Попробовать

Тест утечки DNS

Нажмите «Проверить»: браузер запросит несколько уникальных доменных имён, а наш DNS-сервер зафиксирует, какие резолверы о них спросили. За 5–10 секунд (в расширенном режиме дольше) покажем, кто обрабатывает ваши DNS-запросы и нет ли утечки мимо VPN.

Проверка работает в браузере, без установки и регистрации. Мы показываем адреса резолверов, их провайдера и страну и ничего не сохраняем дольше 10 минут.

Тест покажет DNS-серверы, через которые ваше устройство узнаёт адреса сайтов. Запустите его без VPN, а потом с VPN, и сравните результаты.

Режим проверки

Расширенный режим дольше, но находит резолверы, которые отвечают не на каждый запрос.

Мы храним случайный токен теста, список резолверов, которые по нему пришли, и ваш адрес — 10 минут, только чтобы показать результат. Адрес резолвера определяем по локальным базам DB-IP (IP Geolocation by DB-IP), наружу он не уходит.

Как работает тест

Браузер сам не сообщает сайту, какой DNS-резолвер он использует. Поэтому мы смотрим на запросы с другой стороны — со своего DNS-сервера.

Уникальные имена

Для каждого теста сервер выдаёт случайный токен и 6 или 36 имён вида 1-токен.dnstest.limpvpn.info. Таких имён нет ни в одном кэше.

Запрос через ваш резолвер

Браузер обращается к этим именам, и ваш DNS-резолвер вынужден спросить о них наш DNS-сервер — он отвечает за эту зону.

Кто пришёл

Наш сервер записывает, с какого адреса пришёл каждый запрос. Это и есть резолвер, которым вы пользуетесь.

Сравнение с подключением

Сравниваем сеть резолвера с сетью вашего адреса. Если трафик идёт через VPN, а DNS — через обычного провайдера, это утечка.

Когда стоит проверить DNS

Публичный Wi-Fi

В кафе, отеле или аэропорту DNS-сервер выдаёт сеть. Тест покажет, чей он и видит ли владелец сети, куда вы заходите.

Удалённая работа

Проверьте, что запросы к рабочим сервисам идут через корпоративный VPN, а не через домашнего провайдера.

После настройки VPN

Запустите тест с VPN и без него: при работающей защите резолвер меняется на сервер сети VPN.

Смена DNS

Поменяли DNS в роутере или в настройках телефона? Тест покажет, применилась ли настройка на самом деле.

Другие инструменты LiMP

Бесплатные проверки сети, приватности и безопасности прямо в браузере — без установки и регистрации.

Все инструменты Приложения LiMP

Что такое утечка DNS

Прежде чем открыть сайт, устройство спрашивает у DNS-сервера, по какому IP-адресу находится сайт. По умолчанию эти вопросы уходят DNS-серверу интернет-провайдера: так настроены роутеры и мобильные сети. Каждый такой запрос содержит имя сайта, поэтому журнал DNS-сервера — это почти полный список того, куда вы заходили.

VPN шифрует трафик и отправляет его через свой сервер. Но если DNS-запросы продолжают идти к провайдеру напрямую, мимо туннеля, провайдер по-прежнему видит имена сайтов. Это и называют утечкой DNS: содержимое страниц защищено, а список доменов — нет.

Почему происходит утечка DNS

Утечка почти всегда возникает из-за настроек системы, браузера или сети, а не из-за самого шифрования. Типичные причины:

  • VPN-клиент не меняет DNS-сервер в системе или меняет его не для всех подключений.
  • Windows по умолчанию может отправлять запросы через все сетевые адаптеры сразу и брать самый быстрый ответ.
  • В браузере включён «безопасный DNS» (DoH) с выбранным вручную сервисом: тогда имена сайтов обрабатывает этот сервис, а не DNS вашего VPN.
  • Провайдер или владелец публичной сети перехватывает DNS-запросы и отвечает на них сам.
  • После обрыва VPN устройство на какое-то время возвращается к DNS провайдера.
  • VPN-клиент защищает только IPv4, а DNS-запросы по IPv6 уходят напрямую.

