DNS 누출과 DNS 오염: 확인하고 해결하는 법

DNS는 인터넷에서 길을 묻는 방법입니다. 도메인 이름을 입력하면 기기는 IP 주소가 필요한데, 그 사이에서 '이 이름은 어느 주소인가'를 DNS 서버에 묻습니다. 기본으로는 인터넷 회사나 공유기가 정한 서버에 묻고, 전통적인 DNS 조회는 암호화되지 않습니다. 그래서 중간의 장비가 질문을 읽을 수 있고, 진짜 서버보다 먼저 답을 보낼 기회도 있습니다.

DNS 오염은 그 답이 가짜로 바뀐 것입니다. 이름이 상관없는 주소나 접속할 수 없는 주소를 가리킵니다. 사용자 입장에서는 이렇게 보입니다.

• 특정 사이트만 계속 로딩되거나, 시간 초과가 나거나, '연결이 재설정됨'이 뜹니다. 같은 시각 다른 사이트는 멀쩡합니다.
• 공용 DNS 서버로 바꿔도 소용없습니다. 가짜 답은 가는 길 중간에 끼워 넣어지므로, 누구에게 물어도 가짜 답이 먼저 도착합니다.
• 같은 이름이 조회할 때마다 다른 주소로 나오고, 그 주소들은 사이트와 아무 관계 없는 기관의 것입니다.
• 브라우저에 인증서 오류가 뜹니다. 이름이 남의 서버로 연결되어 그 서버가 사이트의 인증서를 내밀 수 없기 때문입니다. 여기서 멈추고 무시하고 진행하지 마세요.
• 다른 네트워크(예: 모바일 데이터)에서나 VPN을 켜면 같은 사이트가 바로 열립니다.

이미 'VPN을 켜면 열리고 끄면 안 열린다'는 패턴이라면 그것으로 결론은 충분합니다. 특정 이름이 제대로 조회되는지 확실히 하려면 아래 네 단계를 따라 하세요.

1. VPN을 끈 상태에서 컴퓨터의 명령줄로 이름을 조회합니다. example.com을 확인할 도메인으로 바꾸고, 나온 주소를 적어 두세요: nslookup example.com
2. VPN을 연결하고(기기 전체에 적용되는 방식, 전역 모드) 같은 이름을 다시 조회합니다. 큰 사이트는 여러 곳에 서버가 있어서 결과가 다른 것은 흔한 일입니다. 중요한 것은 다음 단계입니다.
3. 처음 나온 주소를 ipinfo.io 같은 IP 조회 사이트에 넣어 소유자를 확인합니다. 사이트 자신이나 그 사이트의 클라우드 업체 것이라면 조회는 정상입니다. 관계없는 기관의 것이거나 아예 접속이 안 되는 주소라면 오염된 답입니다.
4. 두세 번 반복합니다. 진짜 결과는 정해진 몇 개의 주소 안에서만 나오고, 오염된 결과는 조회할 때마다 바뀌는 경우가 많습니다.

부분적인 방법부터 완전한 방법까지 네 가지가 있습니다. 앞의 두 가지는 '누구에게 묻느냐'만 바꾸고, 세 번째는 묻는 것과 가는 것을 함께 해결합니다.

• DNS 서버 변경: 인터넷 회사의 DNS 자체가 틀렸거나 옛 주소를 캐시하고 있을 때 효과가 있습니다. 중간에 끼워 넣는 가짜 답에는 소용없습니다.
• 암호화 DNS(DoH, DoT): 조회가 도중에 바뀔 수 없어 진짜 주소를 받습니다. 하지만 그 진짜 주소로 여전히 접속이 안 될 수 있어서 절반의 해결입니다.
• 이름 조회와 트래픽을 모두 경로로 보내기: 완전한 해결입니다. 이름은 반대편 끝에서 조회되어 답이 진짜이고, 접속도 반대편 끝에서 나갑니다.
• hosts 파일을 고쳐 주소를 직접 고정하기: 주소가 바뀌면 바로 깨지고, 사이트 몇 개를 넘으면 관리가 안 됩니다. 임시방편으로만 적합합니다.
• LeoTun는 세 번째 방법을 씁니다. DNS는 경로가 지정하고 터널 안에서 조회하므로 기기의 원래 DNS는 쓰이지 않습니다. 웹 프록시에서는 프록시 서버가 브라우저 대신 이름을 조회합니다. 공유기는 집 안의 모든 기기에 이렇게 해 주고, 중국 사이트는 중국 내 방식으로 조회해 바로 열리게 합니다. 저희 경로를 쓸 때는 보통 DNS 설정을 바꿀 필요가 없습니다.

