Автор: Александр Д.
08.09.2026 · 6 МИН ЧТЕНИЯ
ОБНОВЛЕНО

VPN подключён, IP сменился, и кажется, что всё в порядке.

Но есть три канала, по которым ваш настоящий адрес или список открываемых сайтов могут уходить мимо туннеля: DNS, WebRTC и IPv6. Проверка занимает две минуты (или пять секунд одной кнопкой на странице работает ли мой VPN), а исправление ещё пять минут.

Коротко:

  • Даже при работающем VPN адрес или список сайтов могут уходить мимо туннеля через DNS, WebRTC и IPv6, а проверка всех трёх занимает две минуты.
  • Против утечки DNS включите DNS через туннель в клиенте, против WebRTC настройте браузер или поставьте расширение, против IPv6 включите его в туннеле или отключите.
  • Kill switch отключает интернет при обрыве туннеля, а проверку стоит повторять после каждого обновления клиента или системы, потому что настройки иногда сбрасываются.
ТУННЕЛЬ ПОДНЯТ. ТРИ ПУТИ МИМО НЕГОРИС. 01УстройствоVPN подключёнVPNтуннельСайттрафик через VPNв туннелеМИМО ТУННЕЛЯDNSсписок сайтов провайдеруWebRTCреальный IP сайтуIPv6часть трафика мимо
Три канала, по которым адрес или список сайтов уходят мимо поднятого туннеля.
ПОЧЕМУ ЭТО ТРИ РАЗНЫЕ ПРОВЕРКИРИС. 02адресодна страницаDNSдругая страницаWebRTCтретья страница«показывает сервер»не значит, что чистоне значит, что чисто«показывает сервер» на первой не значит, что чисто на двух остальных

Что такое утечка DNS

Прежде чем открыть сайт, устройство спрашивает у DNS-сервера: «какой адрес у example.com?». Если этот вопрос уходит не через туннель, а напрямую к DNS провайдера, то провайдер получает полный список сайтов, которые вы открываете. Даже если сам трафик к ним идёт через VPN.

Так бывает, когда клиент VPN не перенаправляет DNS-запросы в туннель, или когда в системе прописан свой DNS-сервер, который «умнее» настроек VPN. Windows, например, любит отправлять запросы сразу на все известные DNS-серверы и брать первый ответ.

Как проверить

Откройте нашу страницу Какой у меня IP при подключённом VPN. Она показывает адрес, с которого вы пришли. Если это адрес VPN-сервера, а не вашего провайдера, значит трафик идёт через туннель. Для DNS проверка глубже: откройте тест утечки DNS. Он просит несколько случайных имён в нашей зоне и показывает, из какой сети за ними пришли. Та же сеть, что у вашего выхода в интернет, значит DNS идёт через туннель. Чужая страна или название вашего оператора связи означают утечку.

КАК ЧИТАТЬ ТЕСТ УТЕЧКИ DNSТест утечки DNSиз какой сети пришлиТа же сеть, что у выхода в интернетDNS идёт через туннельЧужая страна или ваш оператор связиутечка: провайдер видит список сайтовАдрес на странице IP проверяет туннель, а DNS проверяется отдельно.
Та же сеть, что у выхода в интернет: DNS в туннеле. Чужая страна или ваш оператор: утечка.

Как исправить

  • В клиенте VPN найдите настройку DNS. В v2rayNG: Настройки → «Предпочитать удалённый DNS» включить, «Включить локальный DNS» выключить. В Hiddify и sing-box DNS по умолчанию идёт через туннель, проверьте только, что вы этого не меняли. В Streisand и V2Box это раздел DNS в настройках конфигурации.
  • В системе уберите вручную прописанные DNS-серверы в настройках Wi-Fi и мобильной сети: пусть их выдаёт туннель.
  • На Windows отключите Smart Multi-Homed Name Resolution через групповые политики или включите в клиенте опцию, которая запрещает DNS вне туннеля, если она есть.

