Διαρροές DNS και IP: τι είναι και πώς να τις ελέγξετε

Μια σήραγγα κρυπτογραφεί ό,τι κυκλοφορεί μέσα της, αλλά από μόνη της δεν εγγυάται ότι όλη η κίνηση καταλήγει εκεί. Μέρος των αιτημάτων μπορεί να βγει απευθείας, παρακάμπτοντας το προστατευμένο κανάλι — και ακριβώς αυτά σας προδίδουν: τον πάροχο, την πόλη, μερικές φορές και την πραγματική σας διεύθυνση IP. Παρακάτω, τα τρία πιο συχνά κενά και ένας τρόπος να ελέγξετε το καθένα σε πέντε λεπτά.

Τρία είδη διαρροών με απλά λόγια

Πριν ελέγξετε οτιδήποτε, είναι χρήσιμο να καταλάβετε τι ακριβώς ψάχνετε. Οι διαρροές είναι τριών ειδών, με διαφορετικούς μηχανισμούς:

• Διαρροή DNS. Κάθε φορά που ανοίγετε μια ιστοσελίδα, η συσκευή σας ρωτά έναν διακομιστή DNS ποια IP αντιστοιχεί στο όνομα του domain. Αν αυτό το αίτημα πηγαίνει στον διακομιστή του παρόχου σας αντί μέσω της σήραγγας, ο πάροχος βλέπει τη λίστα των ιστοσελίδων που επισκέπτεστε — ακόμη κι αν η ίδια η κίνηση είναι κρυπτογραφημένη.
• Διαρροή IP. Μια ιστοσελίδα ή υπηρεσία εντοπίζει την πραγματική σας διεύθυνση αντί της διεύθυνσης του διακομιστή VPN. Από την IP είναι εύκολο να προσδιοριστεί ο πάροχος και η κατά προσέγγιση τοποθεσία.
• Διαρροή WebRTC. Η τεχνολογία για βιντεοκλήσεις που είναι ενσωματωμένη στους browsers μπορεί να μάθει τις τοπικές και δημόσιες διευθύνσεις IP σας απευθείας, παρακάμπτοντας τις ρυθμίσεις proxy και σήραγγας.

Γιατί το DNS σας προδίδει πιο συχνά

Το DNS είναι ο κατάλογος διευθύνσεων του διαδικτύου: μεταφράζει κατανοητά ονόματα όπως example.com σε αριθμητικές IP. Το πρόβλημα είναι ότι τα κλασικά αιτήματα DNS βγαίνουν σε απλό κείμενο και συχνά κατευθύνονται σε διακομιστή που είναι καταχωρισμένος στις ρυθμίσεις δικτύου ή ορισμένος από τον πάροχο. Ακόμη και με ενεργή σήραγγα, το σύστημα μπορεί από συνήθεια να ρωτά το «δικό του» DNS — και τότε η λίστα των domains σας είναι ορατή στο δίκτυο.

Η λύση σε επίπεδο πρωτοκόλλου είναι να κρυπτογραφηθούν τα ίδια τα αιτήματα DNS. Το πρότυπο RFC 8484 περιγράφει το DNS over HTTPS (DoH): το αίτημα τυλίγεται μέσα σε μια κανονική σύνδεση HTTPS, ώστε να μη διακρίνεται από την υπόλοιπη κίνηση ιστού και να προστατεύεται από παραποίηση. Σύμφωνα με την τεκμηρίωση της Cloudflare, ένα τέτοιο αίτημα διέρχεται από τη θύρα 443 — την ίδια που χρησιμοποιούν και οι συνηθισμένες ιστοσελίδες — γι' αυτό είναι δύσκολο να ξεχωρίσει μέσα στη γενική ροή. Τι προσφέρει γενικά η κρυπτογράφηση το εξηγήσαμε στο άρθρο βασικές αρχές κρυπτογράφησης, ενώ πώς διαφέρει η αλλαγή DNS από ένα VPN αναλύεται στο άρθρο VPN, proxy και DNS: η διαφορά.

Διαρροή IP και η πονηριά του WebRTC

Με τη «συνηθισμένη» διαρροή IP όλα είναι σαφή: αν μια ιστοσελίδα βλέπει τη διεύθυνση του διακομιστή VPN αντί της δικής σας, όλα είναι εντάξει. Πολύ πιο περίπλοκα συμπεριφέρεται το WebRTC. Είναι μια τεχνολογία browser για κλήσεις και απευθείας μεταφορά αρχείων ανάμεσα σε συσκευές· για να συνάψει απευθείας σύνδεση, χρειάζεται να γνωρίζει τις πραγματικές διευθύνσεις και των δύο πλευρών.

