يحدث تسرب DNS عندما يرسل جهازك استعلامات أسماء النطاقات خارج نفق VPN، وعادةً إلى محلل مزوّد الإنترنت، فيبقى بإمكان مزوّدك رؤية المواقع التي تزورها. أما تسرب WebRTC فمشكلة مرتبطة به في المتصفح، تستطيع فيها صفحة ويب اكتشاف عنوان IP الحقيقي الخاص بك رغم أن VPN أو الوكيل (proxy) مفعّل.
كلا التسربين صامت: يعرض VPN حالة «متصل» وترى المواقع عنوان IP الخاص بـ VPN في حركة المرور العادية. يشرح هذا الدليل سبب حدوث كل منهما، وكيف تختبره، وكيف تصلحه، إضافةً إلى تسرب IPv6 القريب منهما.
ما هو تسرب DNS
قبل أن يتصل متصفحك بالعنوان www.example.com عليه أن يسأل محلل DNS عن عنوان IP الخاص بالموقع. هذا السؤال وجوابه يكشفان أي موقع أنت على وشك زيارته. وإذا كنت جديدًا على عملية البحث هذه، فإن دليلنا عن كيف يعمل DNS يشرحها خطوة بخطوة.
يرسل VPN المضبوط جيدًا استعلامات DNS عبر النفق إلى محلل يديره مزوّد VPN أو إلى محلل اخترته أنت. وعندما يفشل ذلك وتذهب الاستعلامات مباشرةً إلى محلل مزوّد الإنترنت، يكون لديك تسرب DNS. يظل الموقع يرى عنوان IP الخاص بـ VPN، لكن مزوّد الإنترنت يحصل على قائمة بكل نطاق بحثت عنه مع أوقات البحث.
الأسباب الشائعة لتسرب DNS
- يواصل نظام التشغيل استخدام المحلل القديم. يفشل عميل VPN في استبدال إعدادات DNS في النظام، أو يكون لخادم DNS الخاص بمحوّل شبكة آخر أولوية أعلى.
- الاستعلامات المتوازية في Windows. يستطيع Windows إرسال استعلام إلى خوادم DNS لعدة واجهات شبكة في وقت واحد واستخدام أسرع إجابة، فيرى محلل مزوّد الإنترنت الاستعلام حتى لو رآه محلل VPN أيضًا.
- DNS عبر IPv6. يتولى VPN شؤون DNS عبر IPv4 لكن للنظام أيضًا محلل IPv6 من الموجّه (router)، ويُستخدم خارج النفق.
- النفق المجزأ (split tunnelling). التطبيقات المستثناة من VPN تحلّ الأسماء عبر المحلل العادي بحكم التصميم.
- إعدادات DNS اليدوية على الجهاز أو الموجّه التي تتجاوز ما يضبطه VPN.
كيف تختبر تسرب DNS
تعمل اختبارات تسرب DNS المخصصة بجعل متصفحك يبحث عن عدة نطاقات فرعية عشوائية فريدة تابعة لنطاق يتحكم القائم بالاختبار في خادمه الموثوق. ويسجّل هذا الخادم عناوين IP الخاصة بالمحللات التي سألت عن تلك الأسماء. فإذا كان أي منها يتبع مزوّد الإنترنت لديك لا مزوّد VPN، فلديك تسرب.
يمكنك إجراء نسخة سريعة من هذا الاختبار من الطرفية. تشغّل Akamai اسمًا خاصًا يجيب بعنوان IP الخاص بالمحلل الذي سأل عنه:
dig +short whoami.akamai.net
nslookup whoami.akamai.netشغّله والـ VPN متصل، ثم الصق عنوان IP الذي يعيده في البحث عن ASN. فإذا كانت الشبكة تتبع مزوّد الإنترنت لديك، فإن DNS لديك يتسرب. تحقق أيضًا من المحللات التي تم ضبط نظامك على استخدامها:
- Windows: نفّذ
ipconfig /allوانظر إلى «DNS Servers» في كل محوّل. - macOS:
scutil --dns - Linux مع systemd-resolved:
resolvectl status
كيف تصلح تسرب DNS
- فعّل خيار الحماية من تسرب DNS في عميل VPN إن وُجد. تفرض معظم برامج العميل الحالية مرور كل DNS عبر النفق وتحظر المنفذ 53 نحو الخوادم الأخرى.
- احذف خوادم DNS المضبوطة يدويًا على محوّل الشبكة، أو اضبطها على محلل VPN.
- إذا كان VPN لا يدعم IPv6، فعطّل IPv6 على المحوّل أو فعّل الحماية من تسرب IPv6 في العميل.
- فعّل مفتاح الإيقاف الطارئ (kill switch) حتى لا يغادر الجهاز أي شيء، بما في ذلك DNS، أثناء إعادة اتصال النفق.
- أعد الاختبار بعد كل تغيير، وأعده مرة أخرى بعد الاتصال بشبكة Wi-Fi مختلفة.
