DNS ve WebRTC Sızıntıları Nedir?

DNS sızıntısı, cihazınızın alan adı sorgularını VPN tünelinin dışına, genellikle ISS'nizin (internet servis sağlayıcınızın) çözümleyicisine göndermesidir; böylece ISS'niz hangi sitelere girdiğinizi yine görebilir. WebRTC sızıntısı ise ilişkili bir tarayıcı sorunudur: VPN'iniz veya proxy'niz etkin olsa bile bir web sayfası gerçek IP adresinizi öğrenebilir.

Her iki sızıntı da sessizdir: VPN "bağlı" gösterir ve web siteleri normal trafik için VPN'in IP'sini görür. Bu rehber, her birinin neden olduğunu, nasıl test edileceğini ve nasıl düzeltileceğini, yakından ilişkili IPv6 sızıntısıyla birlikte anlatır.

DNS sızıntısı nedir

Tarayıcınız www.example.com adresine bağlanmadan önce bir DNS çözümleyicisine sitenin IP adresini sormak zorundadır. Bu soru ve yanıtı, ziyaret etmek üzere olduğunuz siteyi ele verir. Sorgulama sürecini bilmiyorsanız DNS nasıl çalışır rehberimiz süreci adım adım anlatır.

Doğru yapılandırılmış bir VPN, DNS sorgularını tünelden geçirerek VPN sağlayıcısının işlettiği ya da sizin seçtiğiniz bir çözümleyiciye gönderir. Bu başarısız olur ve sorgular doğrudan ISS'nizin çözümleyicisine giderse DNS sızıntınız var demektir. Web sitesi yine VPN'in IP'sini görür, ancak ISS'nizde baktığınız her alan adının zaman damgalı bir listesi olur.

DNS sızıntılarının yaygın nedenleri

• İşletim sistemi eski çözümleyiciyi kullanmayı sürdürür. VPN istemcisi sistem DNS ayarlarını değiştiremez veya başka bir ağ bağdaştırıcısının DNS sunucusu daha yüksek önceliğe sahiptir.
• Windows'ta paralel sorgular. Windows, bir sorguyu aynı anda birkaç ağ arayüzünün DNS sunucularına gönderip en hızlı yanıtı kullanabilir; böylece VPN'in çözümleyicisi de sorguyu görse bile ISS'nin çözümleyicisi sorguyu görür.
• IPv6 DNS. VPN IPv4 DNS'i yönetir, ancak sistemin yönlendiriciden gelen ve tünelin dışında kullanılan bir IPv6 çözümleyicisi de vardır.
• Bölünmüş tünelleme (split tunnelling). VPN dışında bırakılan uygulamalar adları tasarım gereği normal çözümleyiciyle çözer.
• Cihazdaki veya yönlendiricideki, VPN'in ayarladığını geçersiz kılan elle girilmiş DNS ayarları.

DNS sızıntısı nasıl test edilir

Özel DNS sızıntı testleri, tarayıcınıza, yetkili sunucusunu test eden tarafın denetlediği bir alan adının rastgele ve benzersiz birkaç alt alan adını sorgulatarak çalışır. Yetkili sunucu, bu adları hangi çözümleyici IP adreslerinin sorduğunu kaydeder. Bunlardan herhangi biri VPN sağlayıcınıza değil ISS'nize aitse sızıntınız var demektir.

Bunun hızlı bir sürümünü terminalden yapabilirsiniz. Akamai, kendisini soran çözümleyicinin IP adresiyle yanıt veren özel bir ad işletir:

dig +short whoami.akamai.net
nslookup whoami.akamai.net

Bunu VPN bağlıyken çalıştırın, ardından dönen IP'yi ASN Sorgulama aracımıza yapıştırın. Ağ ISS'nize aitse DNS'iniz sızdırıyor demektir. Ayrıca sisteminizin hangi çözümleyicileri kullanacak şekilde yapılandırıldığına da bakın:

• Windows: ipconfig /all komutunu çalıştırıp her bağdaştırıcıdaki "DNS Servers" satırına bakın.
• macOS: scutil --dns
• systemd-resolved kullanan Linux: resolvectl status

DNS sızıntısı nasıl düzeltilir

1. VPN istemcisinde varsa DNS sızıntı koruması seçeneğini açın. Güncel istemcilerin çoğu tüm DNS trafiğini tünele zorlar ve diğer sunuculara giden 53 numaralı bağlantı noktasını engeller.
2. Ağ bağdaştırıcısındaki elle yapılandırılmış DNS sunucularını kaldırın ya da VPN'in çözümleyicisine ayarlayın.
3. VPN IPv6'yı desteklemiyorsa bağdaştırıcıda IPv6'yı devre dışı bırakın veya istemcinin IPv6 sızıntı korumasını açın.
4. Tünel yeniden bağlanırken DNS dahil hiçbir şeyin cihazdan çıkmaması için kill switch'i (acil kesme) etkinleştirin.
5. Her değişiklikten sonra ve farklı bir Wi-Fi ağına yeniden bağlandıktan sonra tekrar test edin.

