Как проверить утечку DNS, IP, WebRTC и IPv6 при включённом VPN

Что такое утечка DNS и IP

Утечка — это когда при включённом VPN часть данных всё же уходит мимо туннеля и раскрывает то, что туннель должен скрывать. Классических видов четыре, и проверяются они по-разному.

• Утечка IP. Сайты видят ваш реальный внешний адрес, а не адрес VPN-сервера. Так бывает, если трафик идёт мимо маршрутов туннеля — из-за неполного списка AllowedIPs, раздельного туннелирования или паузы при переключении сетей.
• Утечка DNS. Запросы имён уходят к DNS провайдера или роутера, а не к резолверу VPN. Содержимое соединений зашифровано, но список посещённых доменов виден оператору сети.
• Утечка через WebRTC. Браузерная технология для звонков и видеоконференций умеет узнавать адреса устройства через STUN-серверы и отдавать их скрипту на странице — в некоторых конфигурациях включая реальный внешний IP.
• Утечка IPv6. Туннель настроен только на IPv4, а провайдер выдаёт устройству ещё и IPv6-адрес. Сайты с поддержкой IPv6 открываются напрямую, с адресом, по которому легко определить оператора и регион.

Утечка не выглядит как поломка: страницы открываются, приложение показывает «подключено», счётчики трафика растут. Поэтому проверка нужна не когда что-то сломалось, а сразу после настройки и после каждой значимой смены сети.

Пошаговая проверка утечек за пять минут

1. Зафиксируйте исходную точку. Не включая VPN, откройте сайт проверки IP и DNS-утечек — популярны dnsleaktest.com и ipleak.net. Запишите внешний IP, город, провайдера и список DNS-серверов из расширенного теста. Это ваш отпечаток без защиты.
2. Включите туннель и дождитесь рукопожатия. В приложении WireGuard должна появиться строка «Последнее рукопожатие», а счётчик полученных байтов — расти. Если рукопожатия нет, проверять утечки рано: сначала статья «WireGuard не подключается».
3. Проверьте IP. Откройте страницу проверки в приватном окне браузера. Адрес должен принадлежать VPN-серверу: другая страна, другой провайдер. Совпадение с записью из шага 1 — утечка IP.
4. Проверьте DNS. Запустите расширенный тест DNS. В норме — один-два сервера, относящихся к VPN-сервису, либо ваш DoH-резолвер, если вы включали его в браузере. Серверы домашнего провайдера в списке — утечка DNS.
5. Проверьте WebRTC. На ipleak.net и похожих сайтах есть блок WebRTC. Локальные адреса вида 192.168.x.x или имена с mDNS — норма. Ваш реальный внешний IPv4 или IPv6 — утечка.
6. Проверьте IPv6. В поле IPv6 должно быть либо пусто, либо адрес VPN-сервера. Адрес вашего провайдера — утечка IPv6.
7. Повторите в другой сети. Переключитесь с Wi-Fi на мобильный интернет и обратно, дайте телефону полежать с выключенным экраном и проверьте снова: утечки чаще всего случаются при переключении сетей.

Проверку без VPN не обязательно повторять каждый раз, но в первый раз она важна: без «до» непонятно, что считать «после». Записывать результаты удобнее скриншотами.

Особенности проверки на телефоне, компьютере и роутере

Тест на сайте показывает утечку только для браузера, в котором вы его открыли. На телефоне это важно: браузер может использовать собственный DoH, а мессенджеры и банковские приложения — системный DNS, поэтому результаты у них разные. Проверяйте в том браузере, которым пользуетесь каждый день, и при включённом «Приватном DNS» на Android помните, что его резолвер тоже появится в списке — это не утечка, запросы к нему зашифрованы.

На компьютере с несколькими сетевыми адаптерами (Wi-Fi плюс кабель, виртуальные адаптеры гипервизоров) система иногда рассылает DNS-запросы во все интерфейсы сразу. Официальный клиент WireGuard для Windows пресекает это при полном туннеле, а сторонние клиенты и ручные настройки — не всегда; расширенный тест покажет лишние серверы.

Если туннель поднят на роутере, проверяйте с каждого типа устройств за ним: при политиках раздельного туннелирования телевизор и ноутбук могут ходить разными путями, и «утечка» у одного из них окажется настройкой. У устройств без браузера — телевизора, приставки — путь трафика смотрят по журналу роутера или временно подключают к той же политике телефон и проверяют с него.

Как читать результаты

Последняя строка важна. Базы геолокации IP часто ошибаются на сотни километров, поэтому город в результате теста не совпадает с реальным расположением сервера. Признак утечки — ваш собственный адрес и провайдер, а не «неправильная» страна.

Обычный DNS-тест делает несколько запросов, расширенный — несколько десятков и находит резолверы, которые используются изредка. Для диагностики берите расширенный и запускайте его дважды: второй прогон отсекает случайные результаты из кэша.

Причины утечек и как их исправить

DNS уходит к провайдеру

Чаще всего в конфиге нет строки DNS либо система не применила её. Проверьте файл: в клиентском конфиге WireGuard должен быть резолвер туннеля, в конфигах Muhomor VPN он прописан заранее. В Windows убедитесь, что пользуетесь официальным клиентом WireGuard: при маршруте по умолчанию он не даёт системе отправлять DNS-запросы мимо туннельного адаптера. Если в браузере включён DoH, тест покажет этот резолвер — это не утечка. Подробнее о строке DNS — в разборе конфига WireGuard.

