つの長さで、1マスが1回の問い合わせです。6回ずつの各バッチは最大3秒待ちます。色は、36回中2回をプロバイダーのDNSへ送るVPNの例で、6回のテストでは見逃しやすいものです。テスト自体は、各DNSサーバーがクエリ全体に占める割合を表示します。

Google、Cloudflare、別の国が表示されるのはなぜですか?

設定したアドレスと、問い合わせてくるアドレスが違うからです。パブリックDNSサービスは1.1.1.1や8.8.8.8で多数の拠点から同時に応答し(anycast)、各拠点は自社のアドレスプールから、ときにはパートナーのネットワークから、ほかのネームサーバーに問い合わせます。

当サイトが試したある回線では、自社のネットワークから当サイトのネームサーバーに届いたのはCloudflare、Google、OpenDNSだけで、Quad9はEquinix、AdGuardはDatacamp、NextDNSはVultrを経由していました。どれもリークではありません。結果にパブリックDNSが表示されるのは、ブラウザー、デバイス、VPNが問い合わせをそこへ送っているためで、VPN使用中なら、問い合わせはあなたのアドレスではなくVPNのアドレスから届きます。

そのため、このテストは表を信用しません。各パブリックDNSサービスに、あなたに対してどのアドレスを使うかをブラウザーから尋ね、GoogleはGoogleが公開しているアドレス範囲と照合します。確認できないサーバーは、そのサービスと推定するか、ホスティングのネットワーク上のサーバーとして表示し、リークとすることはありません。

国も誤解を招きます。レジストリのデータが示すのはネットワークが登録されている国で、サーバーの設置場所ではありません(1.1.1.1自体はオーストラリアで登録されています)。リークで問題になるのは、誰があなたの問い合わせを見るかであって、それがどこにあるかではありません。

設定したもの · 問い合わせ元 · そのネットワーク記録した1回の実行(アドレスは置き換え済み)

インドの光回線で記録、2026/10/24

  • Cloudflare1.1.1.1192.0.2.10自社のネットワーク, AS13335登録国:アメリカ合衆国リークではない
  • Google8.8.8.8192.0.2.12, 192.0.2.13自社のネットワーク, AS15169登録国:アメリカ合衆国2回の問い合わせに2つのアドレスリークではない
  • Quad99.9.9.9192.0.2.11Equinix経由, AS15830登録国:オランダパートナーのネットワークリークではない
  • AdGuard94.140.14.14192.0.2.30Datacamp (CDN77)経由, AS60068ホスティングのパートナー(DNS4EUも運ぶ)リークではない
  • NextDNSあなたの設定192.0.2.41Vultr経由, AS20473ホスティングのパートナー(CleanBrowsingも運ぶ)リークではない
この回線から問い合わせた12のパブリックDNSサービスのうち、自社のネットワークから当サイトのネームサーバーに届いたのはCloudflare、Google、OpenDNSだけで、ほかはパートナーやホスティング事業者を経由していました。旗はネットワークが登録されている国で、サーバーの設置場所ではありません。ページはこのような表に頼らず、あなたに対してどのアドレスを使うかを、各サービスにその場で尋ねます。

DNSリークの原因は?

多くの場合、デバイスがVPN以外の場所に問い合わせを送っていることです。VPNアプリが独自のDNSを設定しない、Windowsがすべてのネットワークアダプターに問い合わせる、IPv4しか運ばないトンネルをIPv6が迂回する、などです。

Windowsは、速く応答するために、各問い合わせをWi-FiとVPNに同時に送ることがあります(スマート マルチ ホームの名前解決)。多くのVPNはIPv4しか運ばず、IPv6の通信と、その上で送られるDNSがトンネルの外に残ります(RFC 7359)。システムに設定したカスタムDNSが、VPNアプリの保護機能を上書きすることもあります。

原因ごとに、結果に独自のパターンが残ります。ブラウザーに設定したカスタムのセキュア DNSプロバイダーは、VPN自身のDNSを素通りして、そのパブリックDNSとして表示されます。ただし、Chromeの自動モードは現在のプロバイダーを使い続け、Firefoxの既定の設定はVPNを検出すると身を引きます。

プロバイダーの透過プロキシのように、ポート53でDNSの経路を変えるものがあると、1.1.1.1を設定していてもプロバイダーが表示されます。キルスイッチのないVPNが切れた場合、リークは一瞬なので、1回のテストでは見逃すことがあります。VPNが再接続した後に、もう一度テストしてください。

