DNS リークと DNS 汚染の違い：確認方法と対処法

DNS はインターネットの道案内です。ドメイン名を入力すると、端末は IP アドレスを必要とします。その間の「この名前はどのアドレスか」という手順が、DNS サーバーへの問い合わせです。初期設定ではプロバイダーやルーターが選んだサーバーが使われ、従来の DNS の問い合わせは暗号化されていません。途中の機器が質問を読めるうえ、本物のサーバーより先に答えを返すこともできてしまいます。

DNS 汚染とは、その答えが偽物にすり替えられることです。名前が無関係なアドレスや、つながらないアドレスを指すようになります。利用者の側からは、次のように見えます。

• 特定のサイトだけが読み込み続ける、タイムアウトする、接続がリセットされたと表示される。同じ時に他のサイトは普通に開く。
• 公開 DNS サーバーに変えても直らない。偽の答えは途中で差し込まれるので、どこに問い合わせても先回りされる。
• 同じ名前を引くたびに違うアドレスが返り、しかもそのアドレスはサイトとは無関係な組織のものである。
• ブラウザに証明書エラーが出る。名前が他人のサーバーに向けられていて、そのサーバーはサイトの証明書を出せないためです。ここで止めて、先へ進まないでください。
• 別のネットワーク（モバイルデータ通信など）や、VPN に接続した状態では、同じサイトがすぐ開く。

「VPN をつなぐと開き、切ると開かない」というパターンがすでに見えているなら、それで結論は十分です。ある名前が正しく解決されているかを確かめたい場合は、次の4つの手順で調べます。

1. VPN をオフにした状態で、パソコンのコマンドラインから名前を引きます。example.com は調べたいドメインに置き換え、返ってきたアドレスを控えておきます：nslookup example.com
2. VPN（端末全体を通す方式、グローバルモード）に接続して、同じ名前をもう一度引きます。大きなサイトは各地にサーバーがあるので、結果が違うのはよくあることです。大事なのは次の手順です。
3. 最初のアドレスを ipinfo.io などの IP 検索サイトで調べ、持ち主を確認します。サイト自身やそのクラウド事業者のものなら、名前解決は正常です。無関係な組織のものだったり、そもそもつながらなかったりすれば、答えは汚染されています。
4. 何度か繰り返します。本物の結果は決まった少数のアドレスの範囲に収まりますが、汚染された結果は問い合わせのたびに変わることがよくあります。

部分的なものから完全なものまで、4つのやり方があります。最初の2つは問い合わせ先を変えるだけで、3つ目は問い合わせと通信の両方をまとめて解決します。

• DNS サーバーを変える：プロバイダーの DNS そのものが間違っている、または古いアドレスをキャッシュしている場合には効きます。途中で差し込まれる答えには何の効果もありません。
• 暗号化 DNS（DoH、DoT）：問い合わせが途中で書き換えられないので、本物のアドレスが手に入ります。ただし本物のアドレスでもつながらないことがあるので、半分の解決です。
• 名前解決と通信の両方を経路に通す：完全な解決です。名前は向こう側で解決されるので答えは本物で、アクセスも向こう側から出ていきます。
• hosts ファイルを編集してアドレスを手で固定する：アドレスが変わった途端に使えなくなり、数サイト以上には広げられません。一時しのぎ向けです。
• LeoTun は3つ目のやり方を採っています。DNS は経路側で割り当てられトンネル内で解決されるので、端末にもともと設定されている DNS は使われません。Webプロキシでは、プロキシサーバーがブラウザの代わりに名前を解決します。ルーターは家じゅうの端末について同じことを行い、中国のサイトは中国国内の方式で解決して直接開けるようにします。当社の経路では、通常 DNS の設定を変える必要はありません。

• DNS 汚染：答えが偽物です。サイトが開かないか、別の場所に連れて行かれます。経路を使っていないとき、または名前解決だけが経路を通っていないときに起こります。
• DNS リーク：答えは本物ですが、問い合わせ先が地元のプロバイダーでした。プロバイダーにはどのドメインに行こうとしているかが分かり、動画サイトはそこから本当の所在地を割り出すことがあります。VPN には接続しているのに、問い合わせがトンネルの外を通っているときに起こります。
• リークのよくある原因：ブラウザやシステムでセキュア DNS がオンになっている、別の VPN やメッシュネットワークのツールを同時に動かしている、端末の IPv6 がトンネルを通っていない。
• 海外から中国の動画サイトを見ようとしているとき、リークの典型的な症状は「接続済み、IP も正しいのに、地域制限のメッセージが出る」です。手順は「海外でテンセントビデオや iQIYI が見られないとき」にあります。