Как читать результат проверки DNS

В таблице — DNS-серверы, которые спросили наш сервер об уникальных именах из вашего теста. Рядом — их провайдер и страна. Колонка «Чей сервер» показывает, совпадает ли сеть резолвера с сетью, из которой вы открыли эту страницу.

Если вы подключены через VPN и все резолверы принадлежат его сети, утечки нет. Если среди них есть сервер обычного провайдера, особенно вашего домашнего или мобильного, — это утечка. Публичные DNS-сервисы утечкой к провайдеру не считаются, но они сами видят все запросы, а если запросы к ним идут мимо туннеля без шифрования, их видит и провайдер.

Тест без VPN почти всегда показывает DNS провайдера: это нормально, так устроено большинство подключений. Сравните результат с тем, что покажет тест с включённым VPN.

Как устранить утечку DNS

  • Включите в настройках VPN-клиента защиту от утечек DNS и защиту при обрыве соединения (kill switch), если такие пункты есть.
  • Выключите в браузере «безопасный DNS» с ручным выбором сервиса или оставьте поставщика по умолчанию.
  • Если VPN не туннелирует IPv6, выключите IPv6 в настройках подключения.
  • Перезапустите подключение и повторите тест в расширенном режиме: часть резолверов обрабатывает не каждый запрос.

Какие данные мы храним

Для каждого теста наш сервер выдаёт случайный токен и 10 минут помнит, какие резолверы спросили об именах с этим токеном. Результат по токену получает только тот адрес, который начал тест, — так чужой результат нельзя прочитать. Токен, адреса резолверов и ваш адрес хранятся только для показа результата и через 10 минут удаляются. Мы не связываем тест с аккаунтом, не пишем адреса в аналитику и не передаём их сторонним сервисам.

Частые вопросы об утечке DNS

Это когда трафик идёт через VPN, а DNS-запросы, в которых видны имена сайтов, уходят напрямую DNS-серверу провайдера. Содержимое страниц при этом зашифровано, но провайдер видит список доменов, которые вы открываете.

Нажмите «Проверить» на этой странице без VPN, затем включите VPN и запустите тест ещё раз. Если во втором тесте среди резолверов остался сервер вашего провайдера, DNS-запросы идут мимо туннеля.

Так устроено большинство подключений: роутер и мобильная сеть по умолчанию отправляют запросы DNS-серверу провайдера. Это не ошибка и не утечка, просто провайдер видит, какие сайты вы открываете.

Стандартный отправляет 6 запросов и занимает 5–10 секунд. Расширенный отправляет 36 запросов: он дольше, но надёжнее находит резолверы, которые обрабатывают не каждый запрос, например при нескольких DNS-серверах в системе.

Их могут использовать роутер, провайдер, браузер или сам VPN-сервис. Firefox в ряде стран по умолчанию включает DNS over HTTPS через Cloudflare, а в Chrome и других браузерах такой сервис можно выбрать в настройках «безопасного DNS». Некоторые провайдеры тоже пересылают запросы публичным DNS.

Запросы не дошли до нашего сервера за отведённое время. Обычно мешает расширение для блокировки рекламы или отслеживания, строгая корпоративная сеть или очень медленный резолвер. Отключите блокировщик для этой страницы и повторите тест; если не помогло — запустите расширенный режим.

Только на 10 минут и только чтобы показать результат вам: случайный токен теста, адреса резолверов, которые по нему пришли, и ваш адрес. Потом запись удаляется. В журналы и аналитику ваш адрес не попадает.

В приложении LiMP DNS-запросы идут внутри зашифрованного туннеля. Проверить это можно этим же тестом: подключитесь и запустите проверку — серверов вашего провайдера в таблице быть не должно.

Смотрите также