Что такое WebRTC и почему он выдаёт ваш IP?

WebRTC (механизм звонков прямо в браузере) придуман для видеозвонков и передачи данных без посредников. Чтобы соединить двух собеседников, браузер выясняет ваши IP-адреса, локальный и публичный, через так называемые STUN-серверы. Проблема в том, что любой сайт может попросить браузер сделать это, даже без всякого звонка, и узнать ваш настоящий публичный адрес мимо VPN.

КАК САЙТ СПРАШИВАЕТ АДРЕС ЧЕРЕЗ WebRTCРИС. 03СайтБраузерSTUN-сервер«начни соединение»1«какой у меня IP?»2ваш настоящий публичный3отдал, звонка не было4
Утечка WebRTC идёт мимо туннеля, потому что это не сеть, а браузер: адрес спрашивает он сам, и звонка при этом нет.

Как проверить

Откройте тест утечки WebRTC при подключённом VPN. Если среди показанных адресов есть ваш настоящий публичный IP (тот, что вы видите без VPN), значит утечка есть. Локальные адреса вида 192.168.x.x сами по себе не критичны, но тоже помогают вас отличать.

ЧТО ПОКАЗАЛ ТЕСТ WEBRTCадреса в результате, VPN включёнчто это значитваш настоящий публичный IPУтечка естьсайт узнаёт адрес мимо VPNлокальный 192.168.x.xНе критичноно помогает вас отличатьвашего публичного IP нетУтечки нетбраузер не выдал адрес
Утечка: в списке ваш настоящий публичный IP; локальный адрес не критичен, но тоже вас отличает.

Как исправить

  • Firefox: в адресной строке about:config, параметр media.peerconnection.enabled → false. Видеозвонки в браузере перестанут работать, пока не вернёте обратно.
  • Chrome и другие на Chromium: настройки не дают отключить WebRTC полностью; ставьте расширение, которое ограничивает WebRTC до «только через прокси». Ищите по словам «WebRTC leak prevent» или «WebRTC control».
  • Safari: отдельной настройки нет; Safari по умолчанию не раскрывает локальные адреса, но публичный проверить всё равно стоит.
  • Мобильные приложения (не браузер) WebRTC-утечкам не подвержены, если весь трафик идёт через туннель.
УТЕЧКА DNSРИС. 04Вы открываете сайтзапрос имениПровайдеруон знает, куда вы идётесам трафикВ туннельчерез VPNадрес сменилсяасписок сайтов виден

Что такое утечка IPv6

Многие провайдеры выдают устройству сразу два адреса, IPv4 и IPv6. Если туннель обрабатывает только IPv4, а сайт доступен по IPv6, устройство пойдёт к нему напрямую, минуя VPN. Вы увидите это как «часть сайтов открывается без VPN» или как ваш настоящий IPv6-адрес на странице проверки.

ДВА АДРЕСА, А ТУННЕЛЬ ДЛЯ ОДНОГОУстройствоIPv4 и IPv6IPv4Туннель VPNберёт только IPv4IPv6: напрямую, мимо VPNСайтдоступен по IPv6Лечится: включить IPv6 в клиенте, а если такой настройки нет, выключить IPv6 на устройстве.
Если туннель берёт только IPv4, сайты по IPv6 открываются мимо VPN.

Как исправить

Самое надёжное это включить обработку IPv6 в клиенте (в sing-box и Hiddify это стратегия «prefer IPv4» или «IPv4 only»). Если такой настройки нет, отключите IPv6 на самом устройстве в свойствах сети. Ничего не сломается: IPv4 пока хватает для всего.

Kill switch: чтобы утечки не было при обрыве

Даже правильно настроенный туннель иногда рвётся: сеть переключилась, сервер перезагрузился. В этот момент устройство на секунды или минуты идёт в интернет напрямую. Kill switch останавливает весь трафик, пока туннель не поднимется снова.

