Утечки DNS при использовании VPN

Все приложения Proton VPN включают в себя защиту от утечек DNS, разработанную для того, чтобы посещаемые вами веб-сайты и другие подобные ресурсы в интернете не могли определить ваш реальный DNS-адрес. Однако в некоторых редких случаях ваш компьютер может обходить эту защиту, из-за чего третьи лица смогут увидеть IP-адрес используемого вами DNS-сервера.

В этой статье мы объясним, что такое DNS, как он работает и почему ручная настройка параметров DNS может нарушить корректную работу нашей защиты от утечек DNS.

Что такое DNS?

Каждому подключению к интернету присваивается уникальный числовой идентификатор, известный как IP-адрес (Internet Protocol). Человеческий мозг не приспособлен для запоминания длинных последовательностей цифр, поэтому мы идентифицируем интернет-ресурсы (такие как веб-сайты и игровые серверы) с помощью более удобных для человека текстовых строк, называемых доменными именами.

Система доменных имен (DNS) похожа на всемирный телефонный справочник, который преобразует удобные для человека URL-адреса в IP-адреса, используемые компьютерами.

Так, например, если URL-адресу example.com соответствует IP-адрес 123.456.789.012, то ввод 123.456.789.012 в адресную строку браузера перенаправит вас на example.com. (На практике одному IP-адресу могут соответствовать несколько веб-сайтов, а одному домену — несколько IP-адресов. Но по сути, именно это и делает DNS.)

DNS и конфиденциальность

Разрешение DNS — это процесс сопоставления домена с соответствующим ему IP-адресом. Он выполняется DNS-серверами, которые по умолчанию обслуживаются вашим интернет-провайдером (ISP).

Практически все интернет-провайдеры в мире хранят журналы DNS-запросов своих пользователей, что позволяет им знать историю вашего веб-серфинга. Хотя провайдеры могут отслеживать вашу активность в интернете и другими способами, большинство из них ограничиваются только ведением журналов DNS.

Хотя обычно этого не происходит по умолчанию, посещаемые вами веб-сайты могут видеть IP-адрес DNS-сервера, использованного для разрешения DNS-запроса, который направил вас на их сайт. Располагая этой информацией, они (или кто-либо другой, наблюдающий за сайтом) могут обратиться к вашему интернет-провайдеру с просьбой раскрыть IP-адрес клиента, отправившего этот DNS-запрос.

Поскольку разрешение DNS выполняется вашим интернет-провайдером, знание IP-адреса используемого вами DNS-сервера позволяет веб-сайтам определять, в какой стране вы находитесь. Если вы используете VPN(новое окно) или прокси-сервер, чтобы скрыть свой настоящий IP-адрес, но IP-адрес DNS-сервера вашего провайдера остается открытым, это несоответствие позволит веб-сайтам понять, что вы пытаетесь замаскировать свои настоящие личные данные.

DNS, Proton VPN, и защита от утечек DNS

Proton VPN устраняет эту угрозу, запуская собственные DNS-серверы. Как и весь остальной интернет-трафик, DNS-запросы направляются через VPN-туннель для разрешения на наших серверах.

Для внешнего мира ваш DNS-адрес будет отличаться от IP-адреса вашего VPN-сервера, но он будет принадлежать к тому же дата-центру. Таким образом, он будет максимально соответствовать физическому местоположению VPN-сервера. (Обратите внимание, что в настоящее время подключения IPv6 просто блокируются, что никак не влияет на работу в интернете.)

Proton VPN не ведет журналы DNS-запросов, и по швейцарскому законодательству нас нельзя заставить начать их вести. Мы также не регистрируем IP-адреса наших пользователей.

Подробнее о модели угроз Proton VPN

Все наши приложения оснащены защитой от утечек DNS, использующей правила брандмауэра и другие специфические для платформы методы, чтобы гарантировать, что никакой интернет-трафик (включая DNS-запросы) не сможет войти или выйти с вашего устройства в обход интерфейса VPN.

Однако существует ряд обстоятельств, при которых DNS-запросы могут направляться за пределы VPN-туннеля.

Сторонние DNS-сервисы

Ручная настройка глобальных параметров DNS вашего устройства для использования сторонних DNS-сервисов, таких как Google Public DNS, Cloudflare или OpenNIC, повышает вероятность сбоев, поскольку пользовательские настройки могут переопределить наши меры по предотвращению утечек DNS.

Поэтому мы настоятельно не рекомендуем использовать сторонние DNS-сервисы с Proton VPN. Ниже приведены инструкции по отключению пользовательских конфигураций DNS на всех основных платформах.

Windows 10

1. Перейдите в меню Пуск → Параметры → Сеть и Интернет → ваш сетевой интерфейс (например, Wi-Fi или Ethernet) → Сопутствующие параметры → Настройка параметров адаптера.

2. Щелкните правой кнопкой мыши по сетевому интерфейсу → Свойства → IP версии 4 (TCP/IPv4) → Свойства.

3. Убедитесь, что выбран вариант Получить адрес DNS-сервера автоматически, а затем нажмите ОК.

4. Если у вас подключение IPv6 (или если вы не уверены в этом), повторите шаги 2 и 3 для IP версии 6 (TCP/IPv6).

macOS

Откройте приложение Настройки и перейдите в Сеть → выберите свой сетевой интерфейс (например, Wi-Fi или Ethernet) → Подробнее… → вкладку DNS. Выберите сторонние DNS-серверы (при их наличии), а затем нажмите кнопку –, чтобы удалить их. Нажмите ОК, когда закончите.