6つの原因と、それぞれでこのテストが表示するものカードの最終行

  • VPNが独自のDNSを設定しない

    通信はトンネルを通りますが、システムは以前のDNSサーバー(通常はプロバイダーのもの)を使い続けます。

    DNSリークVPN使用中にISPのDNS

  • ブラウザーのカスタムのセキュア DNS

    カスタムのプロバイダーを設定すると、ブラウザーはVPNのDNSを通らずに、HTTPSで問い合わせをそこへ送ります。Chromeの自動モードは現在のプロバイダーを使い続け、Firefoxの既定の設定はVPNを検出すると身を引きます。

    リークなしVPNのものではないパブリックDNS

  • Windowsがすべてのアダプターに問い合わせる

    スマート マルチ ホームの名前解決が働くと、WindowsはVPNとWi-Fiの両方を含むすべてのネットワークに、同時に問い合わせを送ります。

    部分的なリークVPNのDNS+ISPのDNS

  • IPv6がトンネルを迂回する

    多くのVPNはIPv4しか運びません。IPv6の通信と、IPv6で送られるDNSは、プロバイダー経由で出ていきます。

    IPv6リーク結果の下に専用の行

  • 何かがDNSの経路を変える

    ルーター、セキュリティソフト、プロバイダー(あるいは意図的にVPNアプリ)がポート53の問い合わせを捕まえて、自ら応答します。1.1.1.1宛てのものも含みます。

    あなたのISPのDNS「Cloudflare 1.1.1.1ではありません:ISPが応答」

  • キルスイッチなしでVPNが切れる

    トンネルが途切れると、復旧するまで、問い合わせがシステムの既定のDNS(おそらくプロバイダーのもの)へ送られることがあります。

    部分的なリークときどきだけ:拡張テストのほうが捉えやすい

Teredo(IPv4上でIPv6をトンネルするWindowsの古い方式)は、Windows 10バージョン1803以降は無効になっているため、現在では原因になることはまれです。

DNSリークを修正するには?

VPNアプリのDNS漏洩防止機能、IPv6漏洩防止機能、キルスイッチをオンにしてから、もう一度テストしてください。漏洩防止機能はファイアウォールのルールでDNSをVPN内に保ち、キルスイッチはトンネルが切れた瞬間を補います。

それでもリークが続くなら、システムを修正します。Windowsでは、OpenVPNのプロファイルにblock-outside-dnsを入れると、ほかのアダプターへの問い合わせを防げます。また、すべての通信をルーティングし(0.0.0.0/0)DNS =行を持つWireGuardトンネルでは、ポート53はトンネルのDNSにしか届きません。スマート マルチ ホームの名前解決をオフにしても並列の問い合わせが止まるだけで、修正にはなりません。

systemd-resolvedを使うLinuxでは、VPNのリンクに~.ルーティングドメインを設定して、ほかのリンクに問い合わせないようにします。IPv6は無効にせず、VPNアプリに運ばせるかブロックさせてください。IPv6の無効化はMicrosoftが推奨していません。VPNを使う間は、ブラウザーのカスタムのセキュア DNSプロバイダーと、システムのカスタムDNSを外してください。

Androidでは、Proton VPNやMullvadが勧めるとおり、VPNの使用中はプライベート DNSをオフにしてください。プライベート DNSのホスト名を設定すると、すべての問い合わせがそのプロバイダーへ送られます。その後もう一度テストを実行すると、前後の比較で消えたDNSサーバーがわかります。

重要なスイッチシステム別

VPNアプリ · 設定

DNS漏洩防止機能すべての問い合わせをトンネル内に保つ
IPv6漏洩防止機能IPv6をブロックするか、トンネル内で運ぶ
キルスイッチトンネルが切れている間は通信しない
カスタムDNSオフのまま:アプリによっては漏洩防止機能が無効になる

OpenVPNプロファイル (.ovpn)

block-outside-dns
# Windowsのみ:ポート53はほかのアダプターに届かない

WireGuard (.conf)

[Interface]
DNS = 10.2.0.1
# この行がないと、システムは古いDNSを使い続ける
[Peer]
AllowedIPs = 0.0.0.0/0, ::/0
# WireGuard for Windows:/0ルートがあると、ポート53は上のDNSにしか届かない

