Утечка DNS: как проверить и исправить при защищённом соединении

Защищённое соединение прячет, какие сайты вы открываете, — но только если через него идут и запросы адресов этих сайтов. Когда запросы DNS уходят мимо, говорят об утечке DNS. Мы разбирали её на своих устройствах; ниже — как проверить себя за минуту, как читать результат и что исправлять.

Что такое утечка DNS и чем она плоха

Прежде чем открыть сайт, устройство спрашивает его IP-адрес у DNS-сервера. Если этот вопрос уходит обычным путём — напрямую провайдеру и без шифрования, — то:

• › владелец сети видит список сайтов, которые вы открываете, хотя сам трафик зашифрован;
• › ответ по дороге можно подменить. Мы видели это вживую: на одной из машин запрос адреса крупного видеосервиса возвращал «такого сайта нет», хотя через туннель тот же адрес находился за доли секунды. Снаружи это выглядело как «сайт не открывается», а соединение было ни при чём.

Как проверить за минуту

1. 1. Включите соединение в Happ.
2. 2. Откройте сайт проверки утечки DNS — например, dnsleaktest.com или browserleaks.com/dns — и запустите расширенный тест.
3. 3. Посмотрите, чьи DNS-серверы в списке.

• › Утечка: в списке серверы вашего провайдера или серверы в вашем городе.
• › Норма: только публичные DNS-серверы (Google, Cloudflare) рядом со страной выбранного сервера.

Помните, что браузер с включённым «Безопасным DNS» спрашивает адреса сам, мимо системы, — и тест в браузере покажет его, а не то, как резолвят остальные программы.

Что мы проверили на разных устройствах

• › Android (Happ, Android 16): все запросы адресов шли через туннель, внешние DNS-серверы видели сеть нашего сервера, а не телефона. Утечки нет.
• › Windows (Happ): утечка была. Без включённого профиля маршрутизации Happ с движком туннеля по умолчанию отправлял запросы адресов открытым путём, мимо соединения, и выбирал резолвер по скорости ответа — то есть обычно ближайший, провайдерский. С движком туннеля sing-box запросы идут через туннель — так настроено на нашей рабочей машине.
• › iPhone: отдельно не проверяли. Тест выше покажет вам ответ для вашего устройства.

Как исправить

1. 1. Для браузера — «Безопасный DNS». В настройках Chrome, Edge, Firefox или Яндекс Браузера включите DNS-over-HTTPS. Запросы браузера пойдут зашифрованными внутри соединения. Системная настройка DNS в Windows при этом не помогает — адрес DNS туннельного адаптера назначает Happ.
2. 2. Для всей системы на Windows — в расширенных настройках туннеля Happ выберите движок sing-box и переподключитесь, затем повторите тест.
3. 3. На телефоне держите включённым профиль маршрутизации из нашей подписки: в нём запросы адресов идут по DNS-over-HTTPS. Подробнее — в гайде «Маршрутизация в Happ».

Что мы делаем на стороне серверов

• › Повторное определение адреса на сервере. Сервер смотрит, к какому сайту на самом деле идёт соединение, и сам заново узнаёт его адрес. Поэтому подменённый адрес от местного резолвера не уведёт трафик на чужой сервер. Ответ «сайта не существует» так не лечится — тут нужна починка на устройстве, описанная выше.
• › Зашифрованный DNS самих серверов. Наши серверы спрашивают адреса по DNS-over-TLS, поэтому даже в дата-центре не видно, какие сайты запрашиваются.

Частые вопросы