تسرّب DNS وتسميم DNS: كيف تكشفهما وتصلحهما

DNS هو طريقة الإنترنت في السؤال عن الطريق. تكتب اسم نطاق، فيحتاج الجهاز إلى عنوان IP، والخطوة بينهما (أي عنوان يخص هذا الاسم) سؤال يُوجَّه إلى خادم DNS. وهذا الخادم افتراضيًا يختاره مزوّد الخدمة أو الراوتر، واستعلامات DNS التقليدية غير مشفّرة: فالأجهزة على الطريق تستطيع قراءة السؤال، ولديها فرصة للرد قبل الخادم الحقيقي.

تسميم DNS يعني أن هذا الرد استُبدل برد مزيف: فيشير الاسم إلى عنوان لا علاقة له بالموقع، أو إلى عنوان لا يمكن الوصول إليه. ويظهر ذلك للمستخدم هكذا:

• مواقع بعينها تظل تحمّل بلا نهاية أو تنتهي مهلتها أو تُبلغ عن إعادة ضبط الاتصال، بينما تعمل مواقع أخرى في اللحظة نفسها بشكل طبيعي.
• التبديل إلى خادم DNS عام لا يفيد: فالرد المزيف يُحقَن على الطريق، وأيًا كان من تسأله يسبقه الرد المزيف إليك.
• الاسم نفسه يُترجَم في كل مرة إلى عنوان مختلف، وهذه العناوين تعود إلى جهات لا صلة لها بالموقع.
• المتصفح يعرض خطأ في الشهادة: فالاسم وُجِّه إلى خادم غيره، ولا يستطيع ذلك الخادم تقديم شهادة الموقع. توقّف هنا ولا تتجاوز التحذير.
• على شبكة أخرى (بيانات الجوال مثلًا) أو مع تشغيل VPN يفتح الموقع نفسه فورًا.

إن كان النمط أصلًا «يفتح مع الـ VPN ويفشل بدونه» فهذا يكفي دليلًا. ولتتأكد هل يُترجَم اسم معيّن ترجمة صحيحة، اتبع هذه الخطوات الأربع.

1. والـ VPN مطفأ، ابحث عن الاسم من سطر الأوامر في الحاسوب، واستبدل example.com بالنطاق المعني، ودوّن العنوان الذي يظهر: nslookup example.com
2. شغّل الـ VPN (بطريقة تشمل الجهاز كله وفي الوضع الشامل) وابحث عن الاسم نفسه مجددًا. اختلاف النتيجتين أمر شائع، لأن للمواقع الكبيرة خوادم في أماكن كثيرة؛ والخطوة التالية هي الحاسمة.
3. خذ العنوان الأول إلى موقع لفحص IP مثل ipinfo.io وانظر لمن يعود. إن كان يعود إلى الموقع نفسه أو إلى مزوّد السحابة الذي يستضيفه فالترجمة سليمة. وإن كان يعود إلى جهة لا علاقة لها، أو لا يمكن الوصول إليه أصلًا، فالرد مسموم.
4. كرّر ذلك مرتين أو ثلاثًا. النتائج الحقيقية تبقى ضمن مجموعة صغيرة ثابتة من العناوين، أما المسمومة فكثيرًا ما تتغير مع كل استعلام.

هناك أربعة أساليب، من الحل الجزئي إلى الكامل. الأوّلان يغيّران فقط من تسأل، والثالث يحل مشكلة السؤال ومشكلة الوصول معًا.

• تغيير خادم DNS: يفيد حين يكون DNS المزوّد نفسه خاطئًا أو محتفظًا بعنوان قديم. ولا يفعل شيئًا أمام الردود المحقونة على الطريق.
• DNS المشفّر (DoH وDoT): لا يمكن تعديل الاستعلام في الطريق، فتحصل على العنوان الحقيقي. لكن العنوان الحقيقي قد يبقى محجوبًا، فهذا نصف حل.
• تمرير الترجمة وحركة البيانات معًا عبر المسار: هذا هو الحل الكامل. يُترجَم الاسم في الطرف البعيد فيكون الرد صحيحًا، وتنطلق الزيارة من الطرف البعيد أيضًا.
• تعديل ملف hosts لتثبيت عنوان يدويًا: يتعطل حين يتغير العنوان، ولا يصلح لأكثر من بضعة مواقع. يناسب حلًا مؤقتًا.
• تعتمد LeoTun الأسلوب الثالث: يتولى المسار تعيين DNS وتتم الترجمة داخل النفق، فلا يُستخدم DNS الأصلي للجهاز. ومع بروكسي الويب يترجم خادم البروكسي الأسماء نيابة عن المتصفح. والراوتر يفعل ذلك لكل أجهزة المنزل، ويترجم المواقع الصينية بالطريقة المحلية فتفتح مباشرة. على مساراتنا لا تحتاج عادةً إلى تغيير أي إعداد DNS.

