DNS leak przy aktywnym połączeniu

DNS leak przy aktywnym połączeniu VPN wskazuje, że zapytania DNS omijają szyfrowany tunel i trafiają bezpośrednio do dostawcy internetu — ujawnia to rzeczywistą lokalizację mimo aktywnego VPN.

DNS leak przy aktywnym połączeniu oznacza sytuację, w której przeglądarka lub system korzysta z serwera DNS znajdującego się poza chronionym tunelem VPN. Samo połączenie z usługą VPN może być wtedy utrzymane, a adres IP widoczny dla odwiedzanych stron może pochodzić z serwera VPN, jednak pytania o adresy domen są kierowane inną drogą. Zewnętrzny operator DNS może dzięki temu zobaczyć, jakie domeny są wyszukiwane, a w niektórych konfiguracjach możliwe staje się także powiązanie aktywności z rzeczywistą siecią użytkownika.

Na czym polega DNS leak przy aktywnym VPN

Każde otwarcie strony internetowej zwykle poprzedza zapytanie DNS, czyli próbę ustalenia, jaki adres IP odpowiada nazwie domenowej. Przykładowo, zanim zostanie nawiązane połączenie z witryną, system musi odnaleźć adres przypisany do jej domeny. VPN powinien przejąć ten etap i skierować zapytania przez własny, szyfrowany kanał do serwera DNS obsługiwanego po stronie tunelu. Jeżeli jednak system nadal używa konfiguracji otrzymanej od routera, operatora internetu albo lokalnego serwera sieciowego, powstaje wyciek DNS.

Nie oznacza to automatycznie, że cała komunikacja internetowa odbywa się poza VPN. Często wyciek dotyczy wyłącznie rozwiązywania nazw, podczas gdy właściwy ruch do serwisów przechodzi przez tunel. Z punktu widzenia prywatności jest to jednak istotna niespójność. Dostawca internetu może otrzymywać informacje o odwiedzanych domenach, mimo że użytkownik uruchomił VPN właśnie po to, aby ograniczyć widoczność takiej aktywności. W zależności od ustawień może zostać ujawniona także przynależność do określonej sieci lub przybliżone położenie wynikające z adresu serwera DNS.

Warto odróżnić DNS leak od ujawnienia adresu IP oraz od wycieku przez WebRTC. Są to trzy różne mechanizmy. Wyciek DNS dotyczy zapytań o nazwy domen, wyciek IP dotyczy adresu używanego przez połączenie, a WebRTC może ujawniać informacje o interfejsach sieciowych przeglądarce lub aplikacji internetowej. Jedna konfiguracja może powodować tylko jeden z tych problemów albo kilka jednocześnie.

Różnica między prawidłowym tunelem a częściową ochroną

W prawidłowo skonfigurowanym połączeniu VPN system otrzymuje spójne zasady routingu. Trasa do serwerów DNS powinna prowadzić przez interfejs tunelowy, a zapytania powinny być obsługiwane przez serwer wskazany przez usługę VPN lub przez bezpieczny mechanizm DNS skonfigurowany w jej obrębie. Ważne jest również, aby po zerwaniu tunelu zapora albo funkcja blokady sieciowej zatrzymała ruch do czasu ponownego ustanowienia ochrony. Bez takiego zabezpieczenia mogą wystąpić krótkie, powtarzające się wycieki podczas łączenia, zmiany sieci lub przełączania między Wi-Fi i połączeniem przewodowym.

Częściowa ochrona może wyglądać poprawnie podczas zwykłego testu, ponieważ adres IP przypisany do połączenia rzeczywiście wskazuje serwer VPN. Nie przesądza to jednak o tym, którędy przebiegają zapytania DNS. Dodatkową trudność stanowią nowoczesne mechanizmy, takie jak DNS over HTTPS, DNS over TLS, szyfrowane zapytania wbudowane w przeglądarkę oraz rozdzielone rozwiązywanie nazw dla różnych aplikacji. Przeglądarka może korzystać z własnego dostawcy DNS, podczas gdy pozostałe programy używają ustawień systemowych. Z tego powodu pojedynczy test wykonany w jednej aplikacji nie zawsze pokazuje pełny obraz.

