DNS-lekken bij het gebruik van een VPN

Alle Proton VPN-apps bevatten DNS-lekbescherming die is ontworpen om te voorkomen dat websites en dergelijke die u op het internet bezoekt, uw echte DNS-adres identificeren. Er zijn echter enkele beperkte omstandigheden waarin uw computer deze bescherming kan omzeilen, wat ertoe kan leiden dat derden het IP-adres kunnen zien van de DNS-server die u daadwerkelijk gebruikt.

In dit artikel leggen we uit wat DNS is, hoe het werkt en waarom het handmatig configureren van uw DNS-instellingen kan voorkomen dat onze DNS-lekbescherming correct werkt.

Wat is DNS?

Aan elke verbinding met het internet wordt een unieke numerieke identificatie toegewezen die bekendstaat als een IP-adres (Internet Protocol). Het menselijk brein is niet ontworpen om lange reeksen getallen te onthouden, dus identificeren we internetbronnen (zoals websites en gameservers) met behulp van gebruiksvriendelijkere tekstreeksen die bekendstaan als domeinnamen.

Het Domain Name System (DNS) is als een wereldwijd telefoonboek dat gebruiksvriendelijke URL’s vertaalt naar de IP-adressen die computers gebruiken.

Dus als de URL example.com bijvoorbeeld het IP-adres 123.456.789.012 heeft, brengt het invoeren van 123.456.789.012 in de adresbalk van uw browser u naar example.com. (In de praktijk kan een IP-adres verwijzen naar meerdere websites, en kan een enkel domein verwijzen naar meerdere IP-adressen. Maar in essentie is dit wat DNS doet.)

DNS en privacy

DNS-resolutie is het proces van het vertalen van een domein naar het bijbehorende IP-adres. Dit wordt uitgevoerd door DNS-servers, die standaard worden beheerd door uw internetprovider (ISP).

Bijna alle ISP’s ter wereld houden logboeken bij van DNS-query’s die door hun klanten worden uitgevoerd, waardoor ze uw browsegeschiedenis kunnen inzien. Hoewel ISP’s uw internetactiviteit ook op andere manieren kunnen volgen, beperken de meeste zich tot het simpelweg bijhouden van DNS-logboeken.

Hoewel dit meestal niet standaard gebeurt, is het voor websites die u bezoekt mogelijk om het IP-adres te zien van de DNS-server die is gebruikt om de DNS-query op te lossen die u naar hun site leidt. Gewapend met deze kennis kunnen zij (of ieder ander die de website in de gaten houdt) vervolgens contact opnemen met uw ISP en vragen om het IP-adres te onthullen van de klant die de DNS-query heeft uitgevoerd.

Omdat DNS-resolutie door uw ISP wordt uitgevoerd, kunnen websites door het IP-adres van de gebruikte DNS-server te kennen, identificeren in welk land u zich bevindt. Als u een VPN(nieuw venster) of proxy gebruikt om uw echte IP-adres te verbergen, maar het IP-adres van de DNS-server van uw ISP is blootgesteld, kan deze discrepantie websites laten weten dat u probeert uw echte identiteit te maskeren.

DNS, Proton VPN en DNS-lekbescherming

Proton VPN pakt deze bedreiging aan door onze eigen DNS-servers te beheren. Net als al het andere internetverkeer worden DNS-query’s via de VPN-tunnel geleid om op onze servers te worden opgelost.

Voor de buitenwereld zal uw DNS-adres afwijken van het IP-adres van uw VPN-server, maar het zal tot hetzelfde datacentrum behoren. Het zal daarom nauw aansluiten bij de fysieke locatie van de VPN-server. (Merk op dat IPv6-verbindingen momenteel gewoon worden geblokkeerd, wat geen invloed heeft op uw internetervaring.)

Proton VPN houdt geen DNS-query’s bij en kan volgens de Zwitserse wetgeving niet worden gedwongen om hiermee te beginnen. We registreren ook de IP-adressen van onze gebruikers niet.