• DNS 오염: 답이 가짜입니다. 사이트가 안 열리거나 다른 곳으로 갑니다. 경로를 쓰지 않을 때, 또는 이름 조회가 경로를 타지 않을 때 생깁니다.
• DNS 누출: 답은 진짜지만, 질문을 받은 쪽이 현지 인터넷 회사입니다. 인터넷 회사는 내가 어떤 도메인으로 가는지 알게 되고, 동영상 사이트는 이를 근거로 실제 위치를 알아낼 수도 있습니다. VPN은 연결됐는데 조회가 터널 밖으로 나갈 때 생깁니다.
• 누출의 흔한 원인: 브라우저나 시스템에서 보안 DNS가 켜져 있음, 다른 VPN이나 메시 네트워크 도구가 동시에 실행 중, 기기의 IPv6가 터널을 거치지 않음.
• 해외에서 중국 동영상을 볼 때 누출의 전형적인 신호는 '연결됐고 IP도 맞는데 지역 제한 메시지가 여전히 뜬다'입니다. 해결 단계는 해외에서 텐센트 비디오·아이치이가 막힐 때에 있습니다.

1. 출구 IP: 연결한 뒤 ipinfo.io나 ip.sb 같은 IP 조회 사이트를 엽니다. 주소와 위치가 집 인터넷이 아니라 내가 고른 출구여야 합니다.
2. DNS: DNS 누출 테스트(dnsleaktest.com 또는 browserleaks.com의 DNS 페이지)를 엽니다. 이름을 조회해 주는 서버 목록이 나옵니다. 전역 모드라면 목록에 현지 인터넷 회사가 보이면 안 됩니다.
3. IPv6: test-ipv6.com을 엽니다. IPv6가 사용 불가로 나오거나, 현지 주소가 아닌 주소가 나오면 괜찮습니다.
4. 분할 라우팅 모드에서는 결과를 다르게 읽어야 합니다. 중국 사이트는 원래 중국 안에서 조회하도록 되어 있어서, 테스트 페이지에 중국 서버가 보여도 꼭 누출은 아닙니다. 확실히 하려면 전역 모드로 바꿔 다시 테스트하세요.
5. 연결을 끊고 모든 테스트를 한 번 더 해서 비교합니다. 두 결과가 똑같다면 트래픽이 경로를 타지 않는 것입니다. 클라이언트가 정말 연결됐는지 확인하세요.

분할 라우팅이 켜져 있으면 정상이고, 오히려 분할 라우팅이 제 역할을 한다는 뜻입니다. 중국 안에서 해외 지역을 골랐다면 중국 IP 조회 사이트는 직접 연결되어 집 인터넷 주소를 보고, 해외 조회 사이트는 경로를 거쳐 출구 주소를 봅니다. 둘 다 맞습니다. 하나는 '중국 사이트가 나를 어디로 보는가', 다른 하나는 '해외 사이트가 나를 어디로 보는가'에 대한 답입니다.

중국 진입 경로도 마찬가지입니다. 중국 사이트는 중국에서 나가고 해외 사이트는 해외 회선으로 도착하므로, 해외 조회 사이트에는 해외 쪽 끝이 보입니다.

