Wycieki DNS podczas korzystania z VPN

Wszystkie aplikacje Proton VPN posiadają ochronę przed wyciekiem DNS, która zapobiega identyfikowaniu Twojego prawdziwego adresu DNS przez odwiedzane strony internetowe i tym podobne. Istnieją jednak pewne nieliczne sytuacje, w których Twój komputer może obejść te zabezpieczenia, co pozwala podmiotom trzecim zobaczyć adres IP serwera DNS, z którego rzeczywiście korzystasz.

W tym artykule wyjaśniamy, czym jest DNS, jak działa i dlaczego ręczne konfigurowanie ustawień DNS może uniemożliwić prawidłowe działanie naszej ochrony przed wyciekiem DNS.

Czym jest DNS?

Każdemu połączeniu z internetem przypisywany jest unikalny identyfikator numeryczny znany jako adres protokołu internetowego (IP). Ludzki mózg nie jest przystosowany do zapamiętywania długich ciągów liczb, dlatego identyfikujemy zasoby internetowe (takie jak strony internetowe i serwery gier) za pomocą bardziej przyjaznych dla człowieka ciągów tekstowych zwanych nazwami domen.

Domain Name System (DNS) jest jak globalna książka telefoniczna, która tłumaczy przyjazne dla człowieka adresy URL na adresy IP używane przez komputery.

Na przykład, jeśli adres URL example.com ma adres IP 123.456.789.012, wpisanie 123.456.789.012 w pasku adresu przeglądarki przeniesie Cię na stronę example.com. (W praktyce adres IP może odpowiadać wielu stronom internetowym, a jedna domena może odpowiadać wielu adresom IP. Jednak w gruncie rzeczy to właśnie robi DNS.)

DNS a prywatność

Rozpoznawanie nazw DNS to proces tłumaczenia domeny na odpowiadający jej adres IP. Jest ono wykonywane przez serwery DNS, które są domyślnie obsługiwane przez Twojego dostawcę usług internetowych (ISP).

Prawie wszyscy dostawcy usług internetowych (ISP) na świecie przechowują logi zapytań DNS wysyłanych przez swoich klientów, co pozwala im poznać historię Twojego przeglądania. Chociaż dostawcy ISP mogą śledzić Twoją aktywność w internecie również w inny sposób, większość z nich ogranicza się po prostu do przechowywania logów DNS.

Choć zazwyczaj nie dzieje się to domyślnie, odwiedzane przez Ciebie strony internetowe mogą zobaczyć adres IP serwera DNS użytego do przetworzenia zapytania DNS, które skierowało Cię na ich witrynę. Posiadając tę wiedzę, mogą one (lub ktokolwiek inny obserwujący tę stronę) skontaktować się z Twoim dostawcą usług internetowych (ISP) i poprosić o ujawnienie adresu IP klienta, który wysłał to zapytanie DNS.

Ponieważ rozpoznawanie nazw DNS jest wykonywane przez Twojego dostawcę usług internetowych (ISP), znajomość adresu IP używanego przez Ciebie serwera DNS pozwala stronom internetowym określić, w jakim kraju się znajdujesz. Jeśli korzystasz z VPN(nowe okno) lub serwera proxy, aby ukryć swój prawdziwy adres IP, ale adres IP serwera DNS Twojego dostawcy ISP jest ujawniony, ta niezgodność może pozwolić stronom internetowym dowiedzieć się, że próbujesz maskować swoją prawdziwą tożsamość.

DNS, Proton VPN i ochrona przed wyciekiem DNS

Proton VPN eliminuje to zagrożenie, korzystając z własnych serwerów DNS. Podobnie jak w przypadku całego innego ruchu internetowego, zapytania DNS są kierowane przez tunel VPN, aby zostały obsłużone na naszych serwerach.

Dla świata zewnętrznego Twój adres DNS będzie się różnić od adresu IP Twojego serwera VPN, ale będzie należeć do tego samego centrum danych. Będzie zatem ściśle dopasowany do fizycznej lokalizacji serwera VPN. (Pamiętaj, że połączenia IPv6 są obecnie po prostu blokowane, co nie wpływa na korzystanie z internetu.)

Proton VPN nie rejestruje zapytań DNS i zgodnie ze szwajcarskim prawem nie może zostać zmuszony do ich rejestrowania. Nie rejestrujemy również adresów IP naszych użytkowników.