Windows 11 · Settings

SettingsNetwork & internetWi-FiManage known networks

DNS server assignmentVPN使用中は、手動で入力したDNSがVPNの漏洩防止機能より優先されることがあるAutomatic (DHCP)

IPv6はオンのままに:MicrosoftはIPv6を無効にしないよう勧めています。VPNアプリのIPv6漏洩防止機能を使ってください。

グループ ポリシー

Computer Configuration › Network › DNS Client
Turn off smart multi-homed name resolution = Enabled
# 並列の問い合わせを止めるだけ:これは修正ではない

レジストリ値

DisableSmartNameResolution

システムのDNSを確認

C:\> nslookup -type=txt whoami.leak.dnsrobot.net

macOS · System Settings

Apple menuSystem SettingsNetworkWi-FiDetailsDNS

DNS ServersVPNを使う間は、手動で追加したサーバーを削除する

オンにした暗号化DNSのプロファイルやアプリはシステム全体に適用され、VPNアプリはその経路を変えられません。

VPNがオンのときは、iCloud Private Relayは身を引きます。

システムのDNSを確認

$ dns-sd -q whoami.leak.dnsrobot.net TXT
# Ctrl-Cを押すまで実行し続ける
$ dig +short TXT whoami.leak.dnsrobot.net
# digは/etc/resolv.confのプライマリリゾルバーにしか問い合わせない

Linux

systemd-resolvedどのルーティングドメインにも一致しない問い合わせは、デフォルトルートを持つすべてのリンク(VPNとWi-Fiの両方)に送られます。修正:VPNのリンクに~.ルーティングドメインを設定する
NetworkManagerVPNプロファイルのDNS優先度を負の値にすると、ほかの接続のDNSサーバーが締め出されます。
/etc/resolv.confsystemd-resolvedがない場合:接続後に/etc/resolv.confに残ったnameserver行を削除します。
# すべての問い合わせをVPNのリンクへ送る
$ resolvectl domain wg0 '~.'
# NetworkManager:VPNプロファイルのDNSだけを使う
$ nmcli connection modify my-vpn ipv4.dns-priority -10

システムのDNSを確認

$ resolvectl query --type=TXT whoami.leak.dnsrobot.net

Android · Settings

SettingsNetwork & internetPrivate DNS

Samsung: SettingsConnectionsMore connection settingsPrivate DNS

  • Off
  • Automatic
  • Private DNS provider hostname
  • VPN事業者は、VPNを使う間は「オフ」を選ぶよう案内しています。
  • ホスト名を入力すると、VPNのDNSを通らずに、すべての問い合わせがそのプロバイダーへ送られます。

iPhone · Settings

SettingsWi-FiⓘConfigure DNS

  • Automatic
  • Manual

手動で入力したDNSはそのWi-Fiネットワークにだけ適用され、VPNのDNSより優先されることがあります。

  • オンにした暗号化DNSのプロファイルやアプリはシステム全体に適用され、VPNアプリはその経路を変えられません。
  • VPNがオンのときは、iCloud Private Relayは身を引きます。

Chrome · Settings

SettingsPrivacy and securitySecurityAdvanced

Use secure DNS
  • your current service provider
  • a custom service provider

Edge:同じ選択肢は次の場所にありますSettingsPrivacy, search, and services

  • 自動モードは、現在のプロバイダーを暗号化DNSに切り替えるだけです。
  • カスタムのプロバイダーを使うと、問い合わせはVPNを通らずに送られ、VPNアプリはその経路を変えられません。
  • VPN事業者はさらに踏み込み、オフにするよう案内しています。

Firefox · Settings

DNS over HTTPS

  • Default Protection
  • Increased Protection
  • Max Protection
  • Off
  • 「Default Protection」は、VPNを検出するとDNS over HTTPSをオフにします。
  • 「Increased」と「Max」は、VPNのDNSを通らずに、選んだプロバイダーを使い続けます。
  • 既定でオンになるのはアメリカ合衆国、カナダ、ロシア、ウクライナだけです。
スイッチの名前はアプリによって異なるため、ここでは一般的な名称を使っています。メニュー名は各メーカーの英語表記です。10.2.0.1は例として示したProton VPNのトンネル内のDNSで、OpenVPNのオプションはWindowsでのみ機能します。

