Vazamento de DNS x DNS envenenado: como testar e corrigir

O DNS é o jeito que a internet tem de pedir informação de caminho. Você digita um nome de domínio, o aparelho precisa de um endereço IP, e o passo do meio — qual endereço corresponde a esse nome — é uma pergunta feita a um servidor DNS. Por padrão, quem responde é um servidor escolhido pela operadora ou pelo roteador, e as consultas DNS tradicionais não são criptografadas: os equipamentos no caminho conseguem ler a pergunta e têm a chance de responder antes do servidor verdadeiro.

DNS envenenado quer dizer que essa resposta foi trocada por uma falsa: o nome aponta para um endereço que não tem nada a ver ou que nem pode ser alcançado. Do lado do usuário, aparece assim.

• Alguns sites ficam carregando sem fim, dão tempo esgotado ou “conexão redefinida”, enquanto outros sites funcionam normalmente no mesmo momento.
• Trocar para um DNS público não adianta: a resposta falsa é inserida no meio do caminho, então, seja para quem você perguntar, ela chega antes da verdadeira.
• O mesmo nome resolve para um endereço diferente a cada vez, e esses endereços pertencem a organizações que não têm nada a ver com o site.
• O navegador mostra erro de certificado: o nome foi apontado para o servidor de outra pessoa, que não consegue apresentar o certificado do site. Pare aí e não clique para continuar.
• Em outra rede (nos dados móveis, por exemplo) ou com a VPN conectada, o mesmo site abre na hora.

Se o padrão já é “abre com a VPN, não abre sem ela”, essa conclusão basta. Para confirmar se um nome específico resolve corretamente, siga estes quatro passos.

1. Com a VPN desligada, consulte o nome na linha de comando de um computador, trocando example.com pelo domínio em questão, e anote o endereço que voltar: nslookup example.com
2. Conecte a VPN (uma forma de aparelho inteiro, em modo global) e consulte o mesmo nome de novo. É comum o resultado mudar, porque sites grandes têm servidores em vários lugares; o passo seguinte é o que importa.
3. Leve o primeiro endereço a um site de consulta de IP, como o ipinfo.io, e veja de quem ele é. Se pertence ao próprio site ou ao provedor de nuvem dele, a resolução está certa. Se pertence a uma organização sem relação nenhuma, ou nem responde, a resposta foi envenenada.
4. Repita algumas vezes. Resultados verdadeiros ficam dentro de um pequeno conjunto fixo de endereços; resultados envenenados costumam mudar a cada consulta.

Há quatro caminhos, do parcial ao completo. Os dois primeiros só mudam a quem você pergunta; o terceiro resolve a pergunta e o trajeto juntos.

• Trocar o servidor DNS: funciona quando o DNS da própria operadora está errado ou guardou um endereço antigo. Não faz nada contra respostas inseridas no caminho.
• DNS criptografado (DoH, DoT): a consulta não pode ser alterada no trajeto, então você recebe o endereço verdadeiro. Só que esse endereço verdadeiro pode continuar inacessível — é meia solução.
• Mandar a resolução e o tráfego juntos pela rota: a solução completa. O nome é resolvido na outra ponta, a resposta é verdadeira e o acesso também sai de lá.
• Editar o arquivo hosts para fixar um endereço na mão: quebra assim que o endereço muda e não dá conta de mais do que alguns sites. Serve como quebra-galho.
• O LeoTun usa o terceiro caminho: o DNS é definido pela rota e resolvido dentro do túnel, então o DNS original do aparelho não é usado. No Proxy Web, o servidor do proxy resolve os nomes para o navegador. O roteador faz isso para todos os aparelhos da casa e resolve os sites chineses pelo caminho local da China, para que abram direto. Nas nossas rotas, normalmente você não precisa mexer em nenhuma configuração de DNS.

• DNS envenenado: a resposta é falsa. O site não abre ou você vai parar em outro lugar. Acontece quando você não está numa rota, ou quando a resolução de nomes não passa por ela.
• Vazamento de DNS: a resposta é verdadeira, mas quem foi consultado foi a sua operadora local. A operadora fica sabendo para quais domínios você está indo, e um site de vídeo pode deduzir daí a sua localização real. Acontece quando a VPN está conectada, mas as consultas trafegam por fora do túnel.
• Causas comuns de vazamento: DNS seguro ligado no navegador ou no sistema; outra VPN ou ferramenta de rede mesh rodando ao mesmo tempo; o IPv6 do aparelho não passando pelo túnel.
• Quando você está fora da China assistindo a vídeos chineses, o sinal típico de vazamento é “conectado, o IP está certo e a mensagem de região continua aparecendo”. Os passos estão em Tencent Video ou iQIYI bloqueados fora da China.

