DNS в прокси-режиме: кто и что видит

Соединение может идти через сервер, а имя сайта при этом разрешаться напрямую у провайдера. Тогда трафик закрыт, а список посещённых имён — нет.

Что вообще происходит

Прежде чем открыть сайт, компьютер переводит его имя в числовой адрес. Этим занимается служба разрешения имён. В прокси-режиме есть два варианта: имя переводит сама программа на той стороне (через сервер) или его переводит ваш компьютер и только потом отправляет запрос в порт.

Второй вариант и называют утечкой имён: содержимое соединения защищено, но перечень того, куда вы ходили, известен тому, кто отвечает за разрешение имён на вашей стороне.

Насколько это вообще важно

Зависит от того, от чего вы защищаетесь. Если задача — открыть недоступный сайт, разрешение имён роли не играет: сайт откроется в любом случае. Если задача — не оставлять у провайдера перечень посещённых имён, то играет, и решается это одной галочкой.

Что точно не стоит делать — паниковать из-за формулировки «утечка». Она звучит страшнее, чем есть: речь о списке имён, а не о содержимом переписки и не о паролях. Их видимость от этой настройки не зависит вовсе.

Как влияет тип прокси

В браузерах на движке Chromium есть отдельный переключатель, отвечающий за то, отправлять имя в прокси или разрешать самому. В Firefox то же самое настраивается в его собственных параметрах сети (браузеры).

Что видно провайдеру, а что нет

Содержимое соединения провайдеру недоступно: оно зашифровано, и это верно независимо от того, кто разрешает имена. Виден сам факт соединения с внешним узлом и его объём — это неизбежно, потому что трафик физически идёт по его каналу.

А вот перечень имён, которые вы открывали, при разрешении на своей стороне действительно проходит через сервер провайдера — обычным запросом, который никто не шифрует. Именно это и называют утечкой имён, и именно это лечится настройкой в браузере.

Как проверить

1. Подключите утилиту и включите прокси там, где проверяете.
2. Откройте сервис проверки утечек имён — их несколько, ищутся по словам «dns leak test».
3. Сравните список серверов разрешения имён с тем, что показывал тот же сервис до включения.
4. Совпал — имена разрешаются у вас, и это утечка. Изменился — они уходят через сервер.

Почему это вообще возможно

Прокси принимает запрос уже готовым к отправке. Если программа успела перевести имя в адрес до того, как обратилась к посреднику, посреднику достаётся только число — а перевод к этому моменту уже случился на вашей стороне и был кому-то виден.

В туннельном режиме такого разделения нет: там перехватывается вообще всё, включая запросы на разрешение имён. Поэтому вопрос «а куда уходят имена» — характерный именно для прокси-режима, и на него полезно ответить один раз (сравнение режимов).

Хорошая новость в том, что решается это настройкой самой программы, а не утилиты. В браузерах переключатель есть почти всегда, и после его включения имя уезжает в порт вместе с запросом.

Как это связано с исключениями

Имена, попавшие в список исключений, разрешаются у вас и уходят напрямую — это часть замысла: локальные адреса и банк должны ходить мимо сервера целиком, включая перевод имени в адрес.

Поэтому проверка утечек имён при включённых исключениях всегда покажет смешанную картину, и это нормально. Смотреть нужно на те имена, которые в список не входят (про исключения).

Что можно сделать

• Включить в браузере передачу имени в прокси, если такой переключатель есть.
• Использовать SOCKS5 вместо HTTP там, где выбор есть (про порты).
• Включить в браузере шифрованное разрешение имён — тогда даже локальный путь закрыт от посторонних глаз.
• Не смешивать: если у программы одновременно свой прокси и свои настройки имён, проверяйте результат, а не предположение.