Dowiedz się więcej o modelu zagrożeń Proton VPN

Wszystkie nasze aplikacje posiadają ochronę przed wyciekiem DNS, wykorzystując reguły zapory sieciowej oraz inne techniki specyficzne dla danej platformy, aby upewnić się, że żaden ruch internetowy – w tym zapytania DNS – nie może wejść ani wyjść z Twojego urządzenia poza interfejsem VPN.

Istnieje jednak kilka sytuacji, w których zapytania DNS mogą być kierowane poza tunel VPN.

Usługi DNS stron trzecich

Ręczna konfiguracja globalnych ustawień DNS Twojego urządzenia w celu korzystania z usług DNS stron trzecich, takich jak Google Public DNS, Cloudflare czy OpenNIC, zwiększa ryzyko wystąpienia problemów, ponieważ niestandardowe ustawienia mogą nadpisać nasze zabezpieczenia przed wyciekiem DNS.

Z tego względu stanowczo odradzamy korzystanie z usług DNS stron trzecich w połączeniu z Proton VPN. Poniżej znajdują się instrukcje dotyczące wyłączania niestandardowych konfiguracji DNS na wszystkich głównych platformach.

Windows 10

1. Przejdź do: Start → Ustawienia → Sieć i internet → Twój interfejs sieciowy (np. Wi-Fi lub Ethernet) → Powiązane ustawienia → Zmień opcje karty.

2. Kliknij prawym przyciskiem myszy na swój interfejs sieciowy → Właściwości → Protokół internetowy w wersji 4 (TCP/IPv4) → Właściwości.

3. Upewnij się, że opcja Uzyskaj adres serwera DNS automatycznie jest zaznaczona, a następnie kliknij OK.

4. Jeśli masz połączenie IPv6 (lub nie masz pewności, czy je masz), powtórz kroki 2 i 3 dla Protokół internetowy w wersji 6 (TCP/IPv6).

macOS

Otwórz aplikację Ustawienia i przejdź do Sieć → wybierz swój interfejs sieciowy (np. Wi-Fi lub Ethernet) → Szczegóły… → kartę DNS. Wybierz wszelkie serwery DNS stron trzecich (jeśli istnieją), a następnie kliknij przycisk –, aby je usunąć. Kliknij OK, gdy skończysz.

Linux

Każda dystrybucja Linuksa i każde środowisko graficzne oferuje inny (choć często bardzo podobny) interfejs użytkownika do zmiany ustawień DNS. Na przykład w Ubuntu GNOME:

1. Przejdź do Pokaż aplikacje → Wszystkie → Ustawienia → Sieć i kliknij ikonę koła zębatego obok swojego interfejsu sieciowego.

2. Przejdź do kart IPv4 i IPv6. W sekcji DNS upewnij się, że przełącznik Automatycznie jest włączony i usuń wszelkie widoczne wpisy DNS. Kliknij Zastosuj, gdy skończysz.

Android 9+

System Android 9+ oferuje funkcję Prywatny DNS – ogólnosystemową opcję, która automatycznie chroni połączenie z serwerami DNS Twojego dostawcy ISP przy użyciu protokołu DoT (jeśli jest on obsługiwany przez dostawcę – szczegóły poniżej) lub pozwala na wskazanie niestandardowego dostawcy DNS. Aby wyłączyć prywatny DNS:

1. Otwórz aplikację Ustawienia i przejdź do: Połączenia → Więcej ustawień połączenia → Prywatny DNS → Wyłączony.

Chrome OS

Przejdź do Ustawienia → wybierz swój interfejs sieciowy (np. Wi-Fi lub Ethernet. W przypadku korzystania z Wi-Fi musisz również wybrać znaną sieć) → Zaawansowane → Serwery nazw i upewnij się, że opcja Automatyczne serwery nazw jest zaznaczona.

iOS i starsze wersje systemu Android

Jedynym sposobem na zmianę globalnych ustawień DNS w systemach iOS/iPadOS oraz wersjach systemu Android starszych niż Android 9 Pie jest użycie aplikacji stron trzecich, która do działania tworzy fikcyjny interfejs VPN.

Ponieważ w danym momencie możliwe jest tylko jedno aktywne połączenie VPN, i tak nie można uruchomić tych aplikacji jednocześnie z Proton VPN.

