DNS nedir

DNS, Domain Name System — internetin telefon rehberi. Bilgisayarlar paketleri IP adresleriyle yönlendirir (104.21.5.42), insanlar ise isimleri kullanır (fexyn.com). DNS çevirimi yapar.

fexyn.com yazdığında bilgisayarın bir resolver'a DNS sorgusu gönderir, "fexyn.com'un IP'si nedir?" diye sorar ve resolver cevap verir. Sonra tarayıcın o IP'ye TCP bağlantısı açar. Her sayfa yüklemesi en az bir DNS sorgusuyla başlar; modern sayfalar genellikle çektikleri tüm üçüncü taraf domain'ler için 20-50 sorgu tetikler.

DNS'in gizlilik için neden önemli

Standart DNS sorguları açık metin olarak gider. Seninle resolver arasındaki yoldaki herkes domain ismini görür. Bu, ISP'ni, kafe Wi-Fi router'ını ve aradaki tüm donanımı içerir.

Sayfa içeriğini gizleyen HTTPS bile DNS sorgularının hangi siteleri ziyaret ettiğini açığa çıkarmasını engellemez. ISP'ler bunları loglar. Bazı hükümetler saklama zorunluluğu getirir. Pazarlama şirketleri satın alır. TLS SNI alanı aynı bilgiyi farklı katmanda sızdırır ama DNS önce sızar.

DNS-over-HTTPS (DoH) ve DNS-over-TLS (DoT) sorguyu şifreler ki ISP'n okuyamasın. Yardım ederler — ama sadece tarayıcın veya OS bunları kullanacak şekilde yapılandırılmışsa ve resolver'ın kendisine veriyle güvenilebiliyorsa.

VPN DNS'i nasıl değiştirir

Düzgün yapılandırılmış bir VPN DNS sorgularını VPN üzerinden tüneller. ISP'n VPN sunucusuna giden tek bir şifreli blob görür; hangi domain'i sorduğunu söyleyemez. VPN'in resolver'ı cevap verir ve cevap tünelden geri döner.

Bu sadece her sorgu o yolu izlerse çalışır. Windows'un birkaç yan kanalı var — Smart Multi-Homed Name Resolution, IPv6 fallback, uygulama seviyesinde DoH — sorguları tünelden kaçırabilen. Bunlar DNS leak'leri ve VPN'i kısmen anlamsız kılarlar: trafiğin şifreli ama ziyaret ettiğin yerler yine sızar.

Kendin DNS'i nasıl test edersin

VPN bağlıyken Fexyn'in DNS leak testini çalıştır. Sonuç sadece VPN tarafından işletilen resolver'ları göstermeli. Eğer ISP'nin adı bir yerde görünürse — tünel ayakta olsa bile DNS sızıyor demektir.

İki kontrol önemli:

• Standart test — tek seferlik sorgu grubu, tutarlı sızıntıları yakalar.
• Genişletilmiş test — zamanla yayılmış tekrarlanan sorgular, Windows DNS resolution'daki yarış koşullarından kaynaklanan aralıklı sızıntıları yakalar.

Genişletilmiş test en kötü kategoriyi yakalar: "bir kez geçer, gerçek yük altında sızar".

Pratikte ne anlama gelir

DNS, çoğu VPN sağlayıcısının ya doğru yaptığı ya da sessizce başarısız olduğu katman. Tünel mükemmel olabilir ve DNS yine OS seviyesinde kestirme yollar üzerinden sızabilir. Fexyn DNS resolution'ı OS seviyesinde NRPT kuralları artı protokol başına DNS yapılandırması artı tünel ayakta olduğu sürece IPv6 null-routing ile tünele kilitler — bu standart sızıntı yollarını kapatır.

Fexyn'i 7 gün ücretsiz dene ve kendi bağlantında leak testiyle doğrula.