ОБРЫВ ТУННЕЛЯ: БЕЗ KILL SWITCH И С НИМтуннель естьобрывподнялся сноваБез kill switchчерез VPNнапрямуючерез VPNС kill switchчерез VPNтрафик стоитчерез VPNРвётся, когда сеть переключилась или сервер перезагрузился: на секунды или минуты.
Kill switch не даёт трафику уйти напрямую, пока туннель поднимается снова.

На Android это встроено в систему: Настройки → Сеть → VPN → значок шестерёнки у вашего приложения → «Постоянная VPN» и параметр, который пускает трафик только через VPN. На iPhone его роль играет «Подключение по требованию» в профиле VPN плюс настройка клиента: часть клиентов умеет останавливать трафик при обрыве самостоятельно.

ЧЕМ ЗАКРЫВАЕТСЯ КАЖДАЯРИС. 05УТЕЧКАЧЕМ ЗАКРЫТЬDNSDNS внутри туннеляWebRTCнастройка браузераили расширениеIPv6туннель с поддержкой IPv6или выключить IPv6обрывKill Switch

Если проверка показала что-то непонятное, покажите результат нейросети вместе с тем, чем вы пользуетесь.

Промт для нейросети
Помоги разобрать результат проверки на утечки.

Что показала проверка:
адрес (какой), страна (какая),
DNS-серверы (перечислите, что показано),
WebRTC (какой адрес показан или «ничего»).
Туннель включён: да. Приложение: (название).
Браузер: (какой).

Скажи, что здесь утечка, а что нормальное
поведение, и что чинить в первую очередь.
Если по этим данным вывод сделать нельзя,
скажи прямо, что ещё нужно проверить.

Как проверить VPN на утечки DNS и WebRTC?

  1. Подключите VPN.
  2. Откройте Какой у меня IP: адрес должен быть не ваш и не вашего провайдера.
  3. Откройте тест WebRTC: вашего настоящего публичного IP там быть не должно.
  4. Если провайдер выдаёт IPv6, проверьте, что на странице IP нет вашего настоящего IPv6.
  5. Включите DNS через туннель в клиенте и kill switch в системе.
ЧЕК-ЛИСТ НА ДВЕ МИНУТЫРИС. 06VPN подключёнКакой у меня IPадрес не ваштест WebRTCвашего IP нетIPv6 на странице IPне вашDNS через туннель в клиентеkill switch в системе
Полная проверка занимает две минуты. Повторять после каждого обновления клиента или системы: настройки иногда сбрасываются.

Проверять стоит после каждого обновления клиента или системы: настройки иногда сбрасываются к значениям по умолчанию.

Частые вопросы

Что значит утечка DNS при включённом VPN?

Это когда запросы имён сайтов уходят не через туннель, а напрямую к DNS провайдера. Тогда провайдер видит полный список сайтов, которые вы открываете, даже если сам трафик идёт через VPN.

Как исправить утечку DNS в v2rayNG?

В настройках включите «Предпочитать удалённый DNS» и выключите «Включить локальный DNS». После этого повторите тест утечки DNS.

Почему на Windows DNS идёт мимо VPN?

Windows любит отправлять запросы сразу на все известные DNS-серверы и брать первый ответ. Отключите Smart Multi-Homed Name Resolution через групповые политики или включите в клиенте запрет DNS вне туннеля, если он есть.

Как отключить WebRTC в браузере?

В Firefox откройте about:config и поставьте параметр media.peerconnection.enabled в false. В Chrome полностью отключить WebRTC нельзя, поэтому ставят расширение, которое ограничивает его режимом «только через прокси».

Нужно ли отключать IPv6, когда включён VPN?

Только если в клиенте VPN нет настройки для IPv6: тогда отключите его в свойствах сети на устройстве. Ничего не сломается: IPv4 пока хватает для всего.