IPv6 идёт напрямую

В строке AllowedIPs есть 0.0.0.0/0, но нет ::/0. Добавьте ::/0 через запятую — тогда IPv6-трафик тоже пойдёт в туннель; если сервер IPv6 не поддерживает, такие соединения просто не выйдут наружу, и сайты откроются по IPv4. Альтернатива — отключить IPv6 на устройстве: в Windows это галочка «IP версии 6 (TCP/IPv6)» в свойствах сетевого адаптера, на роутере — раздел IPv6 в настройках подключения.

WebRTC показывает реальный адрес

При полном туннеле WebRTC обычно отдаёт адрес VPN, так что проблема проявляется вместе с утечкой IPv6 или при раздельном туннелировании. В Firefox WebRTC выключается параметром media.peerconnection.enabled = false на странице about:config; в Chrome и Edge встроенного выключателя нет — используют расширения, ограничивающие WebRTC, или корпоративную политику обработки IP-адресов. После отключения перестанут работать звонки в веб-версиях мессенджеров.

Трафик идёт мимо при смене сети

Когда ноутбук выходит из сна или телефон переходит с Wi-Fi на LTE, приложения на несколько секунд могут получить сеть раньше, чем поднимется туннель. Лечится kill switch и автоподключением: в Windows-клиенте WireGuard — флажок kill-switch в окне редактирования туннеля, на Android — «Постоянная VPN» в системных настройках VPN вместе с соседним переключателем, отсекающим соединения вне VPN, на iPhone — «Подключение по требованию» в настройках туннеля. Подробно — в статье о kill switch и always-on VPN.

Часть трафика идёт напрямую по замыслу

При раздельном туннелировании выбранные приложения или адреса сознательно ходят мимо туннеля. Например, в «умном режиме» Muhomor VPN российские сервисы видят ваш реальный адрес, а остальной трафик защищён. Тест покажет это как «утечку», хотя это ожидаемое поведение. Если нужна полная защита, скажем в публичном Wi-Fi, включите обычный конфиг с полным туннелем.

Почему в WireGuard утечки редки

Утечки — в основном наследие сложных VPN-клиентов, где маршруты, DNS и правила файрвола настраиваются по отдельности и могут разъехаться. В WireGuard маршрутизация встроена в протокол: строка AllowedIPs одновременно определяет, что уходит в туннель и что из него принимается. Если там 0.0.0.0/0, ::/0, пакету некуда деться, кроме туннеля.

Клиенты дополняют это на уровне системы. В Linux wg-quick помечает пакеты туннеля и настраивает policy routing так, чтобы незашифрованный трафик не ускользал через прежний маршрут по умолчанию. Клиент для Windows умеет отсекать всё, что не идёт через туннель, и удерживает DNS на туннельном адаптере. На Android и iPhone приложение работает через системный VPN-интерфейс: система сама заворачивает в него весь трафик и подменяет DNS на указанный в конфиге.

Поэтому у готового конфига WireGuard — с полным AllowedIPs и строкой DNS — утечек почти не бывает; они появляются после ручных правок, при раздельном туннеле или из-за браузера. Muhomor VPN выдаёт такой конфиг на каждое устройство и не требует ничего настраивать вручную, но пятиминутную проверку после первого подключения стоит сделать в любом случае. Как получить конфиг и начать с бесплатных 3 дней — на главной странице.

Ложные тревоги: что не является утечкой

• Город не совпадает с расположением сервера — ошибка базы геолокации, а не утечка.
• В DNS-тесте чужой публичный резолвер, а не сервер VPN — вы включили DoH в браузере; запросы к нему идут внутри туннеля.
• WebRTC показывает 192.168.x.x или имена с .local — это адреса вашей домашней сети, снаружи они бесполезны.
• Страница показывает старый IP после включения VPN — кэш браузера. Обновите с очисткой кэша или откройте приватное окно.
• Тест не видит IPv6 совсем — норма: многие провайдеры пока не выдают IPv6 домашним абонентам, а при ::/0 в конфиге IPv6 наружу и не должен выходить.
• В DNS-тесте два-три сервера одного сервиса — резолверы VPN дублируются для надёжности; важно лишь, чтобы среди них не было вашего провайдера.
• В разных браузерах разные результаты — один из них использует собственный DoH. Системную картину показывает браузер без DoH.

Чек-лист

1. Рукопожатие есть, счётчик принятых байтов растёт.
2. Внешний IP принадлежит VPN-серверу.
3. В DNS-тесте нет серверов провайдера.
4. WebRTC не показывает реальный внешний адрес.
5. IPv6 отсутствует или принадлежит VPN.
6. В конфиге: AllowedIPs = 0.0.0.0/0, ::/0 и строка DNS.
7. Включены kill switch или always-on.
8. Проверка повторена после смены сети.

Если после всех шагов утечка остаётся, напишите в поддержку сервиса со скриншотом теста и структурой конфига без ключей. У Muhomor VPN это Telegram-бот @muhomorvpn_bot или почта vpn@muhomorvpn.ru.