ما هو تسرب WebRTC
WebRTC هي تقنية المتصفح الكامنة وراء مكالمات الفيديو ونقل الملفات من نظير إلى نظير. وكي تربط متصفحين مباشرةً، عليها أن تجد كل عنوان يمكن الوصول إلى كل منهما عبره. وتفعل ذلك من خلال ICE (إنشاء الاتصال التفاعلي، Interactive Connectivity Establishment)، الذي يجمع قائمة من المرشحين (candidates):
| نوع المرشح | مصدره | مثال |
|---|---|---|
| Host (المضيف) | واجهات الشبكة في الجهاز نفسه | 192.168.1.23 أو اسم mDNS |
| Server reflexive (srflx) | يبلّغ خادم STUN بعنوان IP العام والمنفذ اللذين جاء منهما الطلب | 203.0.113.50 |
| Relay (الترحيل) | خادم TURN يمرّر الوسائط عندما يفشل المسار المباشر | عنوان IP الخاص بخادم TURN |
تستطيع أي صفحة ويب بدء هذه العملية بسطور قليلة من JavaScript، دون طلب إذن، وقراءة المرشحين. ويحدث التسرب عندما يغادر طلب STUN جهازك خارج VPN أو الوكيل. وهذا شائع مع إضافات الوكيل في المتصفح ووكلاء SOCKS، التي توجّه طلبات الويب لكن لا توجّه حركة UDP الخاصة بـ WebRTC، وكذلك مع النفق المجزأ. عندها يحتوي المرشح من نوع server reflexive على عنوان IP العام الحقيقي الخاص بك.
إخفاء العناوين المحلية بواسطة mDNS
كان مرشحو host يكشفون عناوين الشبكة المحلية الخاصة مثل 192.168.1.23، مما ساعد على تحديد البصمة الرقمية للمستخدمين. تستبدل الإصدارات الحالية من Chrome وFirefox وSafari وEdge بها أسماء عشوائية مثل 3f1c2a9e-7b4d-4c1e-9a52-6d8e0f1b2c3a.local، تُحلّ عبر DNS متعدد البث (multicast DNS) داخل الشبكة المحلية فقط. وعادةً لا تكشف المتصفحات العناوين المحلية الحقيقية إلا بعد منح الصفحة إذن الوصول إلى الكاميرا أو الميكروفون.
كيف تختبر تسرب WebRTC وتصلحه
شغّل اختبار تسرب WebRTC لدينا والـ VPN أو الوكيل مفعّل. يعرض كل مرشح يكشفه متصفحك. فإذا طابق أي عنوان عام العنوان الذي تحصل عليه والـ VPN متوقف، فلديك تسرب. وللإصلاح:
- استخدم VPN بنفق كامل بدلًا من وكيل خاص بالمتصفح فقط. فعندما تمر كل حركة UDP عبر النفق، يرى خادم STUN عنوان IP الخاص بـ VPN.
- Firefox: افتح
about:configواضبطmedia.peerconnection.enabledعلىfalse. يعطّل هذا WebRTC بالكامل، فتتوقف مكالمات الفيديو في المتصفح عن العمل. - المتصفحات المبنية على Chromium: لا يوجد إعداد بسيط للمستخدم، لكن سياسة المؤسسات
WebRtcIPHandling(مثلdisable_non_proxied_udp) أو إضافة موثوقة تستطيع تقييد الواجهات التي يستخدمها WebRTC.
تسرب IPv6
تمنح كثير من الشبكات الآن الأجهزة عنوان IPv4 وعنوان IPv6 معًا. فإذا كان VPN لديك ينشئ نفق IPv4 فقط، يظل لدى نظام التشغيل مسار IPv6 يعمل عبر مزوّد الإنترنت. والمواقع التي تدعم IPv6 تفضّله، فترى عنوان IPv6 الحقيقي الفريد عالميًا الخاص بك، وهو غالبًا أكثر كشفًا للهوية من عنوان IPv4 المشترك خلف NAT.
اختبر والـ VPN متصل باستخدام اختبار IPv6 لدينا. المطلوب أن ترى إما عدم وجود اتصال IPv6 أو عنوان IPv6 يتبع مزوّد VPN. أما العنوان الذي يأتي من نطاق مزوّد الإنترنت لديك فيعني وجود تسرب؛ وتصلحه بتفعيل دعم IPv6 أو الحماية من التسرب في العميل، أو بتعطيل IPv6 على محوّل الشبكة أثناء استخدام VPN.
الأسئلة الشائعة
هل يستطيع مزوّد الإنترنت رؤية تصفحي إذا كان لدي تسرب DNS؟
يستطيع رؤية أسماء النطاقات التي تبحث عنها، لا الصفحات ولا محتواها. فحركة المرور نفسها تظل تمر عبر VPN، ولذلك لا يستطيع مزوّد الإنترنت رؤية ما تفعله في كل موقع.
هل يهم تسرب DNS إذا لم أكن أستخدم VPN؟
لا ينطبق المصطلح إلا عندما تتوقع أن يذهب DNS إلى جهة أخرى. فبدون VPN يُستخدم عادةً محلل مزوّد الإنترنت على أي حال. ويمكنك التحول إلى خدمة DNS مشفّرة لمنع مزوّد الإنترنت من رؤية استعلاماتك.
هل تعطيل WebRTC آمن؟
نعم، فهو لن يعطّل التصفح العادي، لكن مكالمات الفيديو داخل المتصفح ومشاركة الشاشة وبعض مواقع مشاركة الملفات ستتوقف عن العمل إلى أن تعيد تفعيله.
لماذا يعرض اختبار WebRTC عنوانًا بصيغة .local؟
هذه حماية mDNS في المتصفح تعمل كما ينبغي. فالاسم العشوائي .local يخفي عنوان IP الخاص بشبكتك المحلية عن الموقع.