Um guia para testes de vazamento de DNS
Seu tráfego web usa uma VPN. A resolução de nomes segue a rota que você pretende? Comece pelos resolvers realmente observados.
O que é um vazamento de DNS?
O DNS traduz nomes de domínio em endereços de rede. Um vazamento de DNS geralmente significa que uma consulta usa um resolver não intencional, como o DNS de um provedor de acesso, quando você esperava que uma VPN ou um serviço de DNS escolhido a tratasse.
Uma saída web e um resolver de DNS têm funções diferentes. Seus endereços IP e países não precisam coincidir. Ver um serviço público como Google ou Cloudflare não é, por si só, prova de vazamento nem de um caminho protegido por VPN.
Compare a rota observada com a configuração pretendida.
O que significam os resultados do DNS?
Os rótulos usam organizações de resolvers e sinais de rede de saída. O navegador não pode inspecionar o túnel VPN ou a configuração de DNS do sistema operacional.
- Possível vazamento de DNS
- A saída tem um sinal de VPN, proxy ou Tor enquanto um resolver do tipo provedor de acesso é observado. Revise o tratamento de DNS e o túnel dividido. Isso é uma pista a investigar, não uma inspeção direta do tráfego dentro do túnel.
- Nenhum vazamento óbvio encontrado
- Os resolvers observados correspondem a organizações de DNS públicas reconhecidas sem acionar a regra de provedor de acesso. Confirme se esses serviços são os pretendidos. Isso não estabelece que todas as requisições DNS passaram por uma VPN.
- Não verificado
- A propriedade do resolver ou a evidência de rota é insuficiente. Resolvers privados, encaminhadores empresariais e organizações fora das regras de identificação podem produzir esse resultado.
- Nenhuma consulta observada
- O teste não recebeu nenhuma observação de resolver utilizável. Restrições de rede, falhas de consulta ou serviço de teste indisponível podem causar isso. Nenhum registro não é prova de ausência de vazamento.
Quatro passos para revisar seu caminho de DNS
Estabeleça primeiro a configuração pretendida. Altere uma configuração por vez para que a comparação permaneça útil.
Identifique o serviço pretendido
Revise as configurações de DNS na VPN, roteador, sistema operacional e navegador. O recurso de DNS seguro de um navegador pode deliberadamente usar um provedor separado.
Compare antes e depois
Quando apropriado, compare as organizações de resolvers e a saída web com a VPN desconectada e conectada. Não confie apenas em bandeiras de países: um serviço pode usar vários IPs e localizações.
Revise DNS e túnel dividido
Verifique a proteção de DNS da VPN, configurações de IPv6 e túnel dividido. Uma extensão que faz proxy de requisições web pode não controlar consultas do sistema operacional ou de outros aplicativos.
Teste novamente e verificação cruzada
Execute o teste novamente após as alterações e depois verifique o WebRTC separadamente. Em redes gerenciadas, siga a política do administrador em vez de desativar o DNS seguro apenas para alterar um rótulo.
Como o CHA.LA executa esta verificação?
A página cria uma sessão de teste de DNS de curta duração, solicita nomes específicos da sessão e lê os endereços de resolvers recursivos registrados pelo serviço de observação. Esses endereços identificam os resolvers que consultam o serviço, não necessariamente o endereço mostrado nas configurações do seu dispositivo.
As regras então comparam os nomes das organizações de resolvers com sinais de VPN, proxy e Tor para a saída atual. Uma consulta comum de PTR, CNAME ou registro de domínio não pode substituir essa observação específica da conexão.
Perguntas frequentes
DNS público, roteamento VPN, DNS criptografado e diferenças entre resultados.
O DNS do Google ou Cloudflare indica vazamento?
Não necessariamente. VPNs, DNS seguro do navegador e roteadores podem intencionalmente usar um resolver público. As questões importantes são se essa escolha é intencional e se a requisição segue sua rota escolhida. Um nome de provedor não pode revelar todo o caminho da conexão.
O DNS pode estar em um país diferente da minha VPN?
Sim. Anycast, encaminhamento e pontos de saída separados podem produzir localizações diferentes, e a geolocalização de IP pode ser imprecisa. Revise a organização, a documentação do provedor e as mudanças entre os testes em vez de tratar uma incompatibilidade de país como prova de vazamento.
Por que vários resolvedores são listados?
Balanceamento de carga, múltiplos upstreams, IPv4/IPv6 e encaminhamento podem produzir várias origens de consulta durante um teste. A contagem não é uma pontuação de risco. Verifique se cada origem pertence ao serviço que você pretendia usar.
DoH ou DoT garantem que o DNS não possa vazar?
Não. Eles criptografam um segmento de conexão com um serviço DNS. Qual provedor trata a consulta, se a conexão passa por uma VPN e se outros aplicativos compartilham essa configuração são questões separadas.
Por que os resolvedores ficam visíveis na navegação privada?
A navegação privada altera principalmente o comportamento do histórico local, cookies e armazenamento de sessão. Ela não redireciona inerentemente o DNS ou todas as conexões de rede, portanto as origens das consultas ainda podem ser observadas.
Como isso difere de uma ferramenta de consulta DNS?
Uma ferramenta de consulta DNS solicita registros como CNAME ou PTR. Este teste usa nomes específicos da sessão para observar quais resolvedores tratam as consultas da conexão atual. Uma verifica um registro; a outra observa uma origem de consulta.