Fuite DNS ou empoisonnement DNS : comment vérifier et corriger

Le DNS, c'est la façon dont Internet demande son chemin. Vous tapez un nom de domaine, l'appareil a besoin d'une adresse IP, et l'étape intermédiaire — quelle adresse correspond à ce nom — est une question posée à un serveur DNS. Par défaut, c'est un serveur choisi par votre fournisseur d'accès ou votre routeur, et les requêtes DNS classiques ne sont pas chiffrées : les équipements sur le trajet peuvent lire la question et ont une chance de répondre avant le vrai serveur.

L'empoisonnement DNS, c'est cette réponse remplacée par une fausse : le nom pointe vers une adresse sans rapport ou injoignable. Côté utilisateur, cela se manifeste ainsi.

• Certains sites tournent dans le vide, expirent ou signalent une connexion réinitialisée, alors que d'autres sites fonctionnent normalement au même moment.
• Passer à un serveur DNS public n'aide pas : la fausse réponse est injectée en chemin, donc quel que soit le serveur interrogé, la réponse est toujours devancée.
• Le même nom donne une adresse différente à chaque fois, et ces adresses appartiennent à des organisations sans aucun rapport avec le site.
• Le navigateur affiche une erreur de certificat : le nom a été dirigé vers le serveur de quelqu'un d'autre, qui ne peut pas présenter le certificat du site. Arrêtez-vous là et ne passez pas outre.
• Sur un autre réseau (les données mobiles, par exemple) ou avec un VPN connecté, le même site s'ouvre aussitôt.

Si le schéma est déjà « ça s'ouvre avec le VPN, ça échoue sans », la conclusion est suffisante. Pour vérifier si un nom se résout correctement, suivez ces quatre étapes.

1. VPN coupé, interrogez le nom depuis la ligne de commande d'un ordinateur, en remplaçant example.com par le domaine concerné, et notez l'adresse renvoyée : nslookup example.com
2. Connectez le VPN (une méthode qui couvre tout l'appareil, en mode global) et interrogez à nouveau le même nom. Des résultats différents sont courants, car les grands sites ont des serveurs un peu partout ; c'est l'étape suivante qui compte.
3. Prenez la première adresse et vérifiez à qui elle appartient sur un site de détection d'IP comme ipinfo.io. Si elle appartient au site lui-même ou à son hébergeur cloud, la résolution est correcte. Si elle appartient à une organisation sans rapport, ou est totalement injoignable, la réponse a été empoisonnée.
4. Répétez deux ou trois fois. Les vrais résultats restent dans un petit ensemble fixe d'adresses ; les résultats empoisonnés changent souvent à chaque requête.

Il y a quatre approches, de la partielle à la complète. Les deux premières ne changent que l'interlocuteur ; la troisième règle à la fois la question et le trajet.

• Changer de serveur DNS : efficace quand le DNS du fournisseur d'accès est lui-même en tort ou a gardé en cache une ancienne adresse. Sans effet contre les réponses injectées en chemin.
• DNS chiffré (DoH, DoT) : la requête ne peut pas être modifiée en chemin, vous obtenez donc la vraie adresse. La vraie adresse peut toutefois rester injoignable : c'est une demi-solution.
• Faire passer la résolution et le trafic par la ligne : la solution complète. Le nom est résolu à l'autre bout, la réponse est authentique, et la visite part aussi de l'autre bout.
• Modifier le fichier hosts pour fixer une adresse à la main : cela casse dès que l'adresse change et ne tient pas au-delà de quelques sites. À réserver au dépannage.
• LeoTun applique la troisième approche : le DNS est attribué par la ligne et résolu dans le tunnel, donc le DNS d'origine de l'appareil n'est pas utilisé. Avec le Proxy Web, c'est le serveur proxy qui résout les noms pour le navigateur. Le routeur le fait pour tous les appareils de la maison, et résout les sites chinois à la manière locale pour qu'ils s'ouvrent en direct. Sur nos lignes, vous n'avez normalement aucun réglage DNS à modifier.

• Empoisonnement DNS : la réponse est fausse. Le site ne s'ouvre pas ou vous êtes envoyé ailleurs. Cela arrive quand vous n'êtes pas sur une ligne, ou quand la résolution n'y passe pas.
• Fuite DNS : la réponse est authentique, mais c'est votre fournisseur d'accès local qui a été interrogé. Il apprend vers quels domaines vous vous dirigez, et un site vidéo peut en déduire votre vraie localisation. Cela arrive quand le VPN est connecté mais que les requêtes passent hors du tunnel.
• Causes courantes d'une fuite : le DNS sécurisé activé dans le navigateur ou le système ; un autre VPN ou outil de réseau maillé qui tourne en même temps ; l'IPv6 de l'appareil qui ne passe pas par le tunnel.
• Quand vous êtes à l'étranger et regardez des vidéos chinoises, le signe typique d'une fuite est : « connecté, l'IP est la bonne, et le message de restriction géographique s'affiche quand même ». Les étapes sont dans Tencent Video ou iQIYI bloqués à l'étranger.