1. 出口 IP：接続したら、ipinfo.io や ip.sb などの IP 検索サイトを開きます。アドレスと場所が、自宅の回線ではなく選んだ出口になっているはずです。
2. DNS：DNS リークテスト（dnsleaktest.com、または browserleaks.com の DNS ページ）を開きます。名前解決をしているサーバーが一覧表示されます。グローバルモードなら、地元のプロバイダーが一覧に出てこないはずです。
3. IPv6：test-ipv6.com を開きます。IPv6 が使えないと表示されるか、地元のものではないアドレスが表示されれば問題ありません。
4. 振り分けモードでは結果の読み方が変わります。中国のサイトは国内で解決するのが正しい動作なので、テストページに中国国内のサーバーが出てもリークとは限りません。確実に調べるには、グローバルに切り替えてもう一度テストします。
5. 接続を切って同じことを一通り繰り返し、比べます。2回の結果がまったく同じなら、通信は経路を通っていません。クライアントが本当に接続しているか確認してください。

振り分けがオンなら、これは正常で、むしろ振り分けが働いている証拠です。中国国内で海外の地域を選んでいる場合、中国の IP チェックサイトには直接つながるので自宅の回線のアドレスが見え、海外の IP チェックサイトは経路を通るので出口のアドレスが見えます。どちらも正しく、一方は「中国のサイトから自分がどこに見えるか」、もう一方は「海外のサイトから自分がどこに見えるか」に答えています。

中国の入口でも同じで、中国のサイトには中国から出て行き、海外のサイトには海外の回線を通って着くので、海外の IP チェックサイトには海外側が表示されます。

3つ目の食い違いはデータベースによるものです。ある IP がどの国・都市に属するかは、各チェックサイトが使う位置情報データベース次第で、更新の時期もまちまちです。同じ IP が2つのサイトで別の都市、ときには別の国と表示されるのは珍しくありません。ウェブサイトやアプリが実際に頼りにするのは、それぞれが持つデータベースです。

すべてを経路に通したときの出口を見たいなら、クライアントをグローバルに切り替えてから調べ直します。ルーターの振り分けの向きと確かめ方は「VPN ルーターのスプリットルーティングの仕組み」にあります。

IP のクリーン度スコア（IP レピュテーション、不正スコアとも呼ばれます）は、一部のチェックサイトがアドレスに付けるリスク評価です。共通の基準はなく、サイトごとに独自の計算式があり、同じアドレスでもサイトによって点数が大きく違います。測っているのは、ウェブサイトがそのアドレスをどれだけ普通の家庭ユーザーとして扱うかで、あなたのデータが守られているかどうかとは関係ありません。主に4つの要素で決まります。

• アドレスの種類：家庭用回線、モバイル回線、データセンター。
• プロキシや VPN として登録されているか：まさにそうしたアドレスを集めているデータベースがあります。
• 履歴：そのアドレスからスパムが送られたり、API に大量アクセスがあったり、通報されたりしたことがあるか。
• 同時に何人が使っているか：多くの人が1つの出口を共有すると、全員の行動が同じアドレスに記録されます。

共有の出口は、その性質上スコアが低くなります。多くの利用者が1つの出口アドレスを共有するので、誰か一人でも過去にリスク判定に引っかかれば、その記録がアドレスに残ります。またアドレスはデータセンターの範囲にあるので、種類だけで減点されます。これは VPN やプロキシの出口全般に言えることです。

実際には、スコアが低いと CAPTCHA が増える、一部のサイトで追加の確認を求められる、データセンターのアドレスを受け付けないサービスがいくつかある、といった程度です。結果は参考として扱ってください。特定のサイトに弾かれたら、別の地域でつなぎ直します。地域ごとに出口アドレスが違い、各地域の背後には複数のサーバーがあります。

ルーターは、端末がどの名前を問い合わせているかを見てはじめて、そのアクセスを経路に通すか直接つなぐかを決められます。暗号化 DNS（DoH や DoT）をオンにした端末は、独自の暗号化された通り道で第三者のサーバーに問い合わせるので、ルーターには問い合わせが見えず、その端末の振り分けが合わなくなります。経路を通るべきものが通らなかったり、中国のサイトが遠回りしたりします。家の中で1台だけ調子が悪いときは、まずここを確認してください。

• Android：設定 →「ネットワークとインターネット」→「プライベート DNS」で「オフ」を選びます。メニュー名はメーカーによって違いますが、設定内で「プライベート DNS」を検索すれば見つかります。
• Chrome：設定 →「プライバシーとセキュリティ」→「セキュリティ」→「セキュア DNS を使用する」をオフにします。Edge と Firefox にもプライバシー設定に同様の項目があり、Firefox では「DNS over HTTPS」という名前です。
• iPhone と Mac：システム全体の切り替えスイッチはありません。DNS アプリや DNS プロファイルを入れている場合は、設定 →「一般」→「VPN とデバイス管理」で無効にし、iCloud プライベートリレーがオンならオフにします。
• そのあと、その端末を Wi‑Fi につなぎ直し、「ルーターの振り分けのガイド」の最後の節の方法で確認します。