VELDNOTITIE · DNS LEAK
Zie wie je
DNS-vragen beantwoordt.
Een VPN-tunnel hoort te verbergen waar je bent. Als je DNS-query’s nog steeds naar je lokale ISP gaan, lekt de tunnel. DNS Leak Test laat elke resolver zien die je Mac op dit moment gebruikt, met het land en de ISP erachter. Het lek wordt zichtbaar.
Resolvers in meerdere landen worden als lek gemarkeerd.
Wat een DNS-lek is
Als je een pagina laadt, gebeuren er twee dingen: een DNS-lookup zet de hostnaam om in een IP, en het echte verkeer loopt over TCP. Een VPN tunnelt normaal beide. Een „lek" is wanneer het TCP-verkeer wel door de VPN gaat, maar de DNS-lookups rechtstreeks naar je thuis-ISP gaan, waardoor de lijst sites die je bezoekt zichtbaar wordt voor iedereen die die ISP volgt. Sommige VPN’s regelen dit out of the box goed, veel niet.
Wat je ziet
Eén rij per actieve resolver. Kolommen: resolver-IP, landvlag, ISP / netbeheerder en een protocolbadge (Do53, DoH, DoT, afhankelijk van wat je Mac heeft afgesproken). Resolvers die je Mac op dit moment bevraagt, staan bovenaan; cache-items eronder.
Lekken over landgrenzen zijn de duidelijke rode vlag
Staan twee resolvers in de lijst in verschillende landen, dan splitst je Mac het DNS-verkeer. Het meest voorkomende patroon: VPN-resolver in land A + resolver van lokale ISP in land B. Die lokale resolver is het lek. DNS Leak Test plaatst een leak-badge op de rij, je kunt het niet missen.
Hoe je een lek dicht
Drie opties, op volgorde van hoe robuust ze het probleem oplossen:
- Gebruik een VPN-client die DNS door de tunnel forceert. De meeste moderne WireGuard- of Tailscale-configs doen dat; controleer de schakelaar „DNS" of „Force tunnel DNS".
- Stel een systeembrede DNS-resolver in via Systeeminstellingen → Wi-Fi → Details → DNS. Kies een privacy-vriendelijke resolver (1.1.1.1, 9.9.9.9, die van je VPN-aanbieder). Daarmee is de ISP-resolver uit beeld.
- Zet DNS-over-HTTPS aan in Safari of gebruik Cloudflare WARP. Dat is een fix per app, niet systeembreed, maar wel de simpelste als alleen browsen je interesseert.
Hoort bij ISP Report
ISP Report vertelt je via wiens netwerk je verkeer naar buiten gaat. DNS Leak Test vertelt je via wiens netwerk je DNS loopt. Zijn die twee antwoorden andere ISP’s, dan heb je een lek. Open ze naast elkaar als iets niet klopt.
Waar je het in de app vindt
Klik op het menubalkpictogram, scroll naar Insights onderin de popover. DNS Leak Test staat in de middelste rij. De lijst ververst bij netwerkwissel; klik op Refresh om een nieuwe test af te dwingen.
TL;DR
Een VPN die DNS niet tunnelt, lekt alsnog de lijst sites die je bezoekt. DNS Leak Test laat elke resolver zien die je Mac gebruikt, markeert lekken over landgrenzen en vertelt je of je VPN echt doet waarvoor je betaalde.