DNSリークテストの手引き
WebトラフィックがVPNを経由しています。名前解決は意図した経路をたどっていますか？実際に観測されたリゾルバから確認しましょう。
DNSリークとは？
DNSはドメイン名をネットワークアドレスに変換します。DNSリークとは通常、VPNまたは選択したDNSサービスが処理すべきところを、アクセスプロバイダのDNSなど意図しないリゾルバがルックアップに使用されることを意味します。
Web出口とDNSリゾルバは役割が異なります。IPアドレスや国が一致する必要はありません。GoogleやCloudflareなどのパブリックサービスが表示されること自体は、リークの証拠でもVPNで保護された経路の証明でもありません。
観測された経路を意図した設定と比較してください。
DNS結果の意味
ラベルはリゾルバ組織と出口ネットワークのシグナルを使用します。ブラウザはVPNトンネルやOSのDNS設定を検査できません。
- DNSリークの可能性
- 出口にVPN、プロキシ、Torのシグナルがあり、アクセスプロバイダ型のリゾルバが観測されています。DNS処理とスプリットトンネリングを確認してください。これは調査の手がかりであり、トンネル内のトラフィックを直接検査するものではありません。
- 明らかなリークは見つかりません
- 観測されたリゾルバは認識されたパブリックDNS組織と一致し、アクセスプロバイダのルールをトリガーしません。それらのサービスが意図したものであることを確認してください。これはすべてのDNSリクエストがVPNを通過したことを示すものではありません。
- 未確認
- リゾルバの所有情報または経路の証拠が不十分です。プライベートリゾルバ、エンタープライズフォワーダ、識別ルール外の組織がこの結果になることがあります。
- クエリは観測されませんでした
- テストで使用可能なリゾルバの観測結果が得られませんでした。ネットワーク制限、ルックアップ失敗、テストサービスの利用不可が原因となり得ます。記録がないことはリークがないことの証明にはなりません。
DNS経路を確認する4つのステップ
まず意図した設定を明確にします。比較を有効に保つため、一度に1つの設定だけを変更してください。
意図したサービスを特定する
VPN、ルータ、OS、ブラウザのDNS設定を確認します。ブラウザのセキュアDNS機能は意図的に別のプロバイダを使用する場合があります。
接続前後を比較する
適切な場合、VPN切断時と接続時でリゾルバ組織とWeb出口を比較します。国旗だけに頼らないでください。1つのサービスが複数のIPと場所を使用することがあります。
DNSとスプリットトンネリングを確認する
VPNのDNS保護、IPv6、スプリットトンネル設定を確認します。Webリクエストをプロキシする拡張機能は、OSや他のアプリケーションのルックアップを制御しない場合があります。
再テストと相互チェック
変更後にテストを再実行し、WebRTCを別途確認します。管理対象ネットワークでは、ラベルを変えるためだけにセキュアDNSを無効にするのではなく、管理者のポリシーに従ってください。
CHA.LAはこのチェックをどのように実行しますか？
このページは短時間有効なDNSテストセッションを作成し、セッション固有の名前をリクエストして、観測サービスが記録した再帰リゾルバのアドレスを読み取ります。これらのアドレスはサービスにクエリを送ったリゾルバを識別するもので、デバイス設定に表示されるアドレスとは限りません。
ルールは次にリゾルバ組織名を現在の出口のVPN、プロキシ、Torシグナルと比較します。通常のPTR、CNAME、ドメインレコードのルックアップでは、この接続固有の観測を置き換えることはできません。
よくある質問
パブリックDNS、VPNルーティング、暗号化DNS、結果の違いについて。
GoogleやCloudflareのDNSはリークを示しますか？
必ずしもそうではありません。VPN、ブラウザのセキュアDNS、ルータが意図的にパブリックリゾルバを使用する場合があります。重要なのは、その選択が意図されたものか、リクエストが選択した経路を通っているかです。プロバイダ名だけで接続経路全体を明らかにすることはできません。
DNSがVPNと異なる国にあってもよいですか？
はい。エニーキャスト、フォワーディング、独立したエグレスポイントにより異なる場所が表示されることがあり、IPジオロケーションは不正確な場合があります。国が一致しないことをリークの証拠とみなすのではなく、組織、プロバイダーのドキュメント、テスト間の変化を確認してください。
複数のリゾルバが表示されるのはなぜですか？
ロードバランシング、複数のアップストリーム、IPv4/IPv6、フォワーディングにより、1回のテストで複数のクエリソースが発生する可能性があります。その数はリスクスコアではありません。各ソースが使用予定のサービスに属しているかどうかを確認してください。
DoHやDoTはDNSが漏洩しないことを保証しますか？
いいえ。それらはDNSサービスへの接続セグメントを暗号化します。どのプロバイダーがルックアップを処理するか、接続がVPNを経由するかどうか、他のアプリケーションがその設定を共有するかどうかは別の問題です。
プライベートブラウジングでリゾルバが表示されるのはなぜですか？
プライベートブラウジングは主にローカル履歴、Cookie、セッションストレージの動作を変更します。DNSやすべてのネットワーク接続を本質的にリルートするわけではないため、クエリソースは引き続き観測される可能性があります。
DNSルックアップツールとどう違いますか？
DNSルックアップツールはCNAMEやPTRなどのレコードを問い合わせます。このテストはセッション固有の名前を使用して、現在の接続のルックアップを処理するリゾルバを観測します。一方はレコードを確認し、他方はクエリソースを観測します。