DNS-утечки: почему VPN включён, а провайдер всё равно видит ваши сайты

Можно пользоваться хорошим VPN и всё равно оставлять провайдеру полный список посещённых сайтов. Виной тому DNS.

Как это происходит

Прежде чем открыть сайт, устройство спрашивает: «какой IP у example.com?» Этот вопрос идёт на DNS-сервер. Если он уходит мимо туннеля — например, на сервер провайдера, прописанный роутером, — то провайдер видит всё, что вы собираетесь открыть. Содержимое при этом остаётся зашифрованным, но список адресов известен.

Для блокировок и статистики этого более чем достаточно.

Почему туннель не всегда спасает

• Система игнорирует настройки VPN. Windows умеет отправлять запросы на все доступные интерфейсы сразу и брать первый ответ
• Раздельное туннелирование настроено небрежно. Трафик делится, а DNS — нет
• Клиент не задаёт свой DNS. Тогда используется системный
• IPv6. Туннель поднят для IPv4, а запросы по IPv6 уходят напрямую

Как проверить за минуту

Включите VPN и откройте любой сервис проверки утечек — их легко найти по запросу «dns leak test». Смотрите на список серверов в результате: если там ваш провайдер или серверы в вашем городе, значит утечка есть. Должны отображаться серверы страны, к которой вы подключились.

Как закрыть

Задайте DNS в клиенте. В v2rayNG, Happ и подобных есть поле для DNS — пропишите 1.1.1.1 или 8.8.8.8, и запросы пойдут через туннель.

Включите DNS over HTTPS в браузере. Firefox: Настройки → Приватность → DNS через HTTPS. Chrome: Безопасность → Использовать защищённый DNS. Это шифрует сами запросы, и даже при утечке их не прочитать.

Отключите IPv6, если ваш VPN его не поддерживает — иначе часть трафика пойдёт в обход.

Проверяйте утечку после каждой смены клиента или крупного обновления системы. Настройки имеют свойство сбрасываться.

В наших профилях DNS прописан явно и ходит через туннель — отдельно настраивать ничего не нужно. Но если вы собираете конфигурацию руками, этот момент легко упустить.

Читайте также