WebRTC sızıntısı nedir

WebRTC, görüntülü aramaların ve eşler arası dosya aktarımlarının arkasındaki tarayıcı teknolojisidir. İki tarayıcıyı doğrudan bağlamak için her birine ulaşılabilecek tüm adresleri bulması gerekir. Bunu, adaylar (candidates) listesi toplayan ICE (Interactive Connectivity Establishment) ile yapar:

Herhangi bir web sayfası, izin istemeden birkaç satır JavaScript ile bu süreci başlatabilir ve adayları okuyabilir. Sızıntı, STUN isteği cihazınızdan VPN'in veya proxy'nin dışında çıktığında olur. Bu durum, web isteklerini yönlendiren ama WebRTC'nin UDP trafiğini yönlendirmeyen tarayıcı proxy eklentilerinde ve SOCKS proxy'lerinde, ayrıca bölünmüş tünellemede yaygındır. Bu durumda server reflexive adayı gerçek genel IP'nizi içerir.

Yerel adreslerin mDNS ile gizlenmesi

Host adayları eskiden 192.168.1.23 gibi özel LAN adreslerini açığa çıkarırdı ve bu, kullanıcıların parmak izinin çıkarılmasına yardımcı olurdu. Chrome, Firefox, Safari ve Edge'in güncel sürümleri bunları, yalnızca yerel ağda çok noktaya yayın DNS'i (multicast DNS) ile çözülen, 3f1c2a9e-7b4d-4c1e-9a52-6d8e0f1b2c3a.local gibi rastgele adlarla değiştirir. Tarayıcılar gerçek yerel adresleri genellikle ancak bir sayfaya kamera veya mikrofon erişimi verildikten sonra gösterir.

WebRTC sızıntıları nasıl test edilir ve düzeltilir

VPN'iniz veya proxy'niz etkinken WebRTC Sızıntı Testi aracımızı çalıştırın. Tarayıcınızın açığa çıkardığı tüm adayları listeler. Herhangi bir genel adres, VPN kapalıyken sahip olduğunuz adresle eşleşiyorsa sızıntınız var demektir. Düzeltmek için:

• Yalnızca tarayıcıda çalışan bir proxy yerine tam tünelli bir VPN kullanın. Tüm UDP trafiği tünelden geçtiğinde STUN sunucusu VPN'in IP'sini görür.
• Firefox: about:config sayfasını açın ve media.peerconnection.enabled ayarını false yapın. Bu, WebRTC'yi tümüyle devre dışı bırakır; dolayısıyla tarayıcıdaki görüntülü aramalar çalışmaz.
• Chromium tabanlı tarayıcılar: basit bir kullanıcı ayarı yoktur, ancak WebRtcIPHandling kurumsal ilkesi (örneğin disable_non_proxied_udp) veya güvenilir bir eklenti, WebRTC'nin hangi arayüzleri kullanacağını kısıtlayabilir.

IPv6 sızıntıları

Birçok ağ artık cihazlara hem IPv4 hem de IPv6 adresi veriyor. VPN'iniz yalnızca bir IPv4 tüneli oluşturuyorsa işletim sisteminin ISS'niz üzerinden çalışan bir IPv6 yolu hâlâ vardır. IPv6'yı destekleyen siteler bunu tercih eder; bu yüzden gerçek, küresel olarak benzersiz IPv6 adresinizi görürler ve bu adres, NAT arkasında paylaşılan bir IPv4 adresinden çoğunlukla daha belirleyicidir.

VPN bağlıyken IPv6 Testi aracımızla test edin. Ya hiç IPv6 bağlantısı görmek ya da VPN sağlayıcısına ait bir IPv6 adresi görmek istersiniz. Kendi ISS'nizin aralığından bir adres sızıntı demektir; istemcinin IPv6 desteğini veya sızıntı korumasını etkinleştirerek ya da VPN'i kullanırken ağ bağdaştırıcısında IPv6'yı devre dışı bırakarak düzeltin.

Sıkça sorulan sorular

DNS sızıntım varsa ISS'm gezinmemi görebilir mi?

Baktığınız alan adlarını görebilir, sayfaları veya içeriği göremez. Trafiğin kendisi yine VPN üzerinden gider; bu yüzden ISS'niz her sitede ne yaptığınızı göremez.

VPN kullanmıyorsam DNS sızıntıları önemli mi?

Bu terim yalnızca DNS'in başka bir yere gitmesini beklediğinizde geçerlidir. VPN olmadan zaten normalde ISS'nizin çözümleyicisi kullanılır. Sorgularınızı ISS'nizden uzak tutmak için şifreli bir DNS hizmetine geçebilirsiniz.

WebRTC'yi devre dışı bırakmak güvenli mi?

Evet, normal gezinmeyi bozmaz; ancak tarayıcıdaki görüntülü aramalar, ekran paylaşımı ve bazı dosya paylaşım siteleri, tekrar açana kadar çalışmaz.

WebRTC testi neden bir .local adresi gösteriyor?

Bu, tarayıcının mDNS korumasının amaçlandığı gibi çalıştığını gösterir. Rastgele .local adı, özel LAN IP'nizi web sitesinden gizler.