Linux

Каждый дистрибутив Linux и среда рабочего стола предлагают свой (хотя часто очень похожий) интерфейс для изменения настроек DNS. Например, в Ubuntu GNOME:

1. Перейдите в меню Показать приложения → Все → Параметры → Сеть и нажмите на значок шестеренки рядом с вашим сетевым интерфейсом.

2. Перейдите на вкладки IPv4 и IPv6. В разделе DNS убедитесь, что переключатель Автоматически находится в положении вкл., и удалите все имеющиеся DNS-записи. Нажмите Применить по завершении.

Android 9+

В Android 9+ доступна функция Частный DNS — общесистемная функция, которая автоматически защищает подключение к DNS-серверам вашего провайдера с помощью DoT (если это поддерживается вашим провайдером, подробнее см. ниже) или позволяет указать стороннего поставщика DNS. Чтобы отключить частный DNS:

1. Откройте приложение Настройки и перейдите в раздел Подключения → Дополнительные настройки → Частный DNS → Выкл..

Chrome OS

Перейдите в раздел Настройки → выберите сетевой интерфейс (например, Wi-Fi или Ethernet. При использовании Wi-Fi вам также потребуется выбрать известную сеть) → Дополнительно → Серверы имен и убедитесь, что выбран вариант Автоматические серверы имен.

iOS и более старые версии Android

Единственный способ изменить глобальные настройки DNS в iOS/iPadOS и версиях Android до Android 9 Pie — использовать стороннее приложение, которое создает фиктивный интерфейс VPN для работы.

Поскольку одновременно может быть активно только одно VPN-подключение, вы все равно не сможете использовать эти приложения параллельно с Proton VPN.

DNS поверх HTTPS

DNS over HTTPS(новое окно) (DoH) — это стандарт шифрования, который шифрует DNS-запросы к DNS-серверу. DoH работает только в том случае, если этот стандарт поддерживается DNS-провайдером, однако сейчас его предлагает все большее число сторонних служб DNS (хотя интернет-провайдеры делают это крайне редко).

К сожалению, это усугубляет проблему использования сторонних служб DNS, так как шифрование не позволяет нашему программному обеспечению видеть DNS-запросы. Из-за этого их очень сложно заблокировать или перенаправить.

Поэтому мы настоятельно не рекомендуем использовать DoH (и аналогичный стандарт DNS over TLS) с Proton VPN. При использовании наших приложений все DNS-запросы отправляются через VPN-подключение на наши серверы и, таким образом, надежно шифруются без необходимости использования DoH или DoT.

На настольных системах DoH обычно реализуется внутри вашего браузера и поддерживается большинством современных браузеров (за исключением Safari). DoH и DoT поддерживаются на мобильных устройствах через конфиденциальный DNS в Android или отдельные приложения (как описано выше).

Как отключить DoH в вашем браузере на компьютере

Firefox

Перейдите в раздел ≡ → Настройки → Конфиденциальность и безопасность → DNS over HTTPS → Включить безопасный DNS, используя: и выберите Выкл..

Chrome

Нажмите на значок с тремя точками вертикальное многоточие → Настройки → Конфиденциальность и безопасность → Конфиденциальность и безопасность → Безопасность → Продвинутые → Выберите DNS-провайдера и убедитесь, что в выпадающем меню выбрано По умолчанию для ОС (при наличии).

(На Chromebook перейдите в раздел Настройки → Конфиденциальность и безопасность → Дополнительные)

Edge Chromium

Нажмите на значок с тремя точками горизонтальное многоточие → Настройки → ≡ → Конфиденциальность, поиск и службы → Безопасность и убедитесь, что параметр Использовать безопасный DNS, чтобы указать, как определять сетевой адрес для веб-сайтов находится в положении Выкл..

Brave

Перейдите в ≡ → Настройки → Конфиденциальность и безопасность→ → Безопасность→ Дополнительные и убедитесь, что параметр Использовать безопасный DNS находится в положении Выкл..

Ваше подключение к VPN-серверу прервано

Если подключение между вашим устройством и VPN-сервером прервется, вы можете получить доступ к интернету без защиты VPN. Помимо прочего, это означает, что DNS-запросы могут отправляться на DNS-сервер вашей системы по умолчанию (который, вероятно, администрируется вашим интернет-провайдером).

Эту проблему легко решить, включив функцию kill switch, которая теперь доступна во всех наших приложениях.

Как проверить наличие утечек DNS

1. Откройте наше приложение и подключитесь к одному из наших серверов. Для проведения теста на утечку DNS подключение к VPN в другой стране облегчит обнаружение утечек DNS.

2. Перейдите на сайт DNSleaktest.com(новое окно) в своем браузере. Вы должны увидеть IP-адрес VPN-сервера, к которому вы подключились. Выберите Стандартный тест или Расширенный тест. В целях данного руководства мы выберем расширенный тест.

3. Дождитесь завершения теста и посмотрите на результаты. Если показанный IP-адрес принадлежит вашему настоящему интернет-провайдеру, значит, у вас есть утечка DNS. Способы решения проблемы см. выше.

Обратите внимание, что Proton VPN сотрудничает с провайдерами инфраструктуры по всему миру, поэтому интернет-провайдером может быть сторонняя компания. Если IP-адрес не принадлежит вашему настоящему интернет-провайдеру, у вас нет утечки DNS.