Утечка DNS — это уязвимость конфиденциальности, при которой DNS-запросы, преобразующие доменные имена типа google.com в IP-адреса, покидают зашифрованный туннель и попадают на серверы вашего ISP. Даже при активном VPN провайдер может видеть каждый посещаемый сайт при наличии DNS-утечки. Проверить безопасность DNS прямо сейчас можно на whatsmy.fyi.
Что такое DNS
DNS (Domain Name System) — это телефонный справочник интернета. Каждый раз, когда вы вводите адрес сайта в браузер, устройство отправляет DNS-запрос с вопросом «какой IP у этого домена?». DNS-резолвер — обычно управляемый вашим ISP — ищет ответ и возвращает IP, чтобы браузер мог подключиться.
По умолчанию этот запрос отправляется в открытом виде через UDP-порт 53. Ваш ISP может логировать каждый DNS-запрос, составляя подробную запись ваших привычек в интернете, не видя содержимого трафика.
Что такое утечка DNS
При использовании VPN весь интернет-трафик — включая DNS-запросы — должен проходить через зашифрованный VPN-туннель и выходить через серверы VPN-провайдера. Утечка DNS возникает, когда устройство обходит этот туннель для DNS-запросов и отправляет их напрямую на DNS-резолвер вашего ISP.
В результате VPN скрывает ваш IP-адрес и шифрует данные, но ISP по-прежнему получает полный журнал каждого посещённого домена. Зашифрованный туннель защищает трафик, но DNS-запросы из него утекают.
Причины утечек DNS
Утечки DNS не являются намеренными — они возникают из-за неправильной конфигурации и особенностей обработки сетевых переходов операционными системами:
- Split-tunnel DNS: Некоторые VPN-клиенты используют раздельное туннелирование для определённого трафика. Если DNS явно не включён в туннель, запросы идут через интерфейс по умолчанию.
- Откат DNS на уровне ОС: Windows, в частности, имеет функцию «умного разрешения имён с несколькими интерфейсами», которая отправляет DNS-запросы одновременно на все доступные сетевые интерфейсы и использует первый ответ — часто от локального ISP.
- Утечки DNS через IPv6: Многие VPN туннелируют только IPv4-трафик. Если устройство имеет IPv6-подключение, DNS-запросы могут идти по незащищённому IPv6-интерфейсу.
- Переопределение DNS через DHCP: При подключении к сети DHCP назначает DNS-сервер. Если устройство принимает это назначение вместо использования DNS VPN, запросы утекают на этот сервер.
Как проверить наличие утечки DNS
Карточка «Безопасность DNS» на whatsmy.fyi проверяет, поддерживает ли ваша сеть DNS over HTTPS и маршрутизируется ли трафик через известного VPN-провайдера. При использовании VPN карточка подтверждает, что DNS-запросы зашифрованы через туннель.
Для точного теста на утечку DNS специализированные инструменты используют уникальные авторитетные серверы имён. Они назначают уникальный поддомен (например, abc123.test.dnsleak.com), инициируют DNS-запрос для него из браузера и проверяют, какой DNS-сервер его разрешил. Если это резолвер ISP, а не VPN — есть утечка.
Как устранить утечку DNS
Вариант 1: VPN со встроенной защитой от DNS-утечек
Большинство надёжных VPN-провайдеров включают защиту от DNS-утечек. Это принудительно направляет все DNS-запросы через VPN-туннель и запрещает ОС использовать другие резолверы. Найдите эту настройку в VPN-клиенте и убедитесь, что она включена.
Вариант 2: DNS-резолвер с акцентом на конфиденциальность
Переход на DNS-провайдера, не логирующего запросы, значительно снижает риски. Известные варианты:
- Cloudflare 1.1.1.1 — быстрый, ориентированный на конфиденциальность, без логов запросов. Поддерживает DNS over HTTPS и DNS over TLS.
- Google 8.8.8.8 — широко используемый, надёжный. Частичное логирование запросов для безопасности и защиты от злоупотреблений.
- Quad9 9.9.9.9 — ориентированный на конфиденциальность со встроенной блокировкой вредоносных программ. Управляется некоммерческой организацией.
- NextDNS — полностью настраиваемый с детальными журналами запросов под вашим контролем.
Вариант 3: Включение DNS over HTTPS (DoH)
DNS over HTTPS шифрует DNS-запросы, оборачивая их в HTTPS. В отличие от традиционного DNS, отправляющего запросы в открытом виде через UDP, DoH отправляет запросы на веб-сервер с использованием того же зашифрованного протокола, что и сайты. Ваш ISP видит HTTPS-трафик к DoH-провайдеру, но не отдельные разрешаемые доменные имена.
Современные браузеры имеют встроенную поддержку DoH:
- Firefox: Настройки → Приватность и защита → DNS over HTTPS. Выберите «Максимальная защита» для блокировки всех запросов не через DoH.
- Chrome / Edge: Настройки → Конфиденциальность и безопасность → Безопасность → Использовать защищённый DNS. Включите и выберите провайдера.
- На уровне ОС (Windows 11, macOS 13+): Обе системы поддерживают DoH на уровне операционной системы, защищая все приложения, а не только браузер.
Утечка DNS vs утечка WebRTC
Утечки DNS и утечки WebRTC — отдельные проблемы, но обе могут раскрыть вашу личность при использовании VPN. Утечка WebRTC напрямую раскрывает ваш реальный IP-адрес; утечка DNS раскрывает посещаемые сайты. Нужно проверять оба типа. whatsmy.fyi проверяет оба на одной странице.
Решает ли DNS over HTTPS все проблемы
DoH защищает DNS-запросы от чтения ISP при передаче, но не делает вас анонимными. DoH-провайдер по-прежнему получает ваши DNS-запросы. Cloudflare 1.1.1.1 и Quad9 опубликовали надёжные политики запрета логирования, но вы перекладываете доверие с ISP на DoH-провайдера. Для максимальной конфиденциальности сочетайте DoH с VPN.
Кроме того, DoH не скрывает факт подключения к конкретному IP-адресу — только начальный шаг разрешения имени. Анализ сетевых метаданных может раскрыть используемые сервисы даже при включённом DoH.
Часто задаваемые вопросы
Может ли быть утечка DNS без VPN?
Технически нет — «утечка» подразумевает выход трафика за пределы ожидаемого защищённого канала. Без VPN все DNS-запросы по умолчанию идут к ISP; это нормальная работа. Риск в том, что ISP логирует и потенциально монетизирует эти данные. Решение — перейти на конфиденциальный DNS-резолвер или включить DNS over HTTPS.
Раскрывает ли утечка DNS мои пароли или содержимое страниц?
Нет. Утечки DNS раскрывают только посещаемые домены (например, google.com), но не содержимое соединений. Пароли, сообщения и содержимое страниц по-прежнему защищены шифрованием TLS. Тем не менее список посещаемых доменов считается конфиденциальными метаданными в большинстве систем защиты конфиденциальности.
Ускорит ли интернет переход на 1.1.1.1?
Зачастую да. Скорость разрешения DNS влияет на то, насколько быстро браузер начинает загружать страницу после ввода адреса. Cloudflare 1.1.1.1 неизменно занимает первые места по скорости среди публичных DNS-резолверов в независимых тестах. Более быстрое разрешение DNS снижает воспринимаемую задержку.