Na wynik wpływają także ustawienia routera, kolejność serwerów DNS, priorytet interfejsów sieciowych, IPv4 i IPv6 oraz reguły zapory. Niektóre programy VPN prawidłowo przejmują ruch IPv4, ale nie kontrolują zapytań wysyłanych przez IPv6. W innych przypadkach system zachowuje poprzednią konfigurację po zmianie sieci albo pobiera serwery DNS ponownie z DHCP. Problem może pojawiać się tylko po wybudzeniu komputera, po hibernacji, podczas zmiany punktu dostępowego lub przy chwilowym zaniku tunelu.

Typowe przyczyny i objawy wycieku DNS

Jedną z częstych przyczyn jest ustawienie serwerów DNS na karcie sieciowej na stałe, bez uwzględnienia sposobu działania używanego klienta VPN. Inną bywa aktywna funkcja automatycznego wyboru DNS w przeglądarce, która omija reguły narzucone przez system i kieruje zapytania bezpośrednio do zewnętrznego dostawcy. Problem może również wynikać z konfliktu kilku programów zabezpieczających, dodatkowego klienta sieciowego, nietypowej konfiguracji routera albo pozostałości po wcześniej zainstalowanej aplikacji VPN.

Objawy nie zawsze są widoczne podczas codziennego korzystania z internetu. Strony mogą otwierać się normalnie, a połączenie może zachowywać się stabilnie. Podejrzenie wycieku mogą wzbudzić natomiast następujące sytuacje:

• test prywatności wskazuje operatora internetu jako podmiot obsługujący zapytania DNS, mimo aktywnego VPN;
• po zmianie sieci Wi-Fi wyniki testu DNS zmieniają się, chociaż serwer VPN pozostaje ten sam;
• po ponownym uruchomieniu komputera zapytania są kierowane inną trasą niż przed restartem;
• po rozłączeniu VPN strony nadal rozwiązują nazwy przez chwilę, mimo włączonej funkcji blokady ruchu;
• tylko wybrane aplikacje wykazują problem, ponieważ korzystają z własnego mechanizmu DNS;
• zapytania IPv6 są obsługiwane przez lokalną sieć, podczas gdy ruch IPv4 przechodzi przez tunel.

Weryfikacja powinna obejmować kilka etapów. Najpierw należy sprawdzić aktywne interfejsy i serwery DNS w systemie, następnie porównać trasy dla IPv4 i IPv6, a później wykonać test przy połączeniu VPN aktywnym, rozłączonym oraz ponownie zestawionym. Przydatne jest także sprawdzenie ustawień przeglądarki, reguł zapory i dzienników klienta VPN. Sama zmiana serwera DNS na losowo wybrany adres nie rozwiązuje problemu, jeśli źródłem jest błędny routing albo aplikacja świadomie omijająca ustawienia systemowe.

W jakich sytuacjach warto zlecić diagnozę specjalistom - DNS leak przy aktywnym połączeniu

Do serwisu warto zgłosić się wtedy, gdy wyciek powtarza się po zmianie ustawień, pojawia się tylko w określonych warunkach albo towarzyszą mu zerwania tunelu, problemy z dostępem do stron i nieprawidłowe działanie zapory. Pomoc może być potrzebna także wtedy, gdy nie wiadomo, czy przyczyną jest system operacyjny, router, klient VPN, przeglądarka czy konflikt kilku programów sieciowych. Bez uporządkowanej diagnostyki łatwo usunąć objaw tylko dla jednego interfejsu, pozostawiając otwartą ścieżkę przez inne połączenie.

W ramach sprawdzenia można przeanalizować konfigurację kart sieciowych, kolejność tras, obsługę IPv4 i IPv6, ustawienia DNS w systemie oraz zachowanie aplikacji po rozłączeniu tunelu. Należy również zweryfikować, czy blokada ruchu działa podczas chwilowej utraty VPN i czy połączenie nie wraca automatycznie do zwykłej trasy. Wyniki testów powinny być porównane w kilku scenariuszach, ponieważ DNS leak może występować tylko przy uruchamianiu systemu, zmianie sieci albo pracy konkretnej aplikacji.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7, gdzie analiza problemów sieciowych i konfiguracji laptopa może objąć również sprawdzenie ustawień VPN oraz źródeł zapytań DNS. Przed rozpoczęciem prac warto opisać, kiedy występuje problem, z jakiej sieci korzysta urządzenie i czy wyciek pojawia się we wszystkich programach. Laptopa można też poddać darmowej diagnozie LAPTOPA, co ułatwia ustalenie, czy przyczyną jest konfiguracja systemowa, oprogramowanie ochronne, sterownik karty sieciowej czy ustawienia urządzenia sieciowego.