Как проверить
- Способ первый: сервис проверки. Откройте любой сервис проверки утечек DNS при поднятом туннеле. Он покажет список серверов, которые отвечали на запросы. Ваш провайдер в этом списке - утечка.
- Способ второй: команда Windows nslookup example.com. Первая строка ответа - сервер, который обработал запрос. Адрес роутера или провайдера при поднятом туннеле означает то же самое.
- Проверьте после каждого изменения. Смена режима, профиля или DNS-сервера - повод перепроверить: поведение может поменяться.
Как закрыть
| Где чинить | Что сделать | Кому подходит |
|---|---|---|
| В приложении | Включить обработку DNS через туннель | Всем: самый правильный способ |
| В браузере | SOCKS5 с отметкой «DNS через прокси» | Тем, кто работает только в браузере |
| В адаптере Windows | Задать DNS вручную | Крайняя мера: влияет на всю систему |
| IPv6 | Отключить или туннелировать | Если утечка именно по IPv6: IPv6 |
Начинать всегда стоит с приложения: его настройка действует только на туннель и не остаётся в системе после выключения. Правка адаптера - самый грубый путь, и о ней легко забыть: потом окажется, что DNS остался чужим и без туннеля.
Почему утечка вообще возникает
- Режим системного прокси: он перенаправляет веб-трафик, но не обязательно запросы имён.
- Программы со своим DNS: браузер с включённым DNS-over-HTTPS ходит мимо системных настроек.
- IPv6: если туннель обслуживает только IPv4, запросы по IPv6 идут напрямую.
- Правила маршрутизации: домен DNS-сервера выведен из туннеля исключением.
- Кэш Windows: старые ответы отдаются из памяти - лечится ipconfig /flushdns.
Насколько это критично
Утечка DNS не раскрывает содержимое трафика - оно зашифровано. Она раскрывает список доменов, к которым вы обращались. Для большинства домашних задач это неприятно, но не катастрофа; если приватность важна принципиально - закрывайте, благо это одна настройка.
Сервис показывает несколько серверов - это утечка?
Не обязательно: серверов может быть несколько, и все - за туннелем. Смотрите не на количество, а на владельца: если там ваш провайдер, утечка есть.
После закрытия утечки перестал открываться сетевой принтер
Локальные имена разрешает домашний DNS. Оставьте локальную зону на автоматическом получении: локальная сеть.
DNS-over-HTTPS в браузере решает проблему?
Частично: он закрывает запросы браузера от провайдера, но остальные программы продолжают ходить как раньше. Полное решение - обработка DNS в приложении.