1. IP de sortie : une fois connecté, ouvrez un site de détection d'IP comme ipinfo.io ou ip.sb. L'adresse et le lieu doivent être ceux de la sortie choisie, pas de votre connexion à domicile.
2. DNS : ouvrez un test de fuite DNS (dnsleaktest.com, ou la page DNS de browserleaks.com). Il liste les serveurs qui résolvent les noms pour vous. En mode global, votre fournisseur d'accès local ne doit pas figurer dans la liste.
3. IPv6 : ouvrez test-ipv6.com. Si l'IPv6 est indiqué comme indisponible, ou affiche une adresse qui n'est pas votre adresse locale, tout va bien.
4. En mode répartition, lisez le résultat autrement : les sites chinois sont censés être résolus localement en Chine, donc un serveur chinois sur la page de test n'est pas forcément une fuite. Pour en avoir le cœur net, passez en global et refaites le test.
5. Déconnectez-vous et refaites tout une fois, puis comparez. Si les deux séries sont identiques, le trafic ne passe pas par la ligne ; vérifiez que le client est vraiment connecté.

Avec la répartition activée, c'est normal, et c'est même la preuve qu'elle fait son travail. En Chine avec une région étrangère sélectionnée, un site chinois de détection d'IP passe en direct et voit l'adresse de votre connexion à domicile, tandis qu'un site étranger passe par la ligne et voit l'adresse de sortie. Les deux ont raison : l'un répond à « où les sites chinois me voient-ils », l'autre à « où les sites étrangers me voient-ils ».

C'est pareil pour l'entrée Chine : les sites chinois sortent depuis la Chine et les sites étrangers arrivent par une ligne à l'étranger, donc un site étranger de détection d'IP affiche l'extrémité à l'étranger.

Un troisième type de divergence vient des bases de données. Le pays ou la ville d'une IP dépend de la base de géolocalisation qu'utilise chaque site de détection, et elles se mettent à jour à des moments différents. Qu'une même IP affiche des villes différentes, voire des pays différents, sur deux sites n'a rien d'inhabituel. Ce qui compte pour un site ou une appli, c'est sa propre base.

Pour voir la sortie quand tout passe par la ligne, passez le client en global et regardez à nouveau. Les sens de répartition du routeur et la façon de les vérifier sont dans Comment fonctionne la répartition sur un routeur VPN.

Un score de propreté d'IP, appelé aussi réputation IP ou score de fraude, est une note de risque que certains sites de vérification attribuent à une adresse. Il n'existe pas de norme commune : chaque site a sa propre formule, et une même adresse peut obtenir des scores très différents d'un site à l'autre. Il mesure à quel point un site traite l'adresse comme celle d'un particulier ordinaire. Il ne dit rien sur la protection de vos données. Quatre facteurs pèsent surtout.

• Le type d'adresse : connexion domestique, réseau mobile ou centre de données.
• Si elle est signalée comme proxy ou VPN : certaines bases recensent précisément ces adresses.
• L'historique : si l'adresse a envoyé du spam, martelé une API ou été signalée.
• Le nombre de personnes qui l'utilisent en même temps : quand beaucoup partagent une sortie, le comportement de chacun est enregistré sur la même adresse.

Les sorties partagées ont par nature un score plus bas. Beaucoup d'utilisateurs partagent une même adresse de sortie, et si l'un d'eux a un jour déclenché un contrôle anti-fraude, la trace reste sur cette adresse. L'adresse appartient aussi à une plage de centre de données, ce qui coûte des points rien que pour le type. C'est vrai des sorties VPN et proxy en général.

En pratique, un score bas signifie plus de CAPTCHA, des vérifications supplémentaires sur certains sites, et quelques services qui refusent les adresses de centre de données. Prenez le résultat comme une indication. Quand un site précis vous refuse, reconnectez-vous via une autre région : chaque région a des adresses de sortie différentes, et plusieurs machines derrière elle.

Un routeur doit voir quel nom un appareil demande avant de pouvoir décider si la visite passe par la ligne ou en direct. Un appareil avec le DNS chiffré activé (DoH ou DoT) interroge un serveur tiers par son propre canal chiffré, le routeur ne voit jamais la requête, et la répartition cesse de fonctionner pour cet appareil : ce qui devrait passer par la ligne n'y passe pas, ou les sites chinois font un détour. Quand un seul appareil de la maison se comporte mal, vérifiez cela en premier.

• Android : Paramètres → Réseau et Internet → DNS privé, choisissez « Désactivé ». Les noms des menus varient selon la marque ; chercher « DNS privé » dans les paramètres permet de le trouver.
• Chrome : Paramètres → Confidentialité et sécurité → Sécurité → Utiliser un DNS sécurisé, désactivez-le. Edge et Firefox ont un équivalent dans leurs réglages de confidentialité ; Firefox l'appelle « DNS via HTTPS ».
• iPhone et Mac : il n'y a pas d'interrupteur système unique. Si vous avez installé une appli DNS ou un profil DNS, désactivez-le dans Réglages → Général → VPN et gestion de l'appareil, et désactivez le Relais privé iCloud s'il est activé.
• Ensuite, reconnectez cet appareil au Wi‑Fi et vérifiez avec la méthode de la dernière section du guide sur la répartition du routeur.