DNS — «телефонная книга» интернета: устройство спрашивает у DNS-сервера, какой IP у сайта, и только потом подключается. Утечка DNS — когда при включённом VPN эти запросы уходят к DNS-серверу провайдера. Тогда провайдер видит список всех сайтов, которые вы открываете. Закрывается утечка настройками клиента VPN, системы или браузера. Ниже — как проверить и закрыть.
Что такое DNS и как он «утекает»
Когда вы открываете youtube.com, устройство сначала отправляет DNS-запрос: «какой IP у youtube.com?». По умолчанию запрос идёт к DNS провайдера. VPN должен перенаправлять DNS-запросы в туннель, к своим серверам. Утечка происходит, если:
- клиент VPN не перехватывает DNS;
- в системе прописан DNS провайдера с приоритетом;
- работает функция Windows «умное разрешение имён», которая отправляет запросы во все сети сразу;
- VPN работает как прокси, а не как системный туннель.
Как проверить утечку DNS
- Включите VPN.
- Откройте наш инструмент проверка утечек VPN и посмотрите провайдера и страну.
- Для полноценной проверки DNS используйте специализированные сервисы проверки DNS-утечек — они показывают, какие DNS-серверы обрабатывают ваши запросы. Если среди них сервер вашего провайдера — утечка есть.
Как закрыть утечку
В приложении VPN
Включите опцию «Использовать DNS VPN» или «Защита от утечки DNS». В Hiddify и Happ включите режим TUN — тогда DNS идёт через туннель. После включения перезапустите браузер: он мог закэшировать старые ответы DNS.
На Windows
- Отключите «умное многосетевое разрешение имён» через редактор групповой политики: Конфигурация компьютера → Административные шаблоны → Сеть → DNS-клиент.
- В свойствах сетевого адаптера пропишите DNS, например 1.1.1.1, если клиент VPN не управляет DNS сам.
На Android
Настройки → Сеть и интернет → Частный DNS → укажите адрес DNS-провайдера с шифрованием, например one.one.one.one или dns.google. Это защищает DNS даже без VPN.
В браузере
В Firefox, Chrome, Edge и Яндекс Браузере есть «безопасный DNS» (DNS over HTTPS) в настройках безопасности. Включите его и выберите провайдера. Безопасный DNS в браузере закрывает только запросы браузера: приложения по-прежнему ходят к DNS провайдера, если VPN этого не исправляет.
DNS через HTTPS и TLS
| Технология | Что делает |
|---|---|
| DNS over HTTPS (DoH) | DNS-запросы внутри HTTPS — провайдер их не видит |
| DNS over TLS (DoT) | То же через отдельный порт 853 — используется в «Частном DNS» Android |
| Обычный DNS | Запросы открытым текстом — провайдер видит и может подменить |
DoH и DoT защищают DNS, но не скрывают IP и не открывают заблокированные сервисы — для этого нужен VPN.
Причины утечки DNS
| Причина | Решение |
|---|---|
| Клиент в режиме прокси, а не TUN | Включить TUN |
| DNS провайдера жёстко прописан в системе | Выставить автоматическое получение DNS или DNS сервиса |
| Windows отправляет запросы на все адаптеры | Отключить «умное разрешение имён» в групповых политиках или использовать клиент с защитой |
| IPv6 мимо туннеля | Отключить IPv6 или VPN с его поддержкой |
| Браузер со своим DoH | Обычно не утечка, но DNS идёт мимо VPN-сервера |
Утечка DNS на телефоне
На Android проверьте «Частный DNS» в настройках сети: если там указан сервер, он может работать мимо VPN. Для теста выставьте «Автоматически», подключите VPN и откройте наш инструмент проверка утечек VPN.
Какой VPN выбрать
Нужен VPN, который пускает DNS через туннель. Наш выбор — VPNType: приложения для всех систем, ключи для Hiddify и Happ с режимом TUN, шифрование AES-256, пробный Premium 5 дней за 1 ₽. После подключения откройте проверку утечек: в разделе DNS не должно быть серверов вашего провайдера.
AdGuard VPN
Бесплатная версия с лимитом трафика, премиум быстрее и с большими возможностями
Частые вопросы
Опасна ли утечка DNS?
Да: провайдер видит список сайтов, которые вы открываете, хотя сами страницы идут через VPN. А подмена DNS может отправить вас на поддельный сайт.
Нужен ли сторонний DNS с VPN?
Обычно нет: хороший VPN пускает DNS через туннель к своим серверам. Сторонний DNS нужен, если клиент этого не делает.
Что такое DoH?
DNS over HTTPS — DNS-запросы внутри зашифрованного HTTPS. Провайдер не видит, какие адреса вы запрашиваете.