• تسميم DNS: الرد مزيف. لا يفتح الموقع أو تُحوَّل إلى مكان آخر. يحدث حين لا تكون على المسار، أو حين لا تمر الترجمة عبره.
• تسرّب DNS: الرد صحيح، لكن السؤال وُجِّه إلى مزوّدك المحلي. فيعرف المزوّد النطاقات التي تقصدها، وقد يستنتج موقع فيديو منها موقعك الحقيقي. يحدث حين يكون الـ VPN متصلًا لكن الاستعلامات تمر خارج النفق.
• أسباب التسرّب الشائعة: تفعيل DNS الآمن في المتصفح أو النظام؛ تشغيل VPN آخر أو أداة شبكات mesh في الوقت نفسه؛ عدم مرور IPv6 الخاص بالجهاز عبر النفق.
• حين تكون خارج الصين وتشاهد فيديو صينيًا، فالعلامة النموذجية للتسرّب هي «متصل، وعنوان IP صحيح، وما زالت رسالة المنطقة تظهر». الخطوات في Tencent Video أو iQIYI محجوب خارج الصين.

1. IP الخروج: بعد الاتصال افتح موقعًا لفحص IP مثل ipinfo.io أو ip.sb. يجب أن يكون العنوان والموقع هما المخرج الذي اخترته، لا اتصالك المنزلي.
2. DNS: افتح اختبار تسرّب DNS (dnsleaktest.com، أو صفحة DNS في browserleaks.com). يعرض الخوادم التي تترجم لك الأسماء. في الوضع الشامل يجب ألا يظهر مزوّدك المحلي في القائمة.
3. IPv6: افتح test-ipv6.com. إن ظهر IPv6 غير متاح، أو ظهر عنوان ليس عنوانك المحلي، فكل شيء سليم.
4. اقرأ النتيجة بطريقة مختلفة في وضع التوجيه الذكي: المواقع الصينية يُقصد أن تُترجَم محليًا، فظهور خادم صيني في صفحة الاختبار ليس بالضرورة تسرّبًا. وللتأكد حوّل إلى الوضع الشامل واختبر مجددًا.
5. افصل الاتصال وأعد الفحوص كلها مرة أخرى، ثم قارن. إن تطابقت النتيجتان فحركة البيانات لا تمر عبر المسار؛ تأكد أن التطبيق متصل فعلًا.

مع تفعيل التوجيه الذكي هذا طبيعي، بل هو التوجيه الذكي يؤدي عمله. فإن كنت داخل الصين واخترت منطقة خارجها، يُرسَل موقع فحص IP صيني مباشرةً فيرى عنوان اتصالك المنزلي، بينما يمر موقع فحص أجنبي عبر المسار فيرى عنوان الخروج. وكلاهما صحيح: أحدهما يجيب «أين تراني المواقع الصينية» والآخر «أين تراني المواقع الأجنبية».

والأمر نفسه مع مدخل الصين: المواقع الصينية تُفتح من داخل الصين، والمواقع الأجنبية تصل عبر خط خارجي، فيعرض موقع الفحص الأجنبي الطرف الخارجي.

ونوع ثالث من الاختلاف مصدره قواعد البيانات. فتحديد البلد أو المدينة التي يتبع لها عنوان IP يعتمد على قاعدة بيانات المواقع الجغرافية التي يستخدمها كل موقع فحص، وهي تُحدَّث في أوقات مختلفة. فليس غريبًا أن يظهر العنوان نفسه في مدينتين مختلفتين على موقعين، بل في بلدين مختلفين. وما يعتمد عليه الموقع أو التطبيق فعلًا هو قاعدة بياناته هو.