カスタムDNSは機能していますか?1.1.1.1、NextDNS、AdGuard、Pi-holeを確認

何を確認しますか?で設定したものを選んでテストを実行すると、そのサービスが実際に応答しているかを判定します。正しく設定されていれば、そのサービスだけが表示されます。表のとおり、自社ではなくパートナーやホスティング事業者のネットワークから届くこともよくあります。機能していることを確かめたら、DNSスピードテストで、お使いの回線からほかのリゾルバーと速さを比べられます。

Pi-holeは上流のDNSに中継するため、テストに表示されるのはPi-holeではなく、その上流(たとえばCloudflare)です。Unboundを使うと自ら名前を問い合わせるため、自宅のアドレスが表示されます。VPNなしなら正常です。CloudflareとNextDNSは、Cloudflareの確認ページとtest.nextdns.ioでも、自社のサービスを使っているかを確認できます。

代わりにプロバイダーが表示される場合は、ルーター、アプリ、ブラウザーがあなたの選択を上書きしているか、何かがポート53の経路を変えています。ルーターによっては1.1.1.1そのものを誤ってルーティングします。コマンドラインでの確認で、どれが原因かを絞り込めます。

各サービスで表示されるべきもの1つの回線での例

サービス設定する値このテストで表示されるべきものよくある応答元
Cloudflare1.1.1.1パブリックDNS Cloudflare自社のネットワーク · AS13335
Google Public DNS8.8.8.8パブリックDNS Google自社が公開する範囲 · AS15169 ほか3件
Quad99.9.9.9パブリックDNS Quad9パートナー(Equinixなど) · AS15830
NextDNSあなたの設定IDホスティング NextDNS 推定ホスティング事業者(Vultrなど) · AS20473
AdGuard DNS94.140.14.14ホスティング AdGuard 推定ホスティング事業者(Datacamp (CDN77)など) · AS60068
Control D76.76.2.0パブリックDNS Control D地域のホスティング事業者 · AS146943
Pi-holePi-holeのアドレスパブリックDNS Pi-holeの上流、またはUnboundなら自前上流のネットワーク、またはあなた自身のアドレス
「よくある応答元」は1つの回線での例で(ファクトチェック、2026/10/24)、あなたの場合は異なることがあります。ページはこれに頼らず、あなたに対してどのアドレスを使うかを各サービスにDNS over HTTPSで尋ね、尋ねられないサービスは「推定」と表示します。

コマンドラインでDNSリークを確認するには?

nslookup -type=txt whoami.leak.dnsrobot.netを実行してください。当サイトのネームサーバーが、問い合わせてきたDNSサーバー(システムの既定のDNS)のアドレスを応答します。MacではdigがプライマリのDNS設定しか見ないため、dns-sd -q whoami.leak.dnsrobot.net TXTを使います(Ctrl-Cで止めます)。Linuxではresolvectl query --type=TXT whoami.leak.dnsrobot.netです。コマンドパネルでそれぞれコピーできます。

このテストが見るのはブラウザーが使うDNSで、アプリは別の経路を使うことがあります。ChromeやFirefoxでカスタムのセキュア DNSプロバイダーを設定していると、ブラウザーの問い合わせはシステムのDNSではなく、そちらへ送られます。ブラウザーとコマンドの結果が食い違う場合、リークはどちらか一方だけにあります。

末尾に1.1.1.1を付けると、Cloudflareに直接問い合わせます(MacやLinuxではdig @1.1.1.1 TXT whoami.leak.dnsrobot.net +short)。応答はCloudflareのネットワークのアドレスのはずです。それ以外のネットワークのアドレスであれば、1.1.1.1宛てのDNSに何かが応答している強い兆候です。考えられるのは、VPNアプリ(意図的に行うものもあります)、セキュリティソフト、ルーター、プロバイダーです。

Unbound付きのPi-holeのように自前のリゾルバーを運用している場合、応答は自宅のアドレスです。どこかに貼り付ける前に、そのことを覚えておいてください。

ターミナルでの2つの確認Windowsのnslookup、実際の出力形式

1 · システムのDNS

C:\> nslookup -type=txt whoami.leak.dnsrobot.net
Server:  cache2.broadband.example
Address:  203.0.113.53

Non-authoritative answer:
whoami.leak.dnsrobot.net        text =

        "203.0.113.53"

