Ein Leitfaden zum DNS-Leak-Test
Ihr Webverkehr verwendet ein VPN. Folgt die Namensauflösung der von Ihnen beabsichtigten Route? Beginnen Sie mit den tatsächlich beobachteten Resolvern.
Was ist ein DNS-Leak?
DNS übersetzt Domainnamen in Netzwerkadressen. Ein DNS-Leak bedeutet in der Regel, dass eine Abfrage einen unbeabsichtigten Resolver verwendet, z. B. den DNS eines Zugangsanbieters, obwohl Sie erwartet haben, dass ein VPN oder ein gewählter DNS-Dienst diese Aufgabe übernimmt.
Ein Web-Exit und ein DNS-Resolver haben unterschiedliche Aufgaben. Ihre IP-Adressen und Länder müssen nicht übereinstimmen. Allein der Anblick eines öffentlichen Dienstes wie Google oder Cloudflare ist weder ein Beweis für einen Leak noch für einen VPN-geschützten Pfad.
Vergleichen Sie die beobachtete Route mit Ihrer beabsichtigten Konfiguration.
Was bedeuten die DNS-Ergebnisse?
Die Labels basieren auf Resolver-Organisationen und Exit-Netzwerk-Signalen. Der Browser kann weder Ihren VPN-Tunnel noch die DNS-Konfiguration des Betriebssystems einsehen.
- Möglicher DNS-Leak
- Der Exit weist ein VPN-, Proxy- oder Tor-Signal auf, während ein Resolver vom Typ Zugangsanbieter beobachtet wird. Überprüfen Sie DNS-Verarbeitung und Split-Tunneling. Dies ist ein zu untersuchender Hinweis, keine direkte Prüfung des Datenverkehrs innerhalb des Tunnels.
- Kein offensichtlicher Leak gefunden
- Die beobachteten Resolver stimmen mit anerkannten öffentlichen DNS-Organisationen überein, ohne die Zugangsanbieter-Regel auszulösen. Bestätigen Sie, dass diese Dienste beabsichtigt sind. Dies belegt nicht, dass jede DNS-Anfrage über ein VPN lief.
- Nicht verifiziert
- Die Eigentümerschaft des Resolvers oder die Routenbelege sind unzureichend. Private Resolver, Unternehmens-Forwarder und Organisationen außerhalb der Identifikationsregeln können zu diesem Ergebnis führen.
- Keine Abfragen beobachtet
- Der Test hat keine verwertbare Resolver-Beobachtung erhalten. Netzwerkbeschränkungen, fehlgeschlagene Abfragen oder ein nicht verfügbarer Testdienst können dies verursachen. Kein Datensatz ist kein Beweis für das Fehlen eines Lecks.
Vier Schritte zur Überprüfung Ihres DNS-Pfads
Stellen Sie zunächst die beabsichtigte Konfiguration fest. Ändern Sie jeweils nur eine Einstellung, damit der Vergleich aussagekräftig bleibt.
Identifizieren Sie den beabsichtigten Dienst
Überprüfen Sie die DNS-Einstellungen in VPN, Router, Betriebssystem und Browser. Die Secure-DNS-Funktion eines Browsers kann absichtlich einen separaten Anbieter verwenden.
Vorher und nachher vergleichen
Vergleichen Sie gegebenenfalls die Resolver-Organisationen und den Web-Exit mit getrenntem und verbundenem VPN. Verlassen Sie sich nicht nur auf Länderflaggen: Ein Dienst kann mehrere IPs und Standorte verwenden.
DNS und Split-Tunneling überprüfen
Prüfen Sie die DNS-Schutz-, IPv6- und Split-Tunnel-Einstellungen des VPN. Eine Erweiterung, die Web-Anfragen über einen Proxy leitet, kontrolliert möglicherweise nicht die Abfragen des Betriebssystems oder anderer Anwendungen.
Erneut testen und gegenprüfen
Führen Sie den Test nach Änderungen erneut aus und prüfen Sie WebRTC separat. Befolgen Sie in verwalteten Netzwerken die Richtlinien des Administrators, statt Secure DNS nur zu deaktivieren, um ein Label zu ändern.
Wie führt CHA.LA diese Prüfung durch?
Die Seite erstellt eine kurzlebige DNS-Testsitzung, fordert sitzungsspezifische Namen an und liest die vom Beobachtungsdienst aufgezeichneten Adressen der rekursiven Resolver. Diese Adressen identifizieren die Resolver, die den Dienst abfragen, nicht unbedingt die in Ihren Geräteeinstellungen angezeigte Adresse.
Anschließend vergleichen Regeln die Namen der Resolver-Organisationen mit VPN-, Proxy- und Tor-Signalen für den aktuellen Exit. Eine gewöhnliche PTR-, CNAME- oder Domain-Record-Abfrage kann diese verbindungsspezifische Beobachtung nicht ersetzen.
Häufig gestellte Fragen
Öffentliches DNS, VPN-Routing, verschlüsseltes DNS und Unterschiede zwischen den Ergebnissen.
Deutet Google- oder Cloudflare-DNS auf einen Leak hin?
Nicht unbedingt. VPNs, Secure DNS im Browser und Router können absichtlich einen öffentlichen Resolver verwenden. Entscheidend ist, ob diese Wahl beabsichtigt ist und ob die Anfrage Ihrer gewählten Route folgt. Ein Anbietername kann nicht den gesamten Verbindungspfad offenlegen.
Kann sich DNS in einem anderen Land als mein VPN befinden?
Ja. Anycast, Weiterleitung und getrennte Ausgangspunkte können unterschiedliche Standorte ergeben, und IP-Geolokalisierung kann ungenau sein. Prüfen Sie Organisation, Anbieterdokumentation und Änderungen zwischen Tests, statt einen Ländercode-Unterschied als Beweis für ein Leck zu behandeln.
Warum werden mehrere Resolver aufgelistet?
Lastverteilung, mehrere Upstreams, IPv4/IPv6 und Weiterleitung können während eines Tests mehrere Abfragequellen erzeugen. Die Anzahl ist kein Risikowert. Prüfen Sie, ob jede Quelle zu dem Dienst gehört, den Sie nutzen wollten.
Garantiert DoH oder DoT, dass DNS nicht leaken kann?
Nein. Sie verschlüsseln einen Verbindungsabschnitt zu einem DNS-Dienst. Welcher Anbieter die Auflösung übernimmt, ob die Verbindung über ein VPN läuft und ob andere Anwendungen diese Einstellung teilen, sind getrennte Fragen.
Warum sind Resolver im privaten Modus sichtbar?
Der private Modus ändert hauptsächlich lokalen Verlauf, Cookies und Sitzungsspeicher. Er leitet DNS oder jede Netzwerkverbindung nicht grundsätzlich um, daher können Abfragequellen weiterhin beobachtet werden.
Wie unterscheidet sich das von einem DNS-Lookup-Tool?
Ein DNS-Lookup-Tool fragt Datensätze wie CNAME oder PTR ab. Dieser Test verwendet sitzungsspezifische Namen, um zu beobachten, welche Resolver die Lookups der aktuellen Verbindung bearbeiten. Das eine prüft einen Datensatz, das andere beobachtet eine Abfragequelle.