Shark
Что такое утечка DNS
Прежде чем открыть сайт, устройство спрашивает у DNS-сервера, какому адресу соответствует название. Обычно это делает сервер вашего провайдера или оператора. Если VPN настроен правильно, эти вопросы идут через туннель к серверу сервиса. Утечка DNS возникает, когда запросы по-прежнему уходят к серверу провайдера мимо туннеля. Тогда провайдер видит, какие сайты вы запрашиваете, даже если само содержимое защищено.
Причины утечек:
- устройство использует собственные настройки DNS, а не те, что выдал VPN;
- на Android включён «Частный DNS» со сторонним сервером;
- на компьютере несколько сетевых адаптеров, и система выбирает не тот;
- у приложения VPN нет защиты от запросов по IPv6, и они идут напрямую.
Что такое утечка WebRTC
WebRTC — технология браузеров для видеозвонков и обмена данными напрямую между устройствами. Чтобы связать два устройства, она запрашивает у системы список доступных сетевых адресов, и в некоторых случаях сайт может получить через неё ваш локальный и реальный внешний адрес, даже если трафик идёт через VPN. Современные браузеры прячут локальные адреса за случайными именами, но поведение зависит от версии и настроек.
Как проверить: порядок действий
- Запишите адрес без VPN. Отключите VPN и откройте любой сервис проверки IP-адреса. Сохраните адрес и название провайдера. Это ваш «эталон».
- Включите VPN и проверьте адрес снова. Адрес и провайдер должны измениться. Если адрес остался прежним, туннель не принимает трафик браузера.
- Запустите тест DNS. Откройте сервис, который показывает, какие DNS-серверы отвечают на запросы. Результат должен показывать серверы сервиса VPN или нейтральный публичный DNS, но не серверы вашего домашнего провайдера или оператора.
- Запустите тест WebRTC. Сервис проверки WebRTC покажет адреса, которые браузер готов отдать сайту. В списке не должно быть вашего реального внешнего адреса.
- Повторите в другой сети. Проверьте по Wi-Fi и по мобильному интернету. Поведение иногда отличается, а мобильные сети чаще используют IPv6.
- Повторите в другом браузере. Если утечка есть только в одном, дело в его настройках.
Как читать результат
- Видите адрес провайдера в тесте DNS. Это утечка DNS. Попробуйте задать DNS вручную в настройках устройства или приложения, отключите «Частный DNS», проверьте, нет ли отдельной настройки DNS у сетевого адаптера.
- Видите настоящий адрес в тесте WebRTC. Это утечка WebRTC. Отключите WebRTC в настройках браузера, если такая опция есть, или используйте расширение, которое ограничивает раскрытие адресов.
- Видите два адреса, один из них IPv6. Туннель может покрывать только IPv4. Отключите IPv6 на устройстве или выберите клиент с поддержкой IPv6.
- Всё совпадает с сервером VPN. Утечек нет. Повторяйте проверку после обновлений системы и приложения.
Что делать, если утечка найдена
Сначала повторите тест, чтобы исключить случайность. Затем по очереди проверьте обновления приложения VPN и системы, включите защиту от утечек в клиенте, если она есть, и поменяйте настройки DNS и IPv6 на устройстве. Если ничего не помогло, обратитесь в поддержку сервиса: опишите, на какой системе и в каком браузере видна утечка, приложите скриншот результата. Общий порядок диагностики описан на странице «Не работает VPN», а базовые понятия — в справочнике «Что такое VPN».
Чего тест не покажет
Тест на утечки проверяет только адреса. Он не оценивает, что делает приложение с вашими данными, хранит ли сервис журналы и кому принадлежит инфраструктура. Для защищённости важны ещё надёжные пароли и двухфакторная защита аккаунтов: никакой туннель их не заменяет.
Пример: как выглядит нормальная проверка
Чтобы не гадать, как читать цифры, разберём условный пример. Без VPN сервис проверки показал адрес вашего домашнего провайдера и его DNS-серверы. Вы включили VPN и повторили проверку. Теперь адрес принадлежит другой организации и другой стране, а в тесте DNS видны серверы, которые не имеют отношения к домашнему провайдеру. Тест WebRTC показывает только адрес из той же сети, что и туннель. Это нормальная картина: все три показателя изменились вместе.
Подозрительная картина выглядит иначе: адрес в первом тесте новый, а во втором среди серверов виден домашний провайдер. Это значит, что запросы к DNS идут мимо туннеля, и именно эту настройку надо исправлять. Не пытайтесь чинить всё сразу. Измените один параметр, повторите тест, запишите результат, и только затем переходите к следующему. Так вы поймёте, что именно помогло, и сможете повторить это на другом устройстве.
На телефоне порядок тот же: WebRTC проверяют в мобильном браузере, а для остального трафика ориентируются на проверку внешнего адреса и тест DNS. Если результаты отличаются между Wi-Fi и мобильной сетью, запишите оба и сравните: это подсказка, где искать причину.
Частые вопросы
Как часто проверять утечки?
После установки и настройки VPN, после обновления системы или браузера и при смене сети. Раз в месяц достаточно, если ничего не менялось.
Нужно ли отключать WebRTC совсем?
Если вы не пользуетесь видеозвонками в браузере, это безопасно. Если пользуетесь, лучше ограничить раскрытие адресов настройкой или расширением, чем отключать полностью.
Почему тест показывает серверы моей страны?
Некоторые сервисы VPN используют DNS в той же стране, что и сервер выхода. Важно, чтобы это были серверы сервиса или публичные нейтральные, а не серверы вашего домашнего провайдера.
Может ли утечка быть при обычном выключенном VPN?
Без VPN всё идёт напрямую, поэтому «утечкой» это не считается. Проверка нужна именно при включённом туннеле.
Утечки есть только на мобильном интернете. Почему?
Мобильные операторы активнее используют IPv6 и собственные DNS. Если клиент VPN не покрывает IPv6, часть запросов идёт мимо. Проверьте настройки IPv6 и DNS.
Достаточно ли одного теста, чтобы быть уверенным?
Нет. Разные сервисы проверки используют разные методы, и один может не заметить то, что видит другой. Для уверенности сделайте два-три теста в разных сервисах и в разных сетях, а результат сравните с «эталоном» без VPN.