ما هو DNS

DNS — اختصار لـ Domain Name System — هو دفتر هاتف الإنترنت. أجهزة الكمبيوتر تمرّر الحزم باستخدام عناوين IP (104.21.5.42) بينما يستخدم البشر الأسماء (fexyn.com). DNS يقوم بالترجمة.

عندما تكتب fexyn.com في المتصفّح يرسل حاسوبك استعلام DNS إلى resolver: "ما هو IP الخاص بـ fexyn.com؟" والـ resolver يجيب. ثم يفتح المتصفّح اتصال TCP إلى ذلك الـ IP. كل تحميل صفحة يبدأ باستعلام DNS واحد على الأقل؛ والصفحات الحديثة تطلق غالبًا 20 إلى 50 استعلامًا عبر كل النطاقات الخارجية التي تستدعيها.

لماذا DNS مهم للخصوصية

استعلامات DNS القياسية تمرّ بنص واضح. أي طرف على المسار بينك وبين الـ resolver يرى اسم النطاق. هذا يشمل مزوّد الإنترنت لديك، وراوتر المقهى، وأي جهاز بينهما.

حتى مع HTTPS الذي يخفي محتوى الصفحات، فإن استعلامات DNS تكشف أي مواقع زرتها. مزوّدو الإنترنت يسجّلونها. بعض الحكومات تفرض الاحتفاظ بها. شركات التسويق تشتريها. حقل SNI في TLS يسرّب نفس المعلومة على طبقة أخرى، لكن DNS يسرّب أولًا.

DNS-over-HTTPS (DoH) و DNS-over-TLS (DoT) يشفّران الاستعلام كي لا يستطيع مزوّد الإنترنت قراءته. يساعدان — لكن فقط إذا كان متصفّحك أو نظام التشغيل مهيّأً لاستخدامهما، وفقط إذا كان يمكن الوثوق بـ resolver مع البيانات.

كيف يغيّر VPN آلية DNS

VPN مكوّن بشكل صحيح يمرّر استعلامات DNS عبر VPN. مزوّد الإنترنت يرى كتلة مشفّرة واحدة إلى خادم VPN؛ لا يستطيع تحديد أي نطاق طلبت. الـ resolver الخاص بـ VPN يجيب، وتعود الإجابة عبر النفق.

هذا يعمل فقط إذا أخذ كل استعلام هذا المسار. لدى Windows عدة قنوات جانبية — Smart Multi-Homed Name Resolution، وسقوط IPv6، وDoH على مستوى التطبيق — يمكن للاستعلامات أن تتسرّب من خلالها متجاوزةً النفق. هذه تسريبات DNS، وهي تجعل VPN عديم الجدوى جزئيًا: الحركة مشفّرة لكن الوجهات تتسرّب.

كيف تختبر DNS بنفسك

شغّل أداة اختبار تسريب DNS من Fexyn أثناء توصيل VPN. يجب أن تظهر النتيجة فقط resolvers يديرها مزوّد VPN. إذا ظهر اسم مزوّد إنترنتك في أي مكان فإن DNS يتسرّب — حتى لو كان النفق قائمًا.

اختباران مهمّان:

• اختبار قياسي — دفعة واحدة من الاستعلامات، يكشف التسريبات الثابتة.
• اختبار موسّع — استعلامات متكرّرة موزّعة على الزمن، يكشف التسريبات المتقطّعة الناتجة عن سباقات في تحليل DNS لدى Windows.

الاختبار الموسّع يكشف الفئة الأسوأ: "يمرّ مرة واحدة، يتسرّب تحت الحمل الفعلي".

ما الذي يعنيه هذا عمليًا

DNS هو الطبقة التي إما يفعلها معظم مزوّدي VPN بشكل صحيح أو يفشلون فيها بصمت. النفق قد يكون ممتازًا ويظل DNS يتسرّب عبر اختصارات على مستوى نظام التشغيل. Fexyn يقفل تحليل DNS داخل النفق عبر قواعد NRPT على مستوى نظام التشغيل، بالإضافة إلى تكوين DNS لكل بروتوكول، بالإضافة إلى null-routing لـ IPv6 طوال فترة قيام النفق — وهذا يغلق مسارات التسريب الشائعة.

جرّب Fexyn مجانًا لمدة 7 أيام وتحقق على اتصالك باستخدام اختبار التسريب.