Example BroadbandのDNS:ブラウザーのテストと同じサーバーです。つまりここでは、ブラウザーとシステムは同じ経路を使っています。

自前のリゾルバー(Unbound付きのPi-hole)を運用していますか?その場合、応答はあなた自身のパブリックアドレスになります。

2 · ハイジャックテスト

C:\> nslookup -type=txt whoami.leak.dnsrobot.net 1.1.1.1
Server:  one.one.one.one
Address:  1.1.1.1

Non-authoritative answer:
whoami.leak.dnsrobot.net        text =

        "192.0.2.10"

Cloudflareのアドレス(AS13335):問い合わせは指定どおりCloudflareに届きました。ただし、それだけでは途中に何もないとは言い切れません。プロキシが問い合わせを1.1.1.1へ中継することもあるからです。

もし"203.0.113.53"と表示されていたら:何かがDNSの経路を変えている強い兆候です。考えられるのは、VPNアプリ(意図的に行うものもあります)、セキュリティソフト、ルーター、プロバイダーです。

当サイトのネームサーバーに対するWindowsのnslookupの実際の出力形式を、ドキュメント用のアドレスで示しています。ツールのパネルでは、Windows、macOS、Linux、PowerShell用にこれらのコマンドをコピーできます。

DNSリーク、IPv6リーク、WebRTCリークの違いは?

どれも、VPNを迂回する別々の道です。DNSリークは調べた名前をプロバイダーに見せ、IPv6リークはIPv6の通信を実際のアドレスで送り出し、WebRTCリークはブラウザーのリアルタイム通話機能を通じて、Webサイトにあなたのアドレスを読み取らせます。完全なVPNリークテスト(IPリークテスト)では、この3つすべてを確認します。

このページは、最初の2つを1回の実行で確認します。問い合わせてくるDNSサーバーと、IPv6アドレスがどこから出ているかで、後者は結果の下に専用の行で表示します。WebRTCはDNSを使わないため、専用のWebRTCリークテストがあります。Webサイトに見えるアドレスは自分のIPアドレス確認で、そもそもIPv6のサイトに接続できるかはIPv6接続確認テストで確認できます。

IPv6のDNSリークテストとしても使えますが、制限が1つあります。当サイトのネームサーバーにはIPv4でしか到達できないため、すべてのDNSサーバーはIPv4アドレスで表示されます。デバイスがIPv6で送った問い合わせも捉えられます。それを受け取ったDNSサーバーは、IPv4で当サイトに問い合わせる必要があるからです。まれなIPv6専用のDNSサーバーは当サイトに届かず、何も届かずと表示されます。

VPNを迂回する3つの道1つの接続、3つの確認

VPNトンネル · M247DNSの問い合わせWebRTCIPv6の通信アクセスする名前提示するアドレスあなた自身のアドレストンネルの外:このVPNはIPv4しか運ばないVPNのDNS198.51.100.53 · M247このテストでは確認しないExample Broadband · IPv62001:db8:4a1f:7c00::1cVPNトンネル · M247DNSの問い合わせWebRTCIPv6の通信アクセスする名前提示するアドレスあなた自身のアドレストンネルの外:このVPNはIPv4しか運ばないVPNのDNS198.51.100.53 · M247このテストでは確認しないExample Broadband · IPv62001:db8:4a1f:7c00::1c
  • DNSリーク問い合わせてきたDNSサーバー:このテストの各行です。
  • WebRTCリークブラウザーがWebサイトに伝えうるアドレス:WebRTCリークテストで確認できます。
  • IPv6リークIPv6の通信がどこから出ていくか:このテストの結果の下に専用の行があります。
ツールのIPv6リークの例:DNSはトンネルを通ってVPNのDNSへ向かうためDNSリークはありませんが、このVPNはIPv4しか運ばないため、IPv6はExample Broadbandから出ていきます。WebRTCには専用のテストが必要です。

VPN使用時、DNSリークテストには何が表示されるべきですか?

