Руководство по тестированию утечек DNS
Ваш веб-трафик использует VPN. Следует ли разрешение имен по задуманному маршруту? Начните с фактически наблюдаемых резолверов.
Что такое утечка DNS?
DNS преобразует доменные имена в сетевые адреса. Утечка DNS обычно означает, что запрос использует непреднамеренный резолвер, например DNS провайдера доступа, когда вы ожидали, что его обработает VPN или выбранный DNS-сервис.
Веб-выход и DNS-резолвер выполняют разные задачи. Их IP-адреса и страны не обязаны совпадать. Наличие публичного сервиса, такого как Google или Cloudflare, само по себе не является доказательством ни утечки, ни защищенного VPN пути.
Сравните наблюдаемый маршрут с вашей задуманной конфигурацией.
Что означают результаты DNS?
Метки используют организации резолверов и сигналы выходной сети. Браузер не может проверить ваш VPN-туннель или конфигурацию DNS операционной системы.
- Возможная утечка DNS
- Выход имеет сигнал VPN, прокси или Tor, при этом наблюдается резолвер типа провайдера доступа. Проверьте обработку DNS и раздельное туннелирование. Это повод для расследования, а не прямое наблюдение трафика внутри туннеля.
- Явных утечек не обнаружено
- Наблюдаемые резолверы соответствуют признанным публичным DNS-организациям, не срабатывая на правило провайдера доступа. Подтвердите, что эти сервисы являются преднамеренными. Это не гарантирует, что каждый DNS-запрос проходил через VPN.
- Непроверено
- Недостаточно данных о владельце резолвера или маршруте. Частные резолверы, корпоративные серверы пересылки и организации, не подпадающие под правила идентификации, могут дать такой результат.
- Запросы не наблюдались
- Тест не получил пригодных наблюдений резолвера. Причиной могут быть сетевые ограничения, неудачные поиски или недоступность тестового сервиса. Отсутствие записи не является доказательством отсутствия утечки.
Четыре шага для проверки вашего DNS-пути
Сначала определите предполагаемую конфигурацию. Изменяйте по одному параметру за раз, чтобы сравнение оставалось полезным.
Определите предполагаемый сервис
Проверьте настройки DNS в VPN, маршрутизаторе, операционной системе и браузере. Функция безопасного DNS браузера может намеренно использовать отдельного провайдера.
Сравните до и после
При необходимости сравните организации резолверов и веб-выход при отключенном и подключенном VPN. Не полагайтесь только на флаги стран: один сервис может использовать несколько IP-адресов и местоположений.
Проверьте DNS и раздельное туннелирование
Проверьте настройки защиты DNS, IPv6 и раздельного туннелирования в VPN. Расширение, проксирующее веб-запросы, может не контролировать поиски операционной системы или других приложений.
Повторите тест и перепроверьте
Запустите тест снова после изменений, затем отдельно проверьте WebRTC. В управляемых сетях следуйте политике администратора, а не отключайте безопасный DNS лишь для смены метки.
Как CHA.LA выполняет эту проверку?
Страница создает кратковременную тестовую сессию DNS, запрашивает имена, специфичные для сессии, и считывает адреса рекурсивных резолверов, записанные сервисом наблюдения. Эти адреса идентифицируют резолверы, обращающиеся к сервису, а не обязательно адрес, показанный в настройках вашего устройства.
Затем правила сравнивают названия организаций резолверов с сигналами VPN, прокси и Tor для текущего выхода. Обычный поиск записей PTR, CNAME или домена не может заменить это специфичное для соединения наблюдение.
Часто задаваемые вопросы
Публичный DNS, маршрутизация VPN, зашифрованный DNS и различия между результатами.
Указывает ли DNS Google или Cloudflare на утечку?
Не обязательно. VPN, безопасный DNS браузера и маршрутизаторы могут намеренно использовать публичный резолвер. Важные вопросы — является ли этот выбор преднамеренным и следует ли запрос выбранному вами маршруту. Имя провайдера не может раскрыть весь путь соединения.
Может ли DNS находиться в другой стране, отличной от моей VPN?
Да. Anycast, пересылка и отдельные точки выхода могут давать разные местоположения, а геолокация IP бывает неточной. Изучите документацию организации и провайдера, а также изменения между тестами, вместо того чтобы считать расхождение стран доказательством утечки.
Почему перечислено несколько резолверов?
Балансировка нагрузки, несколько вышестоящих серверов, IPv4/IPv6 и пересылка могут дать несколько источников запросов во время одного теста. Их количество — не оценка риска. Проверьте, относится ли каждый источник к сервису, который вы собирались использовать.
Гарантируют ли DoH или DoT, что DNS не утечёт?
Нет. Они шифруют сегмент соединения с DNS-сервисом. Какой провайдер обрабатывает запрос, идёт ли соединение через VPN и разделяют ли эту настройку другие приложения — это отдельные вопросы.
Почему резолверы видны в режиме приватного просмотра?
Приватный просмотр в основном меняет поведение локальной истории, cookies и хранилища сессии. Он сам по себе не перенаправляет DNS и не меняет все сетевые соединения, поэтому источники запросов всё ещё можно наблюдать.
Чем это отличается от инструмента проверки DNS?
Инструмент проверки DNS запрашивает записи, например CNAME или PTR. Этот тест использует уникальные для сессии имена, чтобы увидеть, какие резолверы обрабатывают запросы текущего соединения. Один проверяет запись, другой — источник запроса.