Проверка утечки DNS (DNS Leak Test)

Что такое утечка DNS?

Каждый раз, когда вы открываете сайт, устройство сначала просит DNS-сервер превратить имя (example.com) в IP-адрес. Тот, кто управляет этим сервером, видит каждый домен, который вы запрашиваете.

VPN должен отправлять эти запросы через зашифрованный туннель на DNS-серверы, которые он контролирует. Утечка DNS происходит, когда запросы уходят куда-то ещё, обычно напрямую вашему интернет-провайдеру. Трафик скрыт, но провайдер всё равно получает список всех сайтов, которые вы посещаете, и обещанная VPN приватность незаметно перестаёт работать.

Как работает эта проверка утечки DNS

Что означает ваш результат

Стандартная или расширенная проверка утечки DNS?

Стандартный тест отправляет 6 запросов и занимает несколько секунд. Этого достаточно, чтобы увидеть, какой провайдер обрабатывает ваш DNS.

Расширенный тест отправляет 36 запросов в шесть раундов. Крупные провайдеры отвечают из пулов с множеством серверов, а некоторые утечки проявляются лишь время от времени, например когда Windows отправляет один и тот же запрос через все сетевые адаптеры сразу. Запустите расширенный тест, прежде чем доверять VPN что-то важное.

Почему возникает утечка DNS?

• VPN не обрабатывает DNS. Некоторые VPN-приложения и многие ручные настройки OpenVPN или WireGuard поднимают туннель, но оставляют системные настройки DNS направленными на роутер или провайдера.

• Windows опрашивает все адаптеры. Начиная с Windows 8, функция «smart multi-homed name resolution» отправляет каждый запрос на DNS-серверы всех сетевых адаптеров одновременно и берёт самый быстрый ответ, а он может прийти от провайдера.

• IPv6 вне туннеля. Если VPN туннелирует только IPv4, запросы по IPv6 могут попадать прямо на резолвер провайдера. Проверьте это нашим тестом IPv6 при подключённом VPN.

• Безопасный DNS в браузере. Chrome, Edge и Firefox могут отправлять запросы через DNS over HTTPS в Cloudflare, Google или другому провайдеру, игнорируя DNS-серверы VPN.

• DNS задан в роутере или вручную. Фиксированный DNS-сервер в настройках роутера или сети может переопределять VPN, в зависимости от того, как работает VPN-приложение.

• Прозрачные DNS-прокси. Некоторые провайдеры перехватывают все DNS-запросы на порт 53 и отвечают на них сами, даже если вы выбрали другой DNS-сервер.

Как устранить утечку DNS

• Включите защиту от утечек DNS в VPN и kill switch. В большинстве хороших VPN-приложений есть и то и другое; убедитесь, что приложение использует собственные DNS-серверы, и запустите тест снова.

• Windows Pro и Enterprise: откройте gpedit.msc → Конфигурация компьютера → Административные шаблоны → Сеть → DNS-клиент и включите политику «Turn off smart multi-homed name resolution». В Windows Home задайте параметру DWORD DisableSmartNameResolution значение 1 в разделе HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient.

• Отключите Teredo, если он вам не нужен: выполните netsh interface teredo set state disabled в командной строке от имени администратора.

• Решите проблему с IPv6: используйте VPN, который туннелирует IPv6, или отключите IPv6 на сетевом адаптере, пока VPN подключён.

• Проверьте безопасный DNS в браузере: в Chrome откройте Настройки → Конфиденциальность и безопасность → Безопасность → «Использовать безопасный DNS»; в Firefox — Настройки → Приватность и защита → «DNS через HTTPS». Отключите его или укажите резолвер вашего VPN, если хотите, чтобы DNS обрабатывал VPN.

• Очистите кэш DNS после любых изменений, чтобы старые ответы не сохранялись: см. как очистить кэш DNS в Windows, macOS, Linux и браузерах.

Проверьте свой DNS-сервер из командной строки

Узнать, какой DNS-сервер использует ваш компьютер, можно и без браузера. Наш сервер имён отвечает на специальное имя whoami.leak.dnsrobot.net IP-адресом сервера, который его запросил:

Почему я вижу незнакомые серверы?

Мы видим сервер, который обратился к нашему серверу имён, то есть последний в цепочке. Если роутер или локальный резолвер пересылает запросы дальше, в результате будет вышестоящий провайдер, а не ваш роутер.

Крупные публичные резолверы используют anycast: Cloudflare, Google и Quad9 отвечают из ближайших к вам дата-центров, и один запрос может обработать машина в соседней стране. Сервер в неожиданной стране сам по себе не означает утечку. Важно, кто им управляет.

Утечки DNS, WebRTC и IPv6

VPN может выдать вас тремя основными способами, и для каждого нужна своя проверка:

Другие инструменты для приватности и DNS

Ещё бесплатные инструменты, чтобы увидеть, что раскрывает ваше подключение и насколько быстро работает ваш DNS: