Утечки DNS и IP: как проверить, что VPN не сливает данные

«VPN включён» и «VPN защищает» — не одно и то же. Туннель может быть поднят, значок гореть, IP в браузере меняться — и при этом часть ваших запросов будет уходить мимо него. Это называется утечкой, и её не видно без отдельной проверки.

Что такое утечка простыми словами

VPN создаёт зашифрованный туннель между устройством и сервером. Всё, что попадает в туннель, скрыто. Проблема в том, что не всё туда попадает автоматически: у устройства есть несколько каналов связи и несколько способов выяснить адрес сайта. Утечка — это когда информация уходит в обход туннеля.

Для вас это значит: провайдер, владелец Wi-Fi или сайт видят ваш настоящий адрес и/или список доменов, которые вы открываете, — хотя вы считаете, что скрыты.

Четыре вида утечек

1. Утечка DNS — самая распространённая

Когда вы открываете сайт, устройство сначала спрашивает у DNS-сервера, по какому адресу живёт домен. По умолчанию спрашивает у того сервера, который выдал провайдер — и этот запрос уходит напрямую, даже если весь остальной трафик уже в туннеле.

Что это выдаёт: провайдер видит полный список доменов, которые вы открываете. Не содержимое страниц — но сами адреса, а этого часто достаточно, чтобы понять о человеке почти всё.

Признак: тест на утечку DNS показывает серверы вашего провайдера или города, а не сервер VPN.

Лечение: в конфиге должна быть строка DNS = с адресом сервера внутри туннеля. В наших конфигах это 10.66.0.1 — собственный DNS-сервер, доступный только из VPN, поэтому запрос физически не может уйти провайдеру.

2. Утечка IP

Самый очевидный вариант: вы подключены, но сайт видит ваш обычный адрес. Причины бывают разные — приложение не перехватило маршруты, включено раздельное туннелирование и браузер в исключениях, туннель отвалился, а интернет остался.

Признак: адрес на странице проверки IP совпадает с тем, что был без VPN.

Лечение: проверить, что в конфиге AllowedIPs = 0.0.0.0/0 — это означает «весь трафик в туннель». Если там перечислены отдельные подсети, то всё остальное идёт напрямую, и это не утечка, а настройка, о которой стоит помнить.

3. Утечка через WebRTC

WebRTC — технология, которая даёт браузеру возможность соединяться напрямую с другими устройствами: видеозвонки, демонстрация экрана, часть онлайн-игр. Чтобы установить прямое соединение, браузеру нужен адрес — и он его узнаёт своими средствами, не всегда через туннель.

Итог: вы заходите на сайт с включённым VPN, а скрипт на этом сайте через WebRTC узнаёт ваш реальный IP и даже локальный адрес в домашней сети.

Признак: тесты показывают два адреса — «подменённый» из VPN и настоящий.

Лечение: отключить WebRTC в браузере (в Firefox — media.peerconnection.enabled = false в about:config), поставить расширение-блокировщик либо использовать браузер, который не отдаёт локальные адреса. В мобильных приложениях этой утечки нет — она про браузеры на компьютере.

4. Утечка через IPv6

Коварная и очень частая. У вас два типа адресов: IPv4 и IPv6. Если VPN забирает в туннель только IPv4, то весь IPv6-трафик продолжает идти напрямую, в обход.

Хуже того, многие сайты теперь предпочитают IPv6, если он доступен. То есть браузер может ходить по «незакрытому» протоколу чаще, чем по закрытому.

Признак: тест показывает IPv4 от VPN, а IPv6 — ваш собственный.

Лечение: либо IPv6 тоже заводится в туннель (AllowedIPs = 0.0.0.0/0, ::/0 и адрес в Address), либо отключается в системе. В наших конфигах IPv6-адрес выдаётся только тогда, когда он реально работает через туннель — «полузакрытых» конфигов мы не делаем.

Как проверить себя за три минуты

1. Маршрут. Откройте проверку маршрута. Страница показывает два адреса сразу: каким вас видят российские сайты и каким — зарубежные. Если туннель работает, адреса различаются. Если оба одинаковые — трафик идёт напрямую.
2. DNS. Зайдите на любой сервис проверки утечек DNS. Смотрите не на «зелёную галочку», а на список серверов: там должны быть адреса вашего VPN, а не провайдера и не вашего города.
3. WebRTC. Откройте в браузере тест WebRTC. Если он показывает локальный адрес вида 192.168.x.x или ваш реальный внешний IP — утечка есть.
4. IPv6. В том же тесте посмотрите блок IPv6. Пусто или адрес из туннеля — хорошо. Ваш настоящий IPv6 — плохо.
5. Смена сети. Повторите проверку на мобильном интернете. Некоторые сети ведут себя иначе — например, подменяют DNS принудительно.

Почему утечки чаще случаются в чужих сетях

Дома вы контролируете роутер, а в кафе, отеле и аэропорту — нет. Там нередки:

• принудительный DNS. Сеть перехватывает любые запросы на 53-й порт и отвечает сама — ради страницы авторизации;
• блокировка нестандартного UDP. Туннель не поднимается, а интернет работает — и человек думает, что защищён;
• свои сертификаты. Некоторые сети подменяют HTTPS-сертификаты для перехвата — при включённом VPN это сразу даёт ошибку, что само по себе хороший сигнал.

Вывод простой: в незнакомой сети проверка занимает полминуты и делается один раз — зато сразу видно, работает ли защита в этих условиях.

Что делать, если утечка нашлась

1. Переподключите туннель и повторите проверку. Иногда приложение просто не успело забрать маршруты.
2. Переустановите конфиг. Удалите профиль и импортируйте свежий: старый файл мог остаться без строки DNS.
3. Проверьте раздельное туннелирование. Если браузер в исключениях — он и будет ходить напрямую, это ожидаемо.
4. Переключите DNS в боте между AdGuard и Google и сравните результат.
5. Закройте WebRTC в браузере, если утечка нашлась только там.
6. Проверьте IPv6 в системе: если провайдер даёт IPv6, а конфиг без него — попросите конфиг с IPv6 или отключите IPv6.

Частые вопросы

Если IP не меняется — это утечка?

Нет, это отсутствие туннеля. Утечка — когда часть данных уходит мимо работающего VPN. Если адрес не изменился вовсе, VPN не подключён или не забрал маршруты.

Провайдер видит, какие сайты я открываю, даже с VPN?

При работающем туннеле и DNS внутри него — нет. Провайдер видит только факт зашифрованного соединения с сервером VPN и объём трафика. Если DNS утекает, он увидит домены, но не содержимое страниц.

Нужен ли «kill switch»?

Полезен, но не обязателен. Kill switch блокирует интернет при обрыве туннеля, чтобы трафик не пошёл напрямую в момент переподключения. В наших условиях туннель обычно восстанавливается за секунды, но в дороге эта функция не лишняя.

На телефоне тоже бывают утечки?

DNS и IP — да, WebRTC — практически нет. Мобильные клиенты забирают весь трафик в туннель целиком, поэтому там утечки редки и связаны в основном с IPv6.

VPN показывает другой город, но сайт всё равно знает, откуда я

Скорее всего, дело в cookie и входе в аккаунт: сервис узнаёт вас не по адресу, а по логину и сохранённой сессии. Это не утечка VPN — это узнавание пользователя. Проверьте в приватном окне без авторизации.