Как проверить, что VPN не течёт: DNS, WebRTC и IPv6

VPN включён, значок в статус-баре горит — и это ещё ничего не значит. Часть трафика может уходить мимо туннеля, показывая ваш настоящий адрес. Ниже — три типичные утечки и как их проверить за пять минут.

1. Утечка DNS

Прежде чем открыть сайт, устройство спрашивает у DNS-сервера, какому адресу соответствует имя. Если этот запрос уходит мимо туннеля — к серверу вашего провайдера, — то провайдер видит полный список сайтов, которые вы открываете, даже когда сам трафик зашифрован.

Как проверить: при включённом VPN откройте dnsleaktest.com и запустите расширенный тест. В результатах должны быть серверы страны, к которой вы подключены, и её провайдеров. Увидели там название своего домашнего провайдера — DNS течёт.

Как чинится: в нормальной конфигурации DNS-серверы прописаны внутри профиля, и запросы идут через туннель. Если ваш клиент этого не делает, пропишите публичные серверы вручную в его настройках.

2. Утечка WebRTC

WebRTC — технология звонков и видеосвязи прямо в браузере. Чтобы соединить двух собеседников напрямую, она узнаёт локальный и внешний адрес устройства и может отдать их странице в обход VPN. Сайт получает ваш реальный IP простым скриптом, ничего не взламывая.

Как проверить: при включённом VPN откройте browserleaks.com/webrtc. В строке публичного адреса должен быть адрес VPN-сервера. Ваш домашний адрес там появляться не должен.

Как чинится: в Firefox — параметр media.peerconnection.enabled в about:config переключить в false. В браузерах на Chromium помогает расширение, ограничивающее WebRTC. Если вы не пользуетесь звонками в браузере, отключайте без сожаления.

3. Утечка IPv6

Самая незаметная. У провайдера включён IPv6, у VPN — нет. Сайты, доступные по обоим протоколам, открываются по IPv6 напрямую, мимо туннеля, и видят ваш настоящий адрес. При этом проверка на «какой у меня IP» может показывать адрес VPN, потому что она смотрит только IPv4.

Как проверить: при включённом VPN откройте test-ipv6.com. Если тест находит рабочий IPv6-адрес вашего провайдера — есть утечка.

Как чинится: либо VPN должен принимать в туннель и IPv6, либо IPv6 отключается на устройстве целиком. Многие клиенты умеют блокировать IPv6 галочкой в настройках.

Быстрая проверка за пять минут

1. Запишите свой адрес без VPN на 2ip.ru.
2. Включите VPN, обновите страницу — адрес должен смениться.
3. Проверьте DNS на dnsleaktest.com.
4. Проверьте WebRTC на browserleaks.com/webrtc.
5. Проверьте IPv6 на test-ipv6.com.

Если на всех четырёх шагах ваш домашний адрес и провайдер нигде не всплыли — туннель герметичен.

Отдельно: утечка при обрыве

Есть ещё один случай, который тесты не покажут. Соединение с сервером рвётся на секунду — и устройство продолжает работать напрямую, пока клиент переподключается. За эти секунды приложения успевают отправить запросы с реального адреса.

Лечится двумя вещами: функцией kill switch в клиенте, которая режет весь трафик при потере туннеля, и профилем с автоматическим переключением между серверами — тогда обрыв закрывается соседним сервером за доли секунды, а не ожиданием, пока вернётся упавший.