DNSリーク：リークテストで実際にわかること

DNSリークテストは、テスト用に生成したクエリをどのリゾルバーが受け取ったかを観測します。想定しているVPNの経路の外にあるリゾルバーが見えれば設定に問題がある可能性がありますが、その結果だけで、すべてのDNSクエリやアプリケーションの通信がその経路を通っていると証明できるわけではありません。

DNSリークテストが実際に測っているもの

DNSリークテストは、管理されたDNSクエリを生成し、どのリゾルバーがそれを処理したかを観測します。VPNを有効にしているのに想定外のリゾルバーがクエリを受け取っていれば、DNSの経路を調べる価値があります。ただし、その結果はアプリケーションの通信全体の経路を示すものではありません。

VPNの接続前後でDNSを比較する方法

VPNなしの状態で見えるリゾルバーを記録し、VPNに接続してからテストを繰り返します。プロバイダーのリゾルバーがまだ表示される場合は、VPNのDNS設定、ブラウザーのDNS設定、DoHを確認してください。VPNが意図的に外部のDNSサービスを使っていることもあるため、見慣れないリゾルバーが表示されても、それだけでリークとは限りません。個々のDNS応答は2IPのDNS応答時間の確認で照合できますが、リークテストの代わりにはなりません。

見慣れないリゾルバーがリークではない場合

技術資料：RFC 8484、RFC 7858