Защита от утечек DNS

Обновлено 21 сентября 2026 г. · Как мы исследуем

Утечка DNS означает, что ваш трафик зашифрован, а ваши запросы имён — нет. Туннель несёт данные, пока устройство тихо спрашивает у резолвера вашего провайдера, к какому адресу подключиться, — передавая список всех посещаемых вами сайтов.

Защита от утечек DNS: что меняется

Запрос страницы может быть зашифрован, а DNS-запрос всё равно раскрывает домен назначения.

Без защиты от утечек DNS
УСТРОЙСТВОDNS-запрос вне туннеляDNS провайдеравидит домен
Раскрытие данных
Резолвер может связать запрошенные домены с сетевым подключением пользователя.
Один только значок VPN не доказывает приватность DNS.
С защитой DNS через VPN
УСТРОЙСТВОЗапрос идёт по защищённому маршрутуDNS через VPNвнутри маршрута
Ожидаемый результат
Резолвер провайдера не используется для запроса — при условии правильной настройки приложения и операционной системы.
Проверьте повторяемыми тестами IPv4, IPv6 и WebRTC.

ZoogVPN документирует защиту от утечек DNS в своих приложениях; VPN Sherlock следует публиковать наблюдаемые условия тестирования, прежде чем заявлять о результатах тестов.

Слева: запрос уходит к резолверу провайдера. Справа: запрос идёт внутри туннеля.

Три утечки с разными причинами

Это отдельные проблемы. Пройденный тест DNS ничего не говорит о двух других.

Утечка	Причина	Решение
Утечка DNS	Операционная система отправляет запросы резолверу вне туннеля. Windows к этому склонна, потому что может опрашивать все интерфейсы сразу и использовать тот, который ответит первым.	Клиент должен задать резолвер туннеля и блокировать запросы к любому другому.
Утечка IPv6	Туннель несёт только IPv4, но операционная система предпочитает IPv6 и отправляет этот трафик через обычное соединение.	Клиент должен либо проводить IPv6 через туннель, либо отключать его на время соединения.
Утечка WebRTC	API браузера определяет локальные и публичные адреса для соединений точка-точка и раскрывает их странице через кандидаты ICE.	На уровне браузера: отключите или ограничьте WebRTC либо используйте расширение. Один только VPN это не решает.

WebRTC — это проблема браузера

Ни один VPN не может полностью закрыть утечку WebRTC сам по себе, потому что утечка происходит внутри браузера до того, как трафик доходит до сетевого стека. Любой провайдер, утверждающий обратное, преувеличивает технически возможное. Проверьте это в том браузере, которым действительно пользуетесь.

Как проверить

Запишите свой реальный IP-адрес и провайдера до подключения.
Подключитесь к VPN-серверу в другой стране.
Запустите тест на утечку DNS и убедитесь, что каждый показанный резолвер принадлежит VPN, а не вашему провайдеру.
Проведите проверку IPv6 и убедитесь, что либо адрес IPv6 не показан, либо он принадлежит VPN.
Проведите проверку WebRTC отдельно в каждом браузере — результаты между ними различаются.
Повторите после принудительного переподключения — именно тогда утечки появляются чаще всего.

Что заявляет ZoogVPN

По данным ZoogVPN

ZoogVPN заявляет: «Когда вы пользуетесь приложениями ZoogVPN, мы защищаем вас от утечек DNS. Наши приложения настроены так, что провайдер не может получать DNS-запросы», — и что домены разрешаются через другие DNS-серверы. Его страница о защите от утечек не касается отдельно утечек IPv6 и WebRTC, и мы не тестировали независимо ни одно из этих поведений.

Поскольку это заявление не охватывает IPv6 и WebRTC, проверьте их сами по шагам из материала как протестировать VPN.

Частые вопросы

Что такое утечка DNS?

Трафик идёт через туннель, а запросы доменных имён уходят к резолверу вне его — обычно к провайдерскому. В результате содержимое просмотра защищено, а список посещённых сайтов нет, что сводит на нет значительную часть смысла. Это частое явление, потому что решение о том, куда идут запросы, принимает операционная система, и VPN-клиент должен это решение переопределить, а не просто присутствовать.

Может ли VPN остановить утечки WebRTC?

Не полностью. WebRTC запрашивает у браузера адреса-кандидаты, поэтому утечка происходит внутри браузера, а не на сетевом пути, который контролирует VPN. VPN может сделать так, чтобы публичный адрес был не настоящим, но надёжное решение — настройка или расширение браузера. Проверяйте каждый используемый браузер отдельно: поведение у них разное.

Почему утечки появляются после переподключения?

Во время переподключения виртуальный интерфейс ненадолго исчезает, и система возвращается к резолверу по умолчанию. Именно это окно и важно — поэтому проверка VPN в покое почти ничего не говорит. Предотвращает это kill switch на уровне файрвола: он блокирует трафик вне туннеля, а не ждёт, пока клиент поднимет новый.

Можно ли просто прописать свой DNS?

Можно, и это помогает против провайдерского резолвера, но решает другую задачу. Вручную заданный публичный резолвер по-прежнему видит ваши запросы и по-прежнему находится вне туннеля, если клиент не заводит его внутрь. Цель в том, чтобы запросы шли через туннель, а не просто уходили в другое место.

Бывают ли утечки через IPv6, даже когда с DNS всё в порядке?

Да, и именно это чаще всего упускают. Если туннель несёт только IPv4, а у вашего соединения есть ещё и IPv6, система может предпочесть IPv6 и направить этот трафик вообще мимо туннеля. Проверяйте наличие IPv6-адреса отдельно: либо его не должно быть вовсе, либо тот, что есть, должен принадлежать VPN.