DNS over HTTPS

DNS over HTTPS(nowe okno) (DoH) to standard szyfrowania, który szyfruje zapytania DNS wysyłane do serwera DNS. DoH działa tylko wtedy, gdy standard ten jest obsługiwany przez dostawcę DNS, ale obecnie jest oferowany przez coraz większą liczbę usług DNS stron trzecich (choć rzadko przez dostawców ISP).

Niestety pogłębia to problem z korzystaniem z usług DNS stron trzecich, ponieważ szyfrowanie uniemożliwia naszemu oprogramowaniu odczytanie zapytań DNS. Przez to ich blokowanie lub przekierowywanie jest bardzo utrudnione.

Dlatego zdecydowanie odradzamy korzystanie z DoH (oraz podobnego standardu DNS over TLS) z Proton VPN. Podczas korzystania z naszych aplikacji wszystkie zapytania DNS są wysyłane przez połączenie VPN do naszych serwerów, dzięki czemu są bezpiecznie zaszyfrowane bez konieczności używania DoH lub DoT.

W systemach komputerowych funkcja DoH jest zazwyczaj wdrażana w Twojej przeglądarce i jest obsługiwana przez większość nowoczesnych przeglądarek (z wyjątkiem Safari). DoH i DoT są obsługiwane na urządzeniach mobilnych za pośrednictwem prywatnego DNS w systemie Android lub samodzielnych aplikacji (jak opisano powyżej).

Jak wyłączyć DoH w Twojej przeglądarce na komputerze

Firefox

Przejdź do ≡ → Ustawienia → Prywatność i bezpieczeństwo → DNS over HTTPS → Włącz bezpieczny DNS przy użyciu: i wybierz wyłączone.

Chrome

Kliknij ikonę trzech kropek (pionowy wielokropek) → Ustawienia → Prywatność i bezpieczeństwo → Prywatność i bezpieczeństwo → Bezpieczeństwo → Zaawansowane → Wybierz dostawcę DNS i upewnij się, że z menu rozwijanego wybrana jest opcja Domyślny systemu operacyjnego (jeśli jest dostępny).

(Na Chromebooku przejdź do Ustawienia → Prywatność i bezpieczeństwo → Zaawansowane)

Edge Chromium

Kliknij ikonę trzech kropek (poziomy wielokropek) → Ustawienia → ≡ → Prywatność, wyszukiwanie i usługi → Bezpieczeństwo i upewnij się, że opcja Użyj bezpiecznego protokołu DNS, aby określić sposób wyszukiwania adresów sieciowych witryn internetowych jest wyłączona.

Brave

Przejdź do ≡ → Ustawienia → Prywatność i bezpieczeństwo→ → Bezpieczeństwo→ Zaawansowane i upewnij się, że opcja Używaj bezpiecznego DNS jest wyłączona.

Twoje połączenie z serwerem VPN zostało przerwane

Jeśli połączenie między Twoim urządzeniem a serwerem VPN zostanie przerwane, możesz uzyskać dostęp do internetu bez ochrony VPN. Oznacza to m.in., że zapytania DNS mogą być wysyłane do domyślnego serwera DNS Twojego systemu (który prawdopodobnie jest prowadzony przez Twojego dostawcę ISP).

Ten problem można łatwo rozwiązać, włączając funkcję Kill Switch, która jest teraz dostępna we wszystkich naszych aplikacjach.

Jak sprawdzić, czy występują wycieki DNS

1. Otwórz naszą aplikację i połącz się z jednym z naszych serwerów. Na potrzeby przeprowadzenia testu wycieku DNS połączenie z VPN w innym kraju ułatwi wykrycie ewentualnych wycieków DNS.

2. Otwórz stronę DNSleaktest.com(nowe okno) w przeglądarce. Zobaczysz tam adres IP serwera VPN, z którym masz połączenie. Wybierz test standardowy lub test rozszerzony. Na potrzeby tego poradnika wybierzemy test rozszerzony.

3. Poczekaj na zakończenie testu i zapoznaj się z wynikami. Jeśli wyświetlony adres IP należy do Twojego rzeczywistego dostawcy ISP, oznacza to wyciek DNS. Rozwiązania tego problemu opisano powyżej.

Pamiętaj, że Proton VPN współpracuje z dostawcami infrastruktury na całym świecie, więc dostawcą ISP może być dostawca będący stroną trzecią. Dopóki adres IP nie należy do Twojego rzeczywistego dostawcy ISP, nie masz wycieku DNS.