Как проверить утечку DNS и IPv6 за минуту: браузер и терминал

Что такое утечка и почему VPN её не видит

Утечка - это любой запрос, который ушёл в сеть мимо VPN-туннеля. VPN-клиент её не замечает: туннель работает, просто часть трафика в него не попадает.

Мест таких пять:

• внешний IP - VPN отключился на пару секунд, а программа продолжила работу напрямую;
• IPv6 - туннель настроен только для IPv4, а у провайдера есть IPv6, и сайты, которые его поддерживают, видят настоящий адрес;
• DNS - адреса сайтов спрашиваются у DNS провайдера, и провайдер видит, что вы открываете;
• WebRTC - браузер для звонков и видеосвязи сообщает сайту адреса сетевых интерфейсов в обход прокси;
• программы мимо прокси - VPN работает в режиме прокси, браузер идёт через него, а терминал, git и ИИ-агенты - напрямую.

Проверка в браузере

Самый быстрый способ - открыть с включённым VPN сайт проверки утечек, например ipleak.net или browserleaks.com. Смотрите на четыре строки:

• IPv4 - должен быть адрес VPN;
• IPv6 - либо адрес VPN, либо «не обнаружен». Адрес вашего провайдера здесь - утечка;
• DNS-серверы - должны быть в той же стране, что и VPN, а не у вашего провайдера;
• WebRTC - в списке не должно быть вашего настоящего публичного адреса.

У этой проверки есть слепое пятно: она проверяет только браузер. Если VPN работает в режиме прокси, браузер покажет идеальную картину, а остальные программы при этом ходят напрямую.

Проверка из терминала: три команды

Терминал показывает, что видят программы, а не браузер. На Mac и Linux выполните по очереди:

• curl -4 -s https://ifconfig.co - ваш IPv4. Должен быть адрес VPN;
• curl -6 -s https://ifconfig.co - ваш IPv6. Хорошо, если команда вернула ошибку или адрес VPN. Адрес провайдера - утечка;
• dig +short whoami.akamai.net - адрес DNS-сервера, через который идут ваши запросы. Если это сервер провайдера, DNS течёт. На Windows вместо dig - nslookup whoami.akamai.net.

Сравните первый адрес с тем, что показал сайт проверки в браузере. Если они разные, VPN заворачивает только браузер, и все остальные программы работают с настоящего адреса.

Как закрыть каждую утечку

• IPv6 - включите в VPN-клиенте защиту от утечки IPv6 или отключите IPv6 в настройках сети, если VPN его не поддерживает;
• DNS - включите в клиенте «использовать DNS VPN» или защиту от утечки DNS. На Windows утечку часто даёт умное разрешение имён по всем сетям сразу - его отключают в групповой политике;
• WebRTC - в браузере ограничьте WebRTC настройкой или расширением, если звонки в браузере не нужны;
• программы мимо прокси - переключите VPN-клиент из режима прокси в режим системного VPN (его называют TUN, «весь трафик» или «для всех приложений»);
• обрывы - включите kill switch. Чем отличается встроенный в VPN от kill switch для программ, рассказали в статье kill switch: что это и почему встроенный не всегда спасает.

После каждого изменения повторите проверку: настройки одного клиента иногда сбрасываются при обновлении.

Проверка, которая делает это сама

Ручная проверка показывает картину на одну минуту, а сеть меняется: сон ноутбука, другой Wi-Fi, переподключение VPN. Поэтому в наш Kordon встроена проверка утечек, которая запускается кнопкой и сама при каждой смене сети: IPv4 у нескольких сервисов сразу, IPv6, страна DNS, программы мимо прокси, WebRTC через расширение для браузера и маршрут до самих ИИ-сервисов.

Нашлась утечка - Kordon подскажет, что включить в VPN, и напишет в Telegram. Если для программы адрес не тот, она встанет на паузу, пока всё не придёт в норму.

Если задача уже на столе - вот как мы делаем это под ключ: Разработка корпоративного сайта под ключ.

Частые вопросы