Meer informatie over het bedreigingsmodel van Proton VPN

Al onze apps implementeren DNS-lekbescherming, waarbij gebruik wordt gemaakt van firewallregels en andere platformspecifieke technieken om ervoor te zorgen dat er geen internetverkeer – inclusief DNS-query’s – uw apparaat kan binnenkomen of verlaten buiten de VPN-interface.

Er is echter een beperkt aantal omstandigheden waarin DNS-query’s buiten de VPN-tunnel om kunnen worden geleid.

DNS-diensten van derden

Het handmatig configureren van de wereldwijde DNS-instellingen van uw apparaat om een DNS-dienst van derden te gebruiken, zoals Google Public DNS, Cloudflare of OpenNIC, vergroot de kans dat er iets misgaat, aangezien het mogelijk is dat de aangepaste instellingen onze maatregelen ter voorkoming van DNS-lekken overschrijven.

We raden het gebruik van DNS-diensten van derden met Proton VPN dan ook ten zeerste af. Hieronder vindt u handleidingen voor het uitschakelen van aangepaste DNS-configuraties op alle grote platformen.

Windows 10

1. Ga naar Start → Instellingen → Netwerk en internet → uw netwerkinterface (bijv. Wifi of Ethernet) → Gerelateerde instellingen → Adapteropties wijzigen.

2. Klik met de rechtermuisknop op uw netwerkinterface → Eigenschappen → Internet Protocol Versie 4 (TCP/IPv4) → Eigenschappen.

3. Zorg ervoor dat Automatisch een DNS-serveradres laten toewijzen is geselecteerd en klik vervolgens op OK.

4. Als u een IPv6-verbinding hebt (of als u dit niet zeker weet), herhaalt u de stappen 2 en 3 voor Internet Protocol Versie 6 (TCP/IPv6).

macOS

Open de Instellingen-app en ga naar Netwerk → selecteer uw netwerkinterface (bijv. Wifi of Ethernet) → Details… → tabblad DNS. Selecteer eventuele DNS-servers van derden (als die er zijn) en klik op de –-knop om ze te verwijderen. Klik op OK wanneer u klaar bent.

Linux

Elke Linux-distributie en desktopomgeving biedt een andere (hoewel vaak zeer vergelijkbare) gebruikersinterface voor het wijzigen van DNS-instellingen. In Ubuntu GNOME bijvoorbeeld:

1. Ga naar Toepassingen weergeven → Alle → Instellingen → Netwerk en klik op het tandwielicoon naast uw netwerkinterface.

2. Ga naar de tabbladen IPv4 en IPv6. Zorg er onder DNS voor dat de schakelaar Automatisch staat ingesteld op aan en verwijder eventuele DNS-vermeldingen die u ziet. Klik op Toepassen wanneer u klaar bent.

Android 9+

Android 9+ biedt Privé-DNS, een systeembrede functie die de verbinding met de DNS-servers van uw ISP automatisch beveiligt met DoT (als dit door uw ISP wordt ondersteund – zie hieronder voor meer details), of waarmee u een aangepaste DNS-provider kunt opgeven. Om Privé-DNS uit te schakelen:

1. Open de Instellingen-app en ga naar Verbindingen → Meer verbindingsinstellingen → Privé-DNS → Uit.

Chrome OS

Ga naar Instellingen → selecteer uw netwerkinterface (bijv. Wifi of Ethernet. Als u Wifi gebruikt, moet u ook een bekend netwerk selecteren) → Geavanceerd → Naamservers en zorg ervoor dat Automatische naamservers is geselecteerd.

iOS en oudere versies van Android

De enige manier om de wereldwijde DNS-instellingen te wijzigen in iOS/iPadOS en Android-versies ouder dan Android 9 Pie, is door een app van derden te gebruiken die een dummy VPN-interface aanmaakt om te kunnen werken.

Aangezien het slechts mogelijk is om één VPN-verbinding tegelijk te hebben, kunt u deze apps sowieso niet tegelijkertijd met Proton VPN gebruiken.