VPN自身のDNSだけです。VPNまたはそのパートナーのネットワークにあるサーバーで、通常は接続したサーバーの近くにあります。VPNがオンの間、契約中のプロバイダーの名前が表示されることはありません。代わりにWebサイトにどのネットワークが見えているかは、プロバイダー確認でわかります。

説明の仕方はVPN事業者によって異なります。Surfsharkは、SurfsharkのDNSリークテストでは、VPNと同じアドレスのDNSサーバーが1つ表示されるべきだとしています。Proton VPNとWindscribeは、アドレスは異なるが同じ場所にあるとしています。Mullvadは接続中のVPNサーバー上のDNSサーバーを使い、ExpressVPNはすべてのサーバーで独自の暗号化DNSを運用し、NordVPNは2つのDNSアドレスを公開しています。

そのため、ExpressVPN、Mullvad、NordVPNのDNSリークテストも、ほかのVPNのDNSリークテストと同じく、プロバイダーのネットワークにDNSサーバーがなければ、アドレスに関係なく合格です。このテストはアドレスを比較しません。Mullvad自身のルールはより厳しく、Mullvadのもの以外のDNSサーバーはすべてリークとみなされます。

VPNアプリでカスタムDNSを設定すると、状況が変わります。PIAの「Use Existing DNS」やMullvadのカスタムDNSのオプションは、VPN自身のDNSを素通りして問い合わせを送るため、代わりにそのサーバーが表示されます。表は各VPNのヘルプページの記載をまとめたもので、ランキングやおすすめではありません。

7つのVPNが示す、表示されるべきもの各社のヘルプページより

VPN既定で自社のDNSこのテストで表示されるもの公開しているDNSアドレス
Mullvadはい接続中のMullvadサーバー上のDNSサーバー非公開
Proton VPNはいVPNサーバーと同じデータセンターにある、別のアドレスのDNSサーバー。パートナーのものの場合もある10.2.0.1
NordVPNはいNordVPN自社のDNSサーバー103.86.96.100103.86.99.100
Surfsharkはい同じ場所にある1つのDNSサーバー。Surfsharkによると、IPアドレスとDNSアドレスは一致する非公開
ExpressVPNはいExpressVPN自社の暗号化DNS。同社のすべてのサーバーで動作非公開
Private Internet AccessはいPIAのDNS(アプリの既定)10.0.0.24210.0.0.243
Windscribeはい同じ国にある自社のDNS。通常、VPNのアドレスとまったく同じではない10.255.255.x
各VPNのヘルプページより、2026/10/24に確認。各社のルールは異なる(Surfshark:同じアドレス、ProtonとWindscribe:同じ場所の別のアドレス)ため、このテストはアドレスを比較しません。プロバイダーのネットワークにDNSサーバーがなければ、リークはありません。

DNSリークテスト:よくある質問

DNSリーク(DNS漏洩)とは何ですか?危険ですか?

DNSリークとは、VPNを使っている間に、契約中のプロバイダーのDNSサーバーが問い合わせに応答することです。プライバシーのためにVPNを使っているなら問題です。通信はトンネルを通っていても、調べたサイト名がすべてプロバイダーに見えてしまいます。VPNを使っていなければ、プロバイダーのDNSは通常の経路で、リークではありません。どちらの状況かは、このテストでわかります。

DNSがリークすると、プロバイダーに閲覧内容が見えますか?

調べたサイトの名前(example.comなど)と、その時刻が見えます。ページの内容や入力した文字はHTTPSで暗号化されるため見えません。正しく機能するVPNなら、見えるのはトンネルだけです。DNSリークがあると、再び名前が見えるようになります。Webサイト自体がHTTPSを使っていても、通常のDNSは暗号化されないからです(RFC 9076)。

VPNでDNSリークは防げますか?

優れたVPNアプリは、すべての問い合わせをトンネル内の自社のDNSへ送ることで防ぎます。ただし、DNS漏洩防止機能がオンで、デバイス上の何かがそれを上書きしていないことが条件です。Windowsのネットワークアダプター、IPv6、ブラウザーのカスタムのセキュア DNSプロバイダー、Androidのプライベート DNSは、それでも問い合わせを別の場所へ送ることがあります。接続後にテストを実行して確認してください。

テストで別の国のDNSサーバーが表示されるのはなぜですか?

DNSサービスは多数の拠点のうち最寄りのものから応答し、その拠点は、別の国で登録されたアドレスやパートナーのネットワークから、ほかのネームサーバーに問い合わせることがあります。VPNのDNSが近隣のデータセンターにあることもあります。別の国というだけでリークになることはありません。重要なのは誰のサーバーかで、それは各行のラベルでわかります。

設定していないのにGoogleやCloudflareが表示されるのはなぜですか?