세 번째 불일치는 데이터베이스 때문입니다. IP가 어느 나라·도시인지는 조회 사이트마다 쓰는 위치 데이터베이스에 따라 다르고, 업데이트 시점도 제각각입니다. 같은 IP가 두 사이트에서 다른 도시, 심지어 다른 나라로 나오는 일도 드물지 않습니다. 웹사이트나 앱이 실제로 따르는 것은 자기 데이터베이스입니다.

모든 트래픽이 경로를 탈 때의 출구를 보려면 클라이언트를 전역 모드로 바꾸고 다시 확인하세요. 공유기 분할 라우팅의 방향과 확인 방법은 VPN 공유기의 분할 라우팅은 어떻게 작동하나에 있습니다.

IP 깨끗함 점수는 IP 평판, 사기 위험 점수(fraud score)라고도 하며, 일부 조회 사이트가 주소에 매기는 위험 등급입니다. 공통 기준은 없고 사이트마다 자기 공식을 쓰기 때문에, 같은 주소도 사이트마다 점수가 크게 다를 수 있습니다. 이 점수는 웹사이트가 그 주소를 얼마나 평범한 가정 사용자로 보느냐를 나타낼 뿐, 내 데이터가 보호되는지와는 상관없습니다. 주로 네 가지가 점수를 좌우합니다.

• 주소 유형: 가정용 인터넷, 모바일 네트워크, 데이터 센터.
• 프록시·VPN으로 표시됐는지: 이런 주소만 모으는 데이터베이스도 있습니다.
• 이력: 그 주소가 스팸을 보냈거나, API를 과하게 호출했거나, 신고된 적이 있는지.
• 동시에 쓰는 사람 수: 여러 명이 한 출구를 함께 쓰면 모두의 행동이 같은 주소에 기록됩니다.

공유 출구는 구조상 점수가 낮게 나옵니다. 많은 사용자가 출구 주소 하나를 함께 쓰고, 그중 누군가 한 번이라도 보안 검사에 걸리면 그 기록이 주소에 남습니다. 게다가 주소가 데이터 센터 대역이라 유형만으로도 감점됩니다. VPN과 프록시 출구는 대체로 다 그렇습니다.

실제로 점수가 낮으면 CAPTCHA가 더 자주 뜨고, 일부 사이트에서 추가 인증을 요구하며, 데이터 센터 주소를 받지 않는 서비스도 몇 있습니다. 결과는 참고로만 보세요. 특정 사이트가 막는다면 다른 지역으로 다시 연결하세요. 지역마다 출구 주소가 다르고, 지역마다 서버도 여러 대 있습니다.

공유기는 기기가 어떤 이름을 묻는지 봐야 그 접속을 경로로 보낼지 직접 보낼지 정할 수 있습니다. 암호화 DNS(DoH 또는 DoT)를 켠 기기는 자기만의 암호화 채널로 제3자 서버에 묻기 때문에 공유기가 조회를 보지 못하고, 그 기기의 분할 라우팅이 제대로 맞지 않게 됩니다. 경로로 가야 할 것이 안 가거나, 중국 사이트가 돌아서 갑니다. 집에서 기기 하나만 이상하다면 이것부터 확인하세요.

• Android: 설정 → 연결(또는 네트워크 및 인터넷) → 개인 DNS(Private DNS)에서 '사용 안 함'을 고릅니다. 메뉴 이름은 제조사마다 다르니 설정에서 '개인 DNS'를 검색하면 찾을 수 있습니다.
• Chrome: 설정 → 개인 정보 보호 및 보안 → 보안 → 보안 DNS 사용을 끕니다. Edge와 Firefox도 개인 정보 설정에 같은 항목이 있고, Firefox에서는 'DNS over HTTPS'라고 합니다.
• iPhone과 Mac: 시스템 전체 스위치는 없습니다. DNS 앱이나 DNS 프로파일을 설치했다면 설정 → 일반 → VPN 및 기기 관리에서 끄고, iCloud 비공개 릴레이가 켜져 있다면 끄세요.
• 그다음 그 기기를 Wi‑Fi에 다시 연결하고 공유기 분할 라우팅 안내의 마지막 섹션에 있는 방법으로 확인하세요.