DNSリークとは何か

要点

デバイスがサイトに接続する前に、DNSサーバーへサイトのアドレスを尋ねます。VPN接続中は、その問い合わせもトンネルを通るはずです。そうならない状態がDNSリークです。通信は保護されていても、訪問したすべてのサイト名が、訪れた順にネットワークへ伝わります。

VPN自体は終始まったく問題なく見え、クライアントにも接続中と表示されることがあります。

名前解決が外に出る理由

ほとんどのシステムでは、DNSは通信が通る経路とは別に、独自の設定で処理されます。そのため、両者が分かれてしまう原因はいくつかあります。

• クライアントがDNSを設定しない。 トンネルは通信を運びますが、システムはネットワークから指定されたDNSサーバーを使い続けます。
• システムが複数のサーバーに問い合わせる。 一部のOSは複数のネットワーク接続に問い合わせを送り、最も速い応答を採用します。その中にトンネルの外にある接続が含まれることがあります。
• デバイスの設定が上書きする。 システムやアプリで手動設定したDNSサーバーが、VPNのDNSの代わりに使われることがあります。
• IPv6。 IPv4にしか対応していないクライアントでは、IPv6の名前解決がオープンなネットワークに残ることがあります。
• ブラウザーが独自に名前解決する。 ブラウザーは独自の暗号化DNSサービスを使えます。ネットワークからその内容を読み取ることはできませんが、選んでいないサービスに問い合わせが届きます。
• 再接続。 一時的な中断中は、トンネルが復旧するまで名前解決に通常の接続が使われることがあります。

誰に何が見えるか

つまり、リークを修正しても名前解決そのものが非公開になるわけではありません。誰に届くかが変わるだけです。そのため、プロバイダーがトンネル内で独自のDNSを運用しているか、そしてそのプロバイダーが何を保持するかが重要になります。

確認方法

1. VPNをオフにして、インターネットプロバイダーの名前を確認します。
2. VPNに接続し、DNSリークテストのページを開きます。できれば拡張テストを実行するページを使います。
3. 応答したサーバーの所有者を確認します。リストにインターネットプロバイダーの名前があれば、リークしています。
4. ネットワークを切り替えた後にも、さらに使用する別のブラウザーでも、もう一度実行します。

問題のない結果で確認できるのは、そのデバイスでその時点の状態だけです。システムやクライアントを更新した後は、再確認する価値があります。

対処方法

まずクライアント自体の設定を確認します。多くのクライアントにはDNSリーク防止のオプションがあるため、有効になっているか確認してください。デバイスで設定したカスタムDNSは、残す意図がない限り削除し、ブラウザーのセキュアDNS設定も確認します。それでもクライアントが名前解決をトンネル内に保てないなら、プロバイダーは基本的な役割の一つを果たせていません。

リークは設定上の不具合であり、誰を信頼するかというより大きな問題とは別です。このサイトはプロバイダーが公開した情報を読み取り、クライアントのリークをテストしていないため、自分で確認してください。VPNとは何かでは、この手順がどこに当たるかを説明しています。