Утечка DNS: что это такое и почему это важно с VPN

Прежде чем открыть сайт, браузер спрашивает у DNS-резолвера его адрес. С VPN эти запросы тоже должны идти через туннель. Когда они идут к вашему интернет-провайдеру, это утечка DNS: VPN прячет ваш трафик, но провайдер все равно видит, какие сайты вы ищете.

Проверьте свой браузер прямо сейчас

Проверяю браузер…

Как работает DNS коротко

Устройство отправляет каждое имя, например example.com, резолверу, обычно тому, который выдает провайдер или роутер. Резолвер находит адрес и запоминает ваш запрос. Тот, кто управляет резолвером, видит список сайтов, которые вы посещаете, а владельцы сайтов видят, какой резолвер спрашивал от вашего имени.

Как работает тест на утечку DNS

Тестовая страница заставляет браузер запросить несколько случайных, никогда не использованных имен в домене, сервер имен которого контролирует тестировщик. Этот сервер записывает, какие резолверы спрашивали. Если резолверы принадлежат вашему провайдеру, а не VPN, у вас утечка DNS. Поэтому для теста на утечку DNS нужен собственный сервер имен, в отличие от большинства проверок браузера.

Почему VPN пропускает DNS

Операционная система продолжает пользоваться резолвером роутера или провайдера вместо того, что задает VPN.
Трафик IPv6, в том числе DNS через IPv6, идет вне туннеля, который обрабатывает только IPv4.
Раздельное туннелирование пускает часть трафика, иногда и DNS, мимо VPN.
Некоторые версии Windows отправляют DNS-запросы сразу через все сетевые адаптеры, чтобы быстрее получить ответ.
Расширения для браузера, которые продают как VPN, проксируют только трафик браузера, а поиск имен может по-прежнему идти через системный резолвер.

Шифрованный DNS в браузерах

Firefox, Chrome и другие браузеры умеют пользоваться DNS over HTTPS. Тогда запросы идут зашифрованными к выбранному вами DoH-провайдеру, а не к интернет-провайдеру. Это прячет их от провайдера, но это все равно третья сторона, и это не то же самое, что пускать DNS через VPN. Тест на утечку покажет резолверы DoH-провайдера.

Как устранить утечку

Пользуйтесь VPN-приложением, которое пропускает весь трафик и имеет включенную защиту от утечки DNS.
Если ваш VPN не поддерживает IPv6, убедитесь, что трафик IPv6 блокируется или туннелируется, а не идет мимо VPN.
Отключите раздельное туннелирование для приложений, которые хотите защитить.
Проверьте еще раз после изменений: запустите тест на утечку DNS с включенным VPN и сравните резолверы с провайдерскими.

Почему это важно сайтам

Для антифрод-систем резолвер - еще один сигнал расположения. Подключение с VPN в одной стране с DNS-резолверами провайдера из другой вписывается в картину человека, который скрывает, где он. Как и другие сигналы, это подсказка, а не доказательство.

Тестирует ли SpoofLens утечку DNS?

Пока нет: для этого нужен отдельный сервер имен, который записывает запросы, и это запланировано в следующей версии. Сегодня SpoofLens показывает другую половину картины: сеть вашего IP, принадлежит ли она VPN или дата-центру, часовой пояс против страны IP и WebRTC. Если тест на утечку DNS нужен уже сейчас, он есть в BrowserLeaks.

Частые вопросы

Опасна ли утечка DNS?: Она показывает вашему провайдеру, какие сайты вы ищете, и раскрывает сайтам ваше реальное расположение. Сам трафик по-прежнему идет через VPN.
Защищает ли режим инкогнито от утечки DNS?: Нет. Приватный режим только не дает браузеру сохранять историю и cookie на вашем устройстве.
Заменяет ли шифрованный DNS VPN?: Нет. Он прячет запросы от провайдера, но не прячет ваш IP и трафик от сайтов, которые вы посещаете.