DNS漏洩対策

更新日 2026年9月21日 · 調査方法について

DNSの漏洩とは、通信は暗号化されているのに名前解決が暗号化されていない状態です。トンネルがデータを運ぶ一方で、デバイスは接続先のアドレスをISPのリゾルバーに静かに問い合わせ — 訪問したすべてのサイトの一覧を渡してしまいます。

DNS漏洩対策で変わること

ページの要求は暗号化されていても、DNSクエリが宛先ドメインを明かしてしまうことがあります。

ZoogVPNは自社アプリのDNS漏洩対策を文書化しています。VPN Sherlockは、テスト結果を主張する前に観察可能なテスト条件を公表すべきです。

左：クエリがISPのリゾルバーへ抜けていく場合。右：クエリがトンネル内を通る場合。

原因の異なる三つの漏洩

これらは別々の問題です。DNSのテストに通っても、残る二つについては何も言えません。

漏洩原因対処
DNS漏れOSがトンネルの外のリゾルバーに名前解決を送ってしまう状態です。Windowsは、すべてのインターフェースに同時に問い合わせ、最初に応答したものを使うことがあるため、これが起きやすくなっています。クライアントは、トンネルのリゾルバーを設定し、それ以外へのクエリを遮断する必要があります。
IPv6の漏洩トンネルがIPv4しか運ばないのに、OSがIPv6を優先し、その通信を通常の回線に流してしまう状態です。クライアントは、IPv6をトンネルで運ぶか、接続中は無効にするかのどちらかを行う必要があります。
WebRTC漏れブラウザのAPIが、ピアツーピア接続のためにローカルおよびパブリックのアドレスを取得し、ICE候補を通じてページに渡してしまう状態です。ブラウザ側での対処：WebRTCを無効化または制限するか、拡張機能を使います。VPNだけではこれは解決しません。

WebRTCはブラウザ側の問題です

どのVPNも、単独でWebRTCの漏洩を完全に塞ぐことはできません。漏洩は、通信がネットワークスタックに届く前のブラウザの内側で起きるためです。そうでないと主張するプロバイダーは、技術的に可能なことを誇張しています。実際に使っているブラウザで確認してください。

確認の方法

  1. 接続する前に、実際のIPアドレスとISPを記録しておきます。
  2. 別の国のVPNサーバーに接続します。
  3. DNS漏洩のテストを行い、表示されるリゾルバーがISPではなくすべてVPNのものであることを確認します。
  4. IPv6の確認を行い、IPv6アドレスが表示されないか、表示される場合はVPNのものであることを確かめます。
  5. ブラウザごとに個別にWebRTCの確認を行ってください — 結果はブラウザによって異なります。
  6. 強制的に再接続させたあとにも繰り返してください。漏洩が最も起きやすいのはそのときです。

ZoogVPNが述べている内容

ZoogVPNによれば

ZoogVPNは「ZoogVPNのアプリをご利用の際は、DNS漏洩からお守りします。当社のアプリは、ISPがDNSクエリを受け取れないように構成されています」と述べ、ドメインは別のDNSサーバーで解決しているとしています。同社の漏洩対策のページはIPv6やWebRTCの漏洩に個別には触れておらず、私たちもこれらの挙動を独立に検証してはいません。

この記述はIPv6とWebRTCを対象にしていないため、VPNのテスト方法の手順に沿って、ご自身で確認してください。

よくある質問

DNSの漏洩とは何ですか？
通信はトンネルを通るのに、ドメインの問い合わせだけがトンネルの外のリゾルバー、たいていはISPのものへ出ていく状態です。結果として、閲覧の中身は守られるのに訪問したサイトの一覧は守られず、目的の大半が損なわれます。問い合わせの行き先を決めるのはOSであり、VPNクライアントは単に存在するだけでなくその判断を上書きしなければならないため、よく起こります。
VPNはWebRTCの漏洩を止められますか？
完全には防げません。WebRTCはブラウザーに候補アドレスを問い合わせるため、露出はVPNが制御するネットワーク経路ではなくブラウザーの内側で起きます。VPNは公開アドレスが本物にならないようにはできますが、確実な対処はブラウザーの設定か拡張機能です。挙動はブラウザーごとに異なるので、使っているブラウザーそれぞれで試してください。
再接続のあとに漏洩が起きるのはなぜですか？
再接続のあいだ、仮想インターフェースが一瞬消え、OSは既定のリゾルバーに戻ります。この数秒こそが問題であり、VPNを放置した状態で試してもほとんど分からないのはそのためです。これを防ぐのはファイアウォール層のキルスイッチです。クライアントが再接続するのを待つのではなく、トンネル外の通信を遮断するからです。
代わりに自分でDNSを設定すれば良いのでは？
できますし、ISPのリゾルバー対策にはなりますが、同じ問題を解決するわけではありません。手動で指定した公開リゾルバーも、あなたの問い合わせを見ていますし、クライアントがトンネル内に通さない限りトンネルの外にあります。目的は、問い合わせの宛先を変えることではなく、問い合わせがトンネルを通ることです。
DNSが正常でもIPv6が原因で漏れますか？
あります。そしてこれが最も見落とされがちです。トンネルがIPv4しか通していないのに回線にIPv6もある場合、OSがIPv6を優先し、その通信をトンネルの外へ丸ごと流すことがあります。IPv6アドレスは別途確認してください。表示されないか、表示されるならVPNのものであるべきです。