Για αυτό, το WebRTC απευθύνεται σε λεγόμενους διακομιστές STUN. Όπως εξηγεί η τεκμηρίωση WebRTC της MDN, ένας διακομιστής STUN επιστρέφει έναν υποψήφιο «server reflexive» — ουσιαστικά τη δημόσια IP σας, όπως φαίνεται απ' έξω από το οικιακό σας δίκτυο. Ο browser λαμβάνει αυτή τη διεύθυνση και μπορεί να τη μεταδώσει στην ιστοσελίδα μέσω JavaScript, ακόμη κι αν όλη η υπόλοιπη κίνηση περνά από τη σήραγγα. Γι' αυτό ένα τεστ μερικές φορές δείχνει δύο διευθύνσεις ταυτόχρονα: τη «σωστή» από το VPN και την πραγματική από το WebRTC.

Πώς να ελέγξετε τον εαυτό σας σε πέντε λεπτά

Αυτός είναι ένας πιο εις βάθος έλεγχος από τον βασικό — αν δεν έχετε ακόμη επιβεβαιώσει ότι η σήραγγα είναι καν συνδεδεμένη, ξεκινήστε από το πώς να ελέγξετε ότι το VPN λειτουργεί. Στη συνέχεια, συγκεκριμένα για διαρροές:

1. Μάθετε τη διεύθυνση χωρίς σήραγγα. Απενεργοποιήστε το VPN, ανοίξτε οποιαδήποτε υπηρεσία τύπου «η IP μου» και καταγράψτε τη διεύθυνση και τον πάροχο — αυτό είναι το σημείο αναφοράς σας.
2. Ενεργοποιήστε τη σήραγγα και ανανεώστε τη σελίδα. Η IP πρέπει να αλλάξει στη διεύθυνση και τη χώρα του διακομιστή VPN. Αν παραμείνει ίδια — πρόκειται για διαρροή IP.
3. Ελέγξτε το DNS. Ανοίξτε μια ιστοσελίδα με τεστ DNS leak. Στη λίστα διακομιστών δεν πρέπει να εμφανίζεται το όνομα του οικιακού σας παρόχου.
4. Ελέγξτε το WebRTC. Βρείτε ένα online τεστ WebRTC leak. Αν δείχνει τη δημόσια IP σας από το πρώτο βήμα — υπάρχει διαρροή.
5. Επαναλάβετε σε άλλο δίκτυο. Ιδιαίτερα σημαντικό σε καφέ και αεροδρόμια — για τους κινδύνους του ανοιχτού Wi-Fi έχουμε γράψει στο ασφάλεια δημόσιου Wi-Fi.

Τι να κάνετε και πώς βοηθά μια σωστά υλοποιημένη σήραγγα

Ένας καλός πελάτης κλείνει αυτά τα κενά μόνος του, χωρίς να απαιτεί χειροκίνητες ρυθμίσεις από εσάς. Τι να προσέξετε:

• DNS μέσα στη σήραγγα. Όλα τα αιτήματα DNS πρέπει να περνούν από το ίδιο κρυπτογραφημένο κανάλι προς τον διακομιστή DNS του VPN, όχι του παρόχου.
• Προστασία από διακοπή (kill switch). Αν η σύνδεση πέσει, η κίνηση δεν πρέπει να διαρρεύσει απευθείας μέχρι να αποκατασταθεί το κανάλι.
• Έλεγχος WebRTC. Στον browser, η διαρροή κλείνει με ρύθμιση ή επέκταση που απαγορεύει στις σελίδες να ζητούν τοπικές διευθύνσεις.

Το HamikVPN κρυπτογραφεί την κίνηση εξ ολοκλήρου και τυλίγει τα αιτήματα DNS στο ίδιο προστατευμένο κανάλι, έτσι τα ονόματα ιστοσελίδων δεν διαρρέουν σε ξένους διακομιστές DNS και η πραγματική σας IP παραμένει κρυμμένη από τους πόρους που επισκέπτεστε. Αν τα τεστ δείχνουν σταθερά διαρροές ακόμη και με ενεργό τον πελάτη, αυτό είναι ανησυχητικό σημάδι — τι άλλο να προσέξετε συγκεντρώσαμε στο άρθρο για τα σημάδια αναξιόπιστου VPN.