DNS-Leaks: Was ein Leak-Test wirklich zeigt

Ein DNS-Leak-Test stellt fest, welche Resolver die eigens für den Test erzeugten Anfragen erhalten. Taucht ein Resolver außerhalb des erwarteten VPN-Pfads auf, kann das auf ein Konfigurationsproblem hindeuten. Das Ergebnis allein beweist aber nicht, dass jede DNS-Anfrage oder der gesamte Anwendungsverkehr diesen Weg nimmt.

Was ein DNS-Leak-Test tatsächlich misst

Ein DNS-Leak-Test erzeugt kontrollierte DNS-Anfragen und beobachtet, welche Resolver sie bearbeiten. Erhält bei aktivem VPN ein unerwarteter Resolver diese Anfragen, lohnt es sich, den DNS-Pfad genauer zu untersuchen – über die Route des gesamten Anwendungsverkehrs sagt dieses Ergebnis jedoch nichts aus.

So vergleichen Sie DNS vor und nach dem VPN

Notieren Sie die Resolver, die ohne VPN erscheinen, verbinden Sie sich mit dem VPN und wiederholen Sie den Test. Taucht weiterhin der Resolver Ihres Providers auf, prüfen Sie die DNS-Einstellungen des VPN, das DNS des Browsers und DoH. Ein unbekannter Resolver ist nicht automatisch ein Leck, denn ein VPN kann bewusst einen DNS-Dienst eines Drittanbieters nutzen. Eine einzelne DNS-Antwort können Sie mit der DNS-Antwortzeit-Prüfung von 2IP gegenprüfen; einen Leak-Test ersetzt das allerdings nicht.

Wann ein unbekannter Resolver kein Leck ist

Technische Referenzen: RFC 8484 und RFC 7858.