Витік DNS: що це таке і чому це важливо з VPN
Перш ніж відкрити сайт, браузер питає в DNS-резолвера його адресу. З VPN ці запити теж мають іти через тунель. Коли вони йдуть до вашого інтернет-провайдера, це витік DNS: VPN ховає ваш трафік, але провайдер усе одно бачить, які сайти ви шукаєте.
Перевірте свій браузер просто зараз
Перевіряю браузер…
Як працює DNS коротко
Пристрій надсилає кожне імʼя, наприклад example.com, резолверу, зазвичай тому, який видає провайдер чи роутер. Резолвер знаходить адресу й запамʼятовує ваш запит. Той, хто керує резолвером, бачить список сайтів, які ви відвідуєте, а власники сайтів бачать, який резолвер питав від вашого імені.
Як працює тест на витік DNS
Тестова сторінка змушує браузер запитати кілька випадкових, ніколи не використаних імен у домені, сервер імен якого контролює тестувальник. Цей сервер записує, які резолвери питали. Якщо резолвери належать вашому провайдеру, а не VPN, у вас витік DNS. Тому для тесту на витік DNS потрібен власний сервер імен, на відміну від більшості перевірок браузера.
Чому VPN пропускає DNS
- Операційна система продовжує користуватися резолвером роутера чи провайдера замість того, що задає VPN.
- Трафік IPv6, зокрема DNS через IPv6, іде поза тунелем, який обробляє лише IPv4.
- Роздільне тунелювання пускає частину трафіку, іноді й DNS, поза VPN.
- Деякі версії Windows надсилають DNS-запити одразу через усі мережеві адаптери, щоб швидше отримати відповідь.
- Розширення для браузера, які продають як VPN, проксують лише трафік браузера, а пошук імен може й далі йти через системний резолвер.
Шифрований DNS у браузерах
Firefox, Chrome та інші браузери вміють користуватися DNS over HTTPS. Тоді запити йдуть зашифрованими до обраного вами DoH-провайдера, а не до інтернет-провайдера. Це ховає їх від провайдера, але це все одно третя сторона, і це не те саме, що пускати DNS через VPN. Тест на витік покаже резолвери DoH-провайдера.
Як усунути витік
- Користуйтеся VPN-застосунком, що пропускає весь трафік і має ввімкнений захист від витоку DNS.
- Якщо ваш VPN не підтримує IPv6, переконайтеся, що трафік IPv6 блокується або тунелюється, а не йде повз VPN.
- Вимкніть роздільне тунелювання для застосунків, які хочете захистити.
- Перевірте ще раз після змін: запустіть тест на витік DNS з увімкненим VPN і порівняйте резолвери з провайдерськими.
Чому це важливо сайтам
Для антифрод-систем резолвер - ще один сигнал розташування. Підключення з VPN в одній країні з DNS-резолверами провайдера з іншої вписується в картину людини, яка приховує, де вона. Як і інші сигнали, це підказка, а не доказ.
Чи тестує SpoofLens витік DNS?
Поки ні: для цього потрібен окремий сервер імен, що записує запити, і це заплановано в наступній версії. Сьогодні SpoofLens показує іншу половину картини: мережу вашого IP, чи належить вона VPN або дата-центру, часовий пояс проти країни IP і WebRTC. Якщо тест на витік DNS потрібен уже зараз, він є в BrowserLeaks.
Часті запитання
- Чи небезпечний витік DNS?
- Він показує вашому провайдеру, які сайти ви шукаєте, і розкриває сайтам ваше реальне розташування. Сам трафік і далі йде через VPN.
- Чи захищає режим інкогніто від витоку DNS?
- Ні. Приватний режим лише не дає браузеру зберігати історію й cookie на вашому пристрої.
- Чи замінює шифрований DNS VPN?
- Ні. Він ховає запити від провайдера, але не ховає ваш IP і трафік від сайтів, які ви відвідуєте.