Un guide des tests de fuite DNS
Votre trafic web utilise un VPN. La résolution de noms suit-elle l'itinéraire que vous souhaitiez ? Commencez par les résolveurs réellement observés.
Qu'est-ce qu'une fuite DNS ?
Le DNS traduit les noms de domaine en adresses réseau. Une fuite DNS signifie généralement qu'une requête utilise un résolveur non prévu, comme le DNS d'un fournisseur d'accès, alors que vous attendiez qu'un VPN ou un service DNS choisi la traite.
Une sortie web et un résolveur DNS ont des rôles différents. Leurs adresses IP et leurs pays ne doivent pas nécessairement correspondre. Voir un service public comme Google ou Cloudflare ne prouve pas en soi une fuite ni un chemin protégé par VPN.
Comparez l'itinéraire observé avec votre configuration prévue.
Que signifient les résultats DNS ?
Les libellés utilisent les organisations de résolveurs et les signaux du réseau de sortie. Le navigateur ne peut pas inspecter votre tunnel VPN ni la configuration DNS du système d'exploitation.
- Fuite DNS possible
- La sortie présente un signal VPN, proxy ou Tor alors qu'un résolveur de type fournisseur d'accès est observé. Examinez la gestion DNS et le split tunneling. C'est une piste à investiguer, pas une inspection directe du trafic dans le tunnel.
- Aucune fuite évidente trouvée
- Les résolveurs observés correspondent à des organisations DNS publiques reconnues sans déclencher la règle du fournisseur d'accès. Confirmez que ces services sont bien ceux prévus. Cela n'établit pas que chaque requête DNS est passée par un VPN.
- Non vérifié
- La propriété du résolveur ou les preuves de routage sont insuffisantes. Les résolveurs privés, les redirecteurs d'entreprise et les organisations hors des règles d'identification peuvent produire ce résultat.
- Aucune requête observée
- Le test n'a reçu aucune observation de résolveur exploitable. Des restrictions réseau, des échecs de résolution ou un service de test indisponible peuvent en être la cause. L'absence d'enregistrement ne prouve pas l'absence de fuite.
Quatre étapes pour vérifier votre chemin DNS
Établissez d'abord la configuration prévue. Modifiez un paramètre à la fois pour que la comparaison reste utile.
Identifiez le service prévu
Examinez les paramètres DNS du VPN, du routeur, du système d'exploitation et du navigateur. La fonction DNS sécurisé d'un navigateur peut volontairement utiliser un fournisseur distinct.
Comparez avant et après
Le cas échéant, comparez les organisations de résolveurs et la sortie web avec le VPN déconnecté et connecté. Ne vous fiez pas uniquement aux drapeaux de pays : un même service peut utiliser plusieurs adresses IP et emplacements.
Examinez le DNS et le split tunneling
Vérifiez la protection DNS, l'IPv6 et les paramètres de split tunneling du VPN. Une extension qui proxifie les requêtes web peut ne pas contrôler les résolutions du système d'exploitation ou d'autres applications.
Refaites le test et vérifiez par recoupement
Relancez le test après les modifications, puis vérifiez WebRTC séparément. Sur les réseaux gérés, suivez la politique de l'administrateur plutôt que de désactiver le DNS sécurisé uniquement pour changer un libellé.
Comment CHA.LA effectue-t-il cette vérification ?
La page crée une session de test DNS éphémère, demande des noms spécifiques à la session et lit les adresses des résolveurs récursifs enregistrées par le service d'observation. Ces adresses identifient les résolveurs qui interrogent le service, pas nécessairement l'adresse affichée dans les paramètres de votre appareil.
Les règles comparent ensuite les noms d'organisations de résolveurs avec les signaux VPN, proxy et Tor de la sortie actuelle. Une simple requête PTR, CNAME ou d'enregistrement de domaine ne peut pas remplacer cette observation spécifique à la connexion.
Questions fréquemment posées
DNS public, routage VPN, DNS chiffré et différences entre les résultats.
Le DNS Google ou Cloudflare indique-t-il une fuite ?
Pas nécessairement. Les VPN, le DNS sécurisé du navigateur et les routeurs peuvent volontairement utiliser un résolveur public. Les questions importantes sont de savoir si ce choix est prévu et si la requête suit l'itinéraire choisi. Un nom de fournisseur ne peut pas révéler tout le chemin de connexion.
Le DNS peut-il être dans un pays différent de mon VPN ?
Oui. L'Anycast, le transfert et des points de sortie distincts peuvent produire des emplacements différents, et la géolocalisation IP peut être inexacte. Examinez l'organisation, la documentation du fournisseur et les changements entre les tests plutôt que de considérer une discordance de pays comme une preuve de fuite.
Pourquoi plusieurs résolveurs sont-ils listés ?
L'équilibrage de charge, les multiples serveurs en amont, IPv4/IPv6 et le transfert peuvent produire plusieurs sources de requêtes au cours d'un même test. Le nombre n'est pas un score de risque. Vérifiez si chaque source appartient au service que vous aviez l'intention d'utiliser.
DoH ou DoT garantit-il que le DNS ne peut pas fuiter ?
Non. Ils chiffrent un segment de connexion vers un service DNS. Le fournisseur qui traite la requête, le passage ou non de la connexion par un VPN et le partage de ce paramètre par d'autres applications sont des questions distinctes.
Pourquoi les résolveurs sont-ils visibles en navigation privée ?
La navigation privée modifie principalement l'historique local, les cookies et le comportement de stockage de session. Elle ne redirige pas intrinsèquement le DNS ni toutes les connexions réseau, de sorte que les sources de requêtes peuvent encore être observées.
En quoi cela diffère-t-il d'un outil de résolution DNS ?
Un outil de résolution DNS demande des enregistrements tels que CNAME ou PTR. Ce test utilise des noms spécifiques à la session pour observer quels résolveurs traitent les résolutions de la connexion actuelle. L'un vérifie un enregistrement ; l'autre observe une source de requête.