Кто отвечает на ваши DNS-запросы

Что такое резолвер

Сайты адресуются числами, люди помнят имена. Переводом занимается DNS-сервер — резолвер: прежде чем открыть страницу, устройство спрашивает у него «какой адрес у этого имени» и только потом соединяется с сайтом.

Отсюда неудобное следствие: резолверу виден перечень всех имён, которые вы открываете, — даже когда само содержимое зашифровано. Это не утечка сама по себе, но стоит знать, в чьих руках этот перечень оказывается.

Почему проверка своя, а не чужая

Из браузера узнать свой резолвер нельзя — браузер не знает, кто именно ответил на запрос. Увидеть это можно только с противоположной стороны: подняв авторитативный сервер доменной зоны и записав, кто приходит спрашивать.

Такой сервер у нас свой. Отправлять посетителей сервиса приватности к стороннему тесту, который соберёт их резолверы себе, значило бы противоречить собственному продукту.

Про «разные маршруты»

При включённом VPN сквозь туннель должны идти не только соединения, но и запросы имён. Если трафик в туннеле, а имена по-прежнему спрашиваются у резолвера домашнего провайдера, выходит парадокс: содержимое спрятано, а перечень посещённых сайтов виден той же сети, что и раньше.

Страница сравнивает страну и сеть ваших резолверов со страной и сетью адреса, которым вы выходите наружу. Сошлись — маршрут один. Разошлись — часть запросов живёт своей жизнью. Без VPN расхождения обычно нет: резолвер провайдера при его же подключении — норма.

Отчего серверов несколько

У крупного оператора резолвер — это пул машин, между которыми размазаны запросы. Поэтому проверка запрашивает несколько уникальных имён: одно имя высветило бы единственную машину из пула.

Уникальность имён обязательна: повторное имя вернулось бы из кэша и до нас не дошло, а новое каждый раз вынуждает резолвер прийти к нам лично. По этой же причине набор адресов от запуска к запуску слегка меняется.

Вопросы и ответы