DNS over HTTPS

DNS over HTTPS(nieuw venster) (DoH) is een versleutelingsstandaard die DNS-zoekopdrachten naar de DNS-server versleutelt. DoH werkt alleen als de standaard wordt ondersteund door de DNS-provider, maar wordt inmiddels aangeboden door een toenemend aantal DNS-diensten van derden (hoewel zelden door ISP’s).

Helaas verergert dit het probleem bij het gebruik van DNS-diensten van derden, omdat de versleuteling voorkomt dat onze software de DNS-zoekopdrachten kan zien. Hierdoor is het erg moeilijk om deze te blokkeren of om te leiden.

Wij raden het gebruik van DoH (en de vergelijkbare DNS over TLS-standaard) met Proton VPN dan ook ten zeerste af. Bij het gebruik van onze apps worden alle DNS-zoekopdrachten via de VPN-verbinding naar onze servers verzonden, waardoor ze veilig worden versleuteld zonder dat DoH of DoT nodig is.

Op desktopsystemen is DoH meestal geïmplementeerd in uw browser, en het wordt ondersteund door de meeste moderne browsers (behalve Safari). DoH en DoT worden ondersteund op mobiele apparaten via Android Privé-DNS of zelfstandige apps (zoals hierboven beschreven).

Hoe u DoH uitschakelt in uw desktopbrowser

Firefox

Ga naar ≡ → Instellingen → Privacy & beveiliging → DNS over HTTPS → Beveiligde DNS inschakelen met: en selecteer uit.

Chrome

Klik op het pictogram met de drie stipjes (verticale ellips) → Instellingen → Privacy en beveiliging → Privacy en beveiliging → Beveiliging → Geavanceerd → DNS-provider selecteren en zorg ervoor dat OS-standaard (indien beschikbaar) is geselecteerd in het vervolgkeuzemenu.

(Ga op een Chromebook naar Instellingen → Privacy en beveiliging → Geavanceerd)

Edge Chromium

Klik op het pictogram met de drie stipjes (horizontale ellips) → Instellingen → ≡ → Privacy, zoeken en services → Beveiliging en zorg ervoor dat Gebruik beveiligde DNS om te bepalen hoe het netwerkadres voor websites wordt opgezocht is uit.

Brave

Ga naar ≡ → Instellingen → Privacy en beveiliging→ → Beveiliging→ Geavanceerd en zorg ervoor dat Beveiligde DNS gebruiken is uit.

Uw verbinding met de VPN-server is verbroken

Als de verbinding tussen uw apparaat en de VPN-server wordt onderbroken, krijgt u mogelijk toegang tot het internet zonder de bescherming van de VPN. Dit betekent onder andere dat DNS-zoekopdrachten naar de standaard DNS-server van uw systeem kunnen worden verzonden (die waarschijnlijk door uw ISP wordt beheerd).

Dit probleem is eenvoudig op te lossen door de IP-beveiliging-functie in te schakelen, die nu beschikbaar is in al onze apps.

Hoe u controleert op DNS-lekken

1. Open onze app en maak verbinding met een van onze servers. Om een DNS-lektest uit te voeren, maakt het verbinden met een VPN in een ander land DNS-lekken gemakkelijker op te sporen.

2. Ga naar DNSleaktest.com(nieuw venster) in uw browser. U zou het IP-adres moeten zien van de VPN-server waarmee u verbinding hebt gemaakt. Kies een Standaard test of een uitgebreide test. Voor deze handleiding kiezen we voor een uitgebreide test.

3. Wacht tot de test is voltooid en bekijk de resultaten. Als het weergegeven IP-adres dat van uw echte ISP is, dan heeft u een DNS-lek. Zie hierboven voor oplossingen.

Houd er rekening mee dat Proton VPN samenwerkt met infrastructuurproviders over de hele wereld, dus de ISP kan een externe provider van derden zijn. Zolang het IP-adres niet van uw echte ISP is, heeft u geen DNS-lek.