لترى المخرج حين يمر كل شيء عبر المسار، حوّل التطبيق إلى الوضع الشامل وانظر مجددًا. اتجاهات التوجيه الذكي في الراوتر وطريقة التحقق منها في كيف يعمل التوجيه الذكي على راوتر VPN.

درجة نظافة IP، وتُسمّى أيضًا سمعة IP أو درجة الاحتيال، هي تقييم للمخاطر تمنحه بعض مواقع الفحص لعنوان ما. لا يوجد معيار موحّد؛ لكل موقع معادلته، وقد يحصل العنوان نفسه على درجات متباعدة جدًا من موقع لآخر. وهي تقيس مدى معاملة المواقع للعنوان كمستخدم منزلي عادي، ولا تقول شيئًا عن حماية بياناتك. ويحددها أساسًا أربعة أمور:

• نوع العنوان: اتصال منزلي، أو شبكة جوال، أو مركز بيانات.
• هل هو مصنَّف بروكسي أو VPN: بعض قواعد البيانات تجمع هذه العناوين تحديدًا.
• السجل: هل أرسل العنوان رسائل مزعجة، أو أغرق واجهة برمجية بالطلبات، أو تم الإبلاغ عنه.
• عدد من يستخدمه في وقت واحد: حين يتشارك كثيرون مخرجًا واحدًا، يُسجَّل سلوك الجميع على العنوان نفسه.

المخارج المشتركة تحصل على درجات أقل بطبيعتها. فكثير من المستخدمين يتشاركون عنوان خروج واحدًا، وإن تسبّب أحدهم يومًا في تنبيه أنظمة مكافحة المخاطر بقي السجل على ذلك العنوان. والعنوان أيضًا ضمن نطاق مراكز البيانات، فيخسر نقاطًا بسبب نوعه وحده. وهذا ينطبق على مخارج VPN والبروكسي عمومًا.

عمليًا، الدرجة المنخفضة تعني اختبارات CAPTCHA أكثر، وتحققًا إضافيًا في بعض المواقع، وقلة من الخدمات التي ترفض عناوين مراكز البيانات. تعامل مع النتيجة كمرجع فقط. وحين يرفضك موقع بعينه، أعد الاتصال عبر منطقة أخرى: فلكل منطقة عناوين خروج مختلفة، ووراء كل منطقة عدة أجهزة.

يحتاج الراوتر أن يرى الاسم الذي يسأل عنه الجهاز حتى يقرر هل تمر الزيارة عبر المسار أم تذهب مباشرة. أما الجهاز الذي فُعِّل فيه DNS المشفّر (DoH أو DoT) فيسأل خادمًا خارجيًا عبر قناته المشفّرة، فلا يرى الراوتر الاستعلام أبدًا، ويتوقف التوجيه الذكي عن التعرّف على زيارات هذا الجهاز: فما ينبغي أن يمر عبر المسار لا يمر، أو تسلك المواقع الصينية طريقًا ملتويًا. إن كان جهاز واحد فقط في البيت يتصرف بغرابة، فافحص هذا أولًا.

• أندرويد: الإعدادات ← الشبكة والإنترنت ← DNS خاص (Private DNS)، واختر «إيقاف». تختلف أسماء القوائم حسب الشركة المصنّعة؛ ابحث في الإعدادات عن «DNS خاص» لتجده.
• Chrome: الإعدادات ← الخصوصية والأمان ← الأمان ← استخدام DNS آمن، وأوقفه. في Edge وFirefox خيار مماثل في إعدادات الخصوصية؛ ويسميه Firefox «DNS over HTTPS».
• الآيفون والماك: لا يوجد مفتاح واحد في النظام. إن كنت ثبّتّ تطبيق DNS أو ملف تعريف DNS فعطّله من الإعدادات ← عام ← VPN وإدارة الأجهزة، وأوقف «ترحيل iCloud الخاص» (iCloud Private Relay) إن كان مفعّلًا.
• بعد ذلك أعد توصيل هذا الجهاز بالـ Wi‑Fi وتحقق بالطريقة المذكورة في القسم الأخير من دليل التوجيه الذكي في الراوتر.