Как проверить DNS-утечку и понять, что показывают сервисы проверки

Когда вы открываете сайт, устройство сначала спрашивает у DNS-сервера, какому IP-адресу соответствует имя. Эти запросы видны тому, кто держит сервер: чаще всего это провайдер. Если вы пользуетесь защищённым соединением, ожидается, что запросы пойдут внутри него и достигнут сервера, указанного в его настройках. Утечкой называют ситуацию, когда часть запросов уходит мимо, напрямую провайдеру.

Тест на утечку проверяет, какие серверы на самом деле отвечали на запросы вашего устройства. Он полезен и без защищённых соединений: просто чтобы узнать, кто видит ваши запросы.

Запустите проверку в браузере на странице сервиса тестирования. Он генерирует набор уникальных имён и смотрит, какие DNS-серверы к ним обращаются. Через минуту вы увидите список серверов с указанием организации и страны.

Сделайте два замера. Первый — без защищённого соединения, чтобы получить «базовую» картину. Второй — с включённым, чтобы сравнить. Сравнение показывает, изменилось ли то, кто отвечает на запросы. Проверяйте расширенный тест, если сервис его предлагает: он шлёт больше запросов и надёжнее ловит расхождения.

Смотрите на организацию, которой принадлежат серверы. Если вы включили защищённое соединение, а в списке остался ваш провайдер, часть запросов идёт мимо. Если в списке серверы публичного резолвера или поставщика соединения — картина ожидаемая.

Несколько строк не обязательно проблема: крупный поставщик использует много серверов в разных адресах. Оценивайте организацию, а не число строк. Разные результаты для одного и того же теста в разные минуты тоже нормальны из-за балансировки.

Причин расхождений несколько: в системе прописан собственный DNS, маршрутизатор подставляет свои серверы, браузер использует независимую настройку защищённого DNS, либо приложение соединения не перехватывает запросы. Проверьте настройки сети на устройстве и в роутере, затем параметры DNS в браузере.

Отдельно отключите IPv6, если он идёт мимо защищённого соединения и не настроен вместе с ним. После изменений очистите DNS-кэш и повторите тест, иначе увидите старые ответы.

Тест показывает лишь то, кто отвечает на запросы для его специальных имён. Он не говорит, шифруется ли ваш трафик и что видит провайдер о посещённых сайтах помимо DNS: адреса серверов, с которыми вы соединяетесь, по-прежнему различимы.

Относите результат как один из индикаторов настройки, а не как полное заключение о приватности. Повторяйте после смены сети, обновления системы и переустановки приложения.

Допустим, вы подключили защищённое соединение и запустили расширенный тест. В результате видите десять серверов одной организации из другой страны. Это ожидаемая картина: запросы идут через поставщика соединения. Если же в списке два сервера вашего провайдера и восемь незнакомых, картина смешанная: часть запросов уходит мимо.

Следующий шаг — понять, откуда идут запросы провайдеру. Откройте настройки сетевого адаптера и посмотрите, какие DNS прописаны. Если там автоматическое получение, адреса подставляет роутер или провайдер. Затем зайдите в роутер и проверьте его настройки DNS. Иногда именно роутер перехватывает запросы и отправляет их своему серверу.

Если после исправления настроек тест показывает нужные серверы, повторите его на телефоне: у мобильных сетей и приложений свои особенности. Чтобы убедиться, что изменения устойчивы, перезапустите соединение и тест, очистите кэш. Если картина повторяется, вы настроили всё верно. Если нет — вернитесь к точке, где расхождение появилось.

Общий порядок таков: сделать замер без защищённого соединения, включить его и повторить, сравнить организации серверов, исправить настройки в системе, роутере и браузере, очистить кэш и проверить ещё раз. Не рассчитывайте, что один тест решит все вопросы: результат следует сочетать с проверкой IP-адреса и WebRTC. Вместе эти три теста дают достаточно полную картину того, что видят посторонние.