デバイスやネットワーク上の何かが、問い合わせをそこへ送っています。ブラウザーのカスタムのセキュア DNS、ルーターの設定、VPNアプリ、DNSアプリなどです。システムのDNSが1.1.1.1や8.8.8.8なら、Chromeはポート53しか捕まえないVPNを素通りして、HTTPSでそのサービスを使い続けることがあります。どれもそれだけではリークではなく、VPN使用中なら、問い合わせはあなたのアドレスではなくVPNのアドレスから届きます。

DNSサーバーが1つも見つかりませんでした。リークはないということですか?

いいえ。「何も届かず」は、当サイトのネームサーバーに問い合わせてきたDNSサーバーがないことを意味します。通常は、広告ブロッカー、Pi-holeのリスト、フィルタリングDNS、ネットワークのブロックがテストの名前を止めたためで、テストからはあなたのDNSがまったく見えません。*.leak.dnsrobot.netを許可してもう一度テストするか、拡張テストをお試しください。空の結果を合格として扱うことはありません。

このDNSリークテストのプライバシーは守られますか?

テストは、当サイト独自のドメインの下にあるランダムな名前を問い合わせます。当サイトのネームサーバーは、問い合わせてきたDNSサーバーを10分間メモリ内に保持した後、忘れます。もう一方のアドレスを読み取り、パブリックDNSサービスを特定するため、ブラウザーはipifyといくつかのDNSサービスにも1〜2回問い合わせるので、それらにはあなたのIPアドレスが見えます。あなたについて渡されたサブネットは、あなたにだけ表示されます。前回の結果はブラウザー内に保存され、消去できます。

IPv6リークとは何ですか?このテストで確認できますか?

IPv6リークとは、VPNがIPv4の通信を運んでいるのに、IPv6の通信が実際のIPv6アドレスのまま、プロバイダー経由で出ていくことです。このテストは、IPv6アドレスがどこから出ているかを同じ実行で確認し、専用の行に表示します。対策は、VPNアプリのIPv6漏洩防止機能か、IPv6を運ぶVPNです。IPv6を無効にすることはMicrosoftが推奨していません。

DNS over HTTPSでDNSリークは防げますか?

DoHが問い合わせを隠すのはネットワークからで、送り先のDNS事業者からではありません。そのため、CloudflareやNextDNSのようなDoHサービスは、プロバイダーへのリークにはなりません。ブラウザーにカスタムのDoHプロバイダーを設定すると、VPNのDNSは素通りされます。Chromeの自動モードは現在のプロバイダーを使い続け、FirefoxがDoHを既定でオンにするのは米国、カナダ、ロシア、ウクライナだけで、VPNがあれば身を引きます。

VPNなしでもDNSリークは起きますか?

通常の意味では起きません。VPNがなければ、プロバイダーのDNSは通常の経路です。起こりうるのは、1.1.1.1のように自分で選んだDNSが実際には応答していないケースで、ルーター、アプリ、プロバイダーが設定を上書きしているか、ポート53の経路を変えています。「何を確認しますか?」でそのサービスを選べば、それが実際に応答しているかを判定します。

AndroidやiPhoneでDNSリークを修正するには?

Androidでは、VPNを使う間はプライベート DNSをオフにしてください。プライベート DNSのホスト名を設定すると、すべての問い合わせがVPNではなくそのプロバイダーへ送られます。iPhoneでは、暗号化DNSのプロファイルやアプリはオンにするとシステム全体に適用されるため、使わなくなったものは削除してください。iCloud Private Relayがオンだと、Safariの問い合わせはAppleのリレーパートナーが行うため、そのサーバーが表示されます。VPNはPrivate Relayより優先されます。

DNSリークはどのくらいの頻度でテストすべきですか?

VPNアプリをインストールまたは更新した後、DNSの設定を変えた後、そして自宅のWi-Fiからカフェやモバイルデータに切り替えるなど、ネットワークを変えるたびです。ネットワークはそれぞれ独自のDNSを割り当て、切れたVPNは一瞬それに戻ることがあります。ページは前回の結果をブラウザー内に保存するので、新しいテストのたびに、変わったDNSサーバーがわかります。

足りないものはありますか?機能や新しいツールを提案する