# Утечка DNS — с VPN всё в порядке, сдаёт вас DNS

> Вы оплатили хороший VPN, трафик зашифрован, выходной IP чистый. И всё равно каждый сайт, который вы открываете, тихо объявляется открытым текстом резолверу, который вы не выбирали, — часто это резолвер вашего провайдера — с привязкой к вашему реальному абонентскому счёту. DNS — это адресная книга интернета, и если запросы утекают за пределы туннеля, туннель — это театр. Выход прячет, куда идут пакеты; DNS‑запрос уже сообщил, куда они направлялись.

Markdown twin of https://xmr.club/ru/opsec/17-dns-leakage. CC-BY-4.0. Attribute "xmr.club".

## At a glance

- Canonical: https://xmr.club/ru/opsec/17-dns-leakage
- Series: #OPSEC52 — weekly threat-model-first OPSEC cards
- Week: 17
- Pillar: Сеть / VPN / Tor
- Difficulty: intermediate
- Cost: $0
- Language: ru
- Published: 2026-09-14

## Body

# OPSEC52 / Неделя 17 — Утечка DNS: с VPN всё в порядке, сдаёт вас DNS

> Вы оплатили хороший VPN, трафик зашифрован, выходной IP чистый. И всё равно каждый сайт, который вы открываете, тихо объявляется открытым текстом резолверу, который вы не выбирали, — часто это резолвер вашего провайдера — с привязкой к вашему реальному абонентскому счёту. DNS — это адресная книга интернета, и если запросы утекают за пределы туннеля, туннель — это театр.

**Модель угроз:** ваш провайдер и его логируемый резолвер, любой DNS‑провайдер, видящий запросы в открытом виде (с меткой времени, привязкой к линии), враждебный оператор Wi‑Fi с перехватывающим резолвером и аналитик, которому нужен лишь **список имён, которые вы запрашивали**, чтобы восстановить ваш вечер. Утёкший запрос — это метаданные, а метаданные переживают шифрование.

## Простые 20%, которые все делают правильно

Включаете VPN, видите новый IP на `whatismyip`, чувствуете себя в безопасности. Это простая часть, и она действительно необходима — но она прячет только то, **откуда выходят пакеты**. DNS — отдельный вопрос: *прежде* чем браузер откроет соединение с сайтом, он спрашивает: «какой IP у этого имени?». Если этот вопрос уходит не тому резолверу или за пределы шифрованного туннеля, выходной IP уже не важен. У кого‑то уже есть открытый лог с меткой времени: *эта линия запрашивала такие‑то домены в такое‑то время*.

## Почему запрос утекает даже с поднятым VPN

Три типичных сбоя, ни один не очевиден:

- **Раздельный туннель / «залипший» системный резолвер.** ОС закэшировала DNS‑сервер ещё *до* подъёма туннеля (провайдерский или роутера из кафе) и продолжает им пользоваться. VPN перенёс ваш трафик; ОС так и не перенесла запросы.
- **Побег через IPv6.** VPN туннелирует IPv4, но у машины есть родной IPv6. Браузер предпочитает IPv6, резолвит и подключается по нему — прямо мимо туннеля. Это самая частая утечка из серии «но у меня же был VPN».
- **WebRTC и резолверы уровня приложений.** Браузеры и часть приложений сами разрешают имена или раскрывают ваши реальные локальные адреса через WebRTC, обходя настройки ОС.

Признак незаметен: всё *работает*, страницы грузятся, и ничто не подталкивает проверить. Утечка по своей природе тиха.

## Исправление, по порядку отдачи

1. **Заставьте DNS идти через туннель.** Надёжный VPN‑клиент разрешает DNS *внутри* туннеля через резолвер самого провайдера и блокирует любой другой DNS. Mullvad, IVPN и Proton делают так по умолчанию — убедитесь, что опция есть и включена, не полагайтесь на догадки.
2. **Шифруйте сам запрос — DoH / DoT.** DNS‑over‑HTTPS или DNS‑over‑TLS оборачивают запрос, чтобы сеть не могла его ни прочитать, ни подделать. Полезно, но поймите компромисс: это прячет запрос от провайдера и передаёт эту видимость тому, кто держит шифрованный резолвер. Шифрование — не анонимность: выбирайте резолвер, которому вы правда доверили бы список своего сёрфинга (Quad9, Mullvad DNS), а не тот, что на нём зарабатывает.
3. **Отключите IPv6, если VPN его не несёт.** Если клиент не умеет туннелировать IPv6, отключите IPv6 на интерфейсе целиком. Отключённый протокол не утечёт.
4. **Kill‑switch без утечек.** Клиент должен обрубать *весь* трафик — включая DNS — в тот же миг, как туннель падает, а не откатываться на локальный резолвер.

## Проверяйте — не верьте маркетингу

Считайте, что утечка есть, пока не доказали обратное. Откройте тест на утечку DNS (`dnsleaktest.com`, страница проверки самого Mullvad) с поднятым VPN и посмотрите, какие резолверы отвечают. Если видите своего провайдера, свой город или любой сервер, который вы не выбирали, — туннель течёт. Перепроверяйте после каждого обновления ОС и в каждой новой сети: обновление Windows или macOS может тихо сбросить настройки резолвера, а Wi‑Fi с кэптив‑порталом с радостью подсунет свой.

## Уголок приватных монет

Именно поэтому публика прозрачных блокчейнов недооценивает сетевые метаданные. Можно иметь идеально чистый ончейн‑след и всё равно связать ваш кошелёк, ваш узел и привычки к блок‑эксплореру через утёкший DNS — каждый запрос к `xmrchain.net` или к бирже это имя в чьём‑то логе. Если пустить трафик кошелька и узла через Tor (или через туннель без утечек с принудительным DNS), эта поверхность корреляции закрывается. Купить без KYC — это ончейн‑половина; не сообщать провайдеру о каждом сервисе, которого вы касаетесь, — сетевая половина. Обе или никакой.

**Одно действие на сегодня:** поднимите VPN, откройте тест на утечку DNS и реально посмотрите, какие резолверы отвечают. Если среди них ваш провайдер — значит, вы всё это время, считая себя защищённым, сливали весь список своего сёрфинга. Исправьте настройку DNS в клиенте, отключите IPv6, если он не туннелируется, и перепроверьте.

---

*Куратор — [Cyber Satoshi](https://x.com/xbtoshi). Часть OPSEC52 — 52 недели, 52 столпа приватности, сперва модель угроз. См. также Неделю 1 (дисциплина выходов VPN) и Неделю 5 (компартментализация браузера).*

## Related

- HTML: https://xmr.club/ru/opsec/17-dns-leakage
- Series index: https://xmr.club/ru/opsec
- Twin index: https://xmr.club/ru/llm/opsec.txt