Как проверить, что VPN действительно сменил IP и не пропускает DNS или WebRTC

Зачем вообще проверять VPN

Когда VPN подключен, этого еще недостаточно. Значок в трее, статус Connected в приложении и даже открывающиеся сайты не доказывают, что весь трафик действительно идет через туннель.

На практике проблема обычно одна из трех: внешний IP сменился не полностью, DNS-запросы уходят к провайдеру или браузер может показать реальный адрес через WebRTC. Mullvad прямо указывает, что браузер при неправильной настройке способен раскрывать информацию о подключении, включая риски DNS-утечек и раскрытия IP через WebRTC. Mozilla также отмечает, что WebRTC в определенных сценариях может привести к раскрытию локального IP даже при использовании VPN.

Отдельно стоит учитывать DNS over HTTPS в браузере. Firefox объясняет, что при включенном DoH браузер может отправлять DNS-запросы выбранному DoH-провайдеру по HTTPS, а не использовать системный DNS. Это полезно для приватности, но при проверке VPN важно понимать, кто именно резолвит домены: сам VPN, система или браузер.

Что считается нормальной проверкой

Хорошая проверка не сводится к одной вкладке с надписью «ваш IP такой-то». Нужен минимальный набор из трех пунктов:

1. Сравнить внешний IP до подключения и после него.
2. Посмотреть, какие DNS-серверы видны во время работы туннеля.
3. Проверить браузер на WebRTC-утечки.

Если все три пункта выглядят нормально, вероятность проблемы уже заметно ниже.

Пошагово: как проверить VPN

Шаг 1. Зафиксируйте IP до подключения

До запуска VPN откройте любой сервис проверки IP и запомните внешний адрес, страну и провайдера. Важно делать это в том же браузере и на том же устройстве, где потом будет включен туннель.

Шаг 2. Подключите VPN и обновите проверку

После подключения внешний IP должен измениться. Обычно меняются и страна, и ASN/провайдер сети. Если адрес не изменился, дальше можно даже не идти: туннель либо не работает как надо, либо трафик пошел в обход.

Шаг 3. Проверьте DNS отдельно

Здесь важна не только география. Смотрите, какие именно DNS-серверы видны в тесте. Если VPN обещает свои DNS-серверы, а вы видите резолверы интернет-провайдера, это плохой признак. При этом нужно помнить про браузерный DoH: Firefox прямо пишет, что в режиме Default Protection DoH может быть неактивен при VPN, а в Increased или Max защита старается держать защищенный DNS включенным. Поэтому результат проверки надо читать с учетом настроек браузера.

Шаг 4. Проверьте WebRTC

WebRTC используется для голосовой и видеосвязи прямо в браузере. Mozilla указывает, что эта технология может раскрывать локальный IP в некоторых сценариях. Для обычного пользователя главный ориентир простой: в результатах теста не должен всплывать ваш реальный публичный адрес, который был до подключения VPN. Локальные адреса сами по себе не всегда означают катастрофу, но реальный внешний IP — уже повод разбираться.

Шаг 5. Повторите проверку в другой сети

Иногда проблема проявляется не всегда: например, дома все нормально, а в офисной сети или через мобильный интернет включаются свои DNS-правила, фильтрация или особенности IPv6. Поэтому для уверенности стоит повторить тест хотя бы еще один раз в другой сети.

Как понять, есть ли утечка DNS

DNS-утечка — это ситуация, когда сайты открываются через VPN, но сами DNS-запросы уходят не через туннель, а к провайдеру, роутеру, корпоративному резолверу или стороннему сервису, о котором вы не подозревали. Mullvad в своей странице проверки подключения отдельно объясняет, что DNS-сервер — это первая точка контакта браузера при доступе к ресурсам в интернете, и через него легко раскрывается активность пользователя.

Нормальный сценарий зависит от вашей схемы:

• если VPN использует собственные DNS, в тесте должны быть видны именно они;
• если вы вручную настроили защищенный резолвер, могут отображаться его серверы;
• если в браузере включен DoH, часть запросов может идти через выбранного DoH-провайдера, а не через системный DNS.

Cloudflare в документации по 1.1.1.1 пишет, что это публичный DNS-резолвер, а также отмечает поддержку DNS over HTTPS и акцент на приватности. Если у вас осознанно включен такой резолвер, его появление в тесте не всегда означает утечку. Проблемой это становится тогда, когда вы ожидали DNS от VPN, а фактически запросы обслуживает кто-то другой.

Как проверить утечку WebRTC

С WebRTC чаще всего путают две вещи: локальный IP внутри домашней сети и реальный внешний IP. Для безопасности важнее второе. Если тест показывает ваш настоящий публичный адрес, который был до VPN, значит браузер или сетевой стек раскрывает лишнее.

Mozilla в справке Firefox прямо предупреждает, что WebRTC может приводить к раскрытию локального IP, а для более тонкой настройки советует использовать параметры конфигурации. Это не означает, что проблема есть у всех и всегда, но игнорировать проверку точно не стоит.

Что считать плохим знаком:

• показывается тот же внешний IP, который был без VPN;
• в браузере виден адрес вашего провайдера, хотя туннель активен;
• утечка появляется только в одном конкретном браузере.

Что не всегда критично:

• локальный адрес вида из домашней сети;
• служебные сетевые интерфейсы без выхода в интернет;
• разница результатов между браузерами из-за разных настроек приватности.

Что делать, если есть утечка DNS или WebRTC

Сначала стоит проверить простое: переподключить VPN, сменить сервер и выключить split tunneling, если он включен. Именно частичное туннелирование нередко ломает логику маршрутизации.

Дальше имеет смысл пройтись по настройкам:

1. В приложении VPN включите защиту от DNS-утечек, если такая настройка есть.
2. Проверьте, не работает ли параллельно другой VPN, прокси, антивирусный веб-фильтр или корпоративный агент.
3. Отключите на время браузерный Secure DNS / DoH и повторите тест, чтобы понять, не он ли меняет картину.
4. Если проблема проявляется только в одном браузере, проверьте его отдельно.
5. При повторяющейся утечке попробуйте другой протокол VPN, если сервис это позволяет.

Для Firefox есть важный нюанс: Mozilla пишет, что DoH может быть неактивен при определенных условиях сети и VPN в режиме Default Protection, а в настройках доступны режимы Increased и Max Protection. То есть при проверке DNS важно смотреть не только на результат теста, но и на фактический статус защищенного DNS в самом браузере.

Если речь именно о WebRTC в Firefox, пользователи и справочные материалы Mozilla давно обсуждают дополнительные параметры аbout:config для более жесткого поведения WebRTC через прокси и VPN. Но такие изменения лучше делать только если вы понимаете последствия: можно сломать звонки, видеосвязь и часть веб-сервисов.

Типичные ошибки при проверке

Самая частая ошибка — смотреть только на флаг страны рядом с IP. Геолокация может определяться неточно, а вот сам факт смены адреса и DNS важнее.

Вторая ошибка — тестировать VPN в одном браузере, а использовать в другом. У браузеров разные настройки DoH, WebRTC и прокси, поэтому результат может отличаться.

Третья ошибка — считать любой нестандартный DNS утечкой. Если у вас специально включен защищенный DNS в браузере, он может работать поверх HTTPS и давать другой результат, чем системный DNS. Firefox прямо описывает такое поведение в документации по DNS over HTTPS.

И еще один момент: не путайте утечку с обычным кэшем. После переключения сервера браузер и система могут какое-то время использовать старые данные. Поэтому после подключения VPN полезно перезапустить браузер и повторить тест еще раз.

Частые вопросы