Что такое DNS и как проверить утечку DNS

Когда вы вводите адрес сайта, происходит вот что:

1. Устройство проверяет, не знает ли оно адрес уже: в системном файле hosts и в кэше.
2. Если не знает, отправляет вопрос DNS-серверу из настроек сети.
3. DNS-сервер, у которого нет готового ответа, ищет его по цепочке: у корневого сервера, у сервера зоны .net, у сервера самого домена.
4. Ответ возвращается на устройство, и браузер соединяется с сайтом по найденному IP-адресу.

Чтобы не спрашивать каждый раз, ответы хранятся в кэше. Сколько их можно хранить, указано в самом ответе.

Обычно DNS-сервер назначается автоматически: его адрес устройство получает от роутера или провайдера вместе с остальными настройками сети. Можно указать и другой, например публичный DNS Google: 8.8.8.8 и 8.8.4.4.

Где поменять DNS вручную:

• Windows 11: Параметры→Сеть и Интернет→Wi-Fi→Управление известными сетями→ваша сеть (для кабеля раздел Ethernet), кнопка «Изменить» рядом с назначением IP или DNS-сервера, режим «Вручную». Поля называются «Предпочитаемый DNS-сервер» и «Альтернативный DNS-сервер».
• macOS: Системные настройки→Сеть→ваше подключение→Подробнее→DNS.
• iPhone: Настройки→Wi-Fi→ⓘ рядом с сетью, пункт настройки DNS.
• Android: в настройках конкретной сети Wi-Fi или через частный DNS для всех сетей сразу.

На Android 9 и новее есть пункт «Частный DNS-сервер»: Настройки→Сеть и интернет→Частный DNS-сервер. У Samsung, Xiaomi и других марок путь отличается, проще ввести «DNS» в поиске по настройкам. Режимов три:

• выключен: запросы идут как обычно;
• автоматически: телефон шифрует запросы, если DNS-сервер сети это умеет, а если нет, отправляет их обычным способом;
• вручную: вы вписываете имя сервера, например dns.google, и телефон отправляет все запросы только туда в зашифрованном виде. Если телефон не может связаться с этим сервером, Android пометит сеть как сеть без доступа к интернету.

Частный DNS защищает только DNS-запросы, остальной трафик он не шифрует. Начиная с Android 10 эта настройка действует и при включённом VPN.

На iPhone отдельного переключателя нет. Зашифрованный DNS ставит приложение DNS-сервиса или профиль конфигурации, а после установки его нужно включить в настройках iPhone. В Windows 11 похожая настройка называется «DNS через HTTPS» и стоит рядом с адресами DNS-серверов, в Windows 10 её нет.

Утечка DNS — это когда VPN включён, а запросы к DNS уходят мимо туннеля, к DNS-серверу провайдера. Провайдер и все, кто находится на пути, видят имена сайтов, на которые вы заходите. Сами страницы при этом идут через VPN.

Утечки случаются, когда часть трафика может идти мимо туннеля, например при раздельном туннелировании. В Windows, начиная с версии 8, DNS-запрос может уходить сразу через все сетевые подключения компьютера, включая обычное. Как устроены такие исключения, рассказано в статье про раздельное туннелирование.

1. Выключите VPN, найдите в браузере сервис проверки по запросу «DNS leak test» и запустите проверку.
2. Посмотрите список DNS-серверов: обычно рядом с каждым указана компания-владелец. Если вы не меняли DNS, без VPN там будет ваш провайдер или оператор связи.
3. Включите VPN в Happ и повторите проверку на той же странице.
4. Сравните результаты.

Остальные проверки, от значка VPN до скорости, собраны в статье как проверить, работает ли VPN.

• Переподключите VPN в Happ и повторите проверку.
• Выключите другие VPN-приложения и лишние VPN-профили на устройстве.
• Если настроено раздельное туннелирование, проверьте, что браузер не попал в исключения.
• Включите зашифрованный DNS: частный DNS-сервер на Android или DNS через HTTPS в Windows 11. Тогда даже запрос мимо туннеля по дороге не прочитать.
• Напишите в поддержку Vista командой /support в боте и приложите скриншот проверки.

Как устроен сам VPN и что он скрывает от сети, рассказано в статье что такое VPN простыми словами.