1. IP de saída: depois de conectar, abra um site de consulta de IP, como ipinfo.io ou ip.sb. O endereço e o local devem ser os da saída que você escolheu, não os da sua internet de casa.
2. DNS: abra um teste de vazamento de DNS (dnsleaktest.com, ou a página de DNS do browserleaks.com). Ele lista os servidores que estão resolvendo nomes para você. Em modo global, sua operadora local não deve aparecer na lista.
3. IPv6: abra o test-ipv6.com. Se o IPv6 aparecer como indisponível, ou mostrar um endereço que não é o seu local, está tudo certo.
4. No modo de roteamento inteligente, leia o resultado de outro jeito: os sites chineses devem mesmo ser resolvidos dentro da China, então um servidor chinês na página de teste não é necessariamente vazamento. Para ter certeza, mude para o modo global e teste de novo.
5. Desconecte e rode tudo mais uma vez, depois compare. Se as duas rodadas derem igual, o tráfego não está passando pela rota; confira se o cliente está mesmo conectado.

Com o roteamento inteligente ligado, isso é normal — na verdade, é o roteamento fazendo o trabalho dele. Dentro da China com uma região do exterior escolhida, um site chinês de consulta de IP vai direto e vê o endereço da sua internet local, enquanto um site estrangeiro de consulta passa pela rota e vê o endereço de saída. Os dois estão certos: um responde “onde os sites chineses me veem”, o outro “onde os sites estrangeiros me veem”.

O mesmo vale para a entrada pela China: os sites chineses saem pela China e os sites estrangeiros chegam por uma linha no exterior, então um site estrangeiro de consulta mostra a ponta no exterior.

Um terceiro tipo de divergência vem dos bancos de dados. A qual país ou cidade um IP pertence depende do banco de geolocalização que cada site de consulta usa, e eles se atualizam em momentos diferentes. Um mesmo IP aparecer em cidades diferentes — até em países diferentes — em dois sites não é raro. O que vale para um site ou aplicativo é o banco de dados dele.

Para ver a saída quando tudo passa pela rota, mude o cliente para o modo global e olhe de novo. As direções do roteamento inteligente no roteador e como conferi-las estão em Como funciona o roteamento inteligente num roteador VPN.

A nota de limpeza de um IP, também chamada de reputação de IP ou fraud score, é uma classificação de risco que alguns sites de verificação dão a um endereço. Não existe um padrão comum; cada site tem a própria fórmula, e o mesmo endereço pode receber notas bem diferentes de um site para outro. Ela mede o quanto um site trata aquele endereço como um usuário doméstico comum. Não diz nada sobre se os seus dados estão protegidos. Quatro coisas pesam mais.

• Tipo de endereço: internet residencial, rede móvel ou data center.
• Se está marcado como proxy ou VPN: alguns bancos de dados coletam justamente esses endereços.
• Histórico: se o endereço já mandou spam, sobrecarregou alguma API ou foi denunciado.
• Quantas pessoas usam ao mesmo tempo: quando muita gente divide uma saída, o comportamento de todos fica registrado no mesmo endereço.

Saídas compartilhadas têm nota mais baixa por natureza. Muitos usuários dividem um endereço de saída, e se algum deles já acionou um controle de risco, o registro fica naquele endereço. Além disso, o endereço está numa faixa de data center, o que já tira pontos só pelo tipo. Isso vale para saídas de VPN e de proxy em geral.

Na prática, nota baixa significa mais CAPTCHAs, verificação extra em alguns sites e alguns serviços que recusam endereços de data center. Use o resultado como referência. Quando um site específico barrar você, reconecte por outra região: cada região tem endereços de saída diferentes, e cada uma tem várias máquinas por trás.

O roteador precisa ver qual nome o aparelho está consultando para decidir se aquele acesso vai pela rota ou direto. Um aparelho com DNS criptografado ligado (DoH ou DoT) pergunta a um servidor de terceiros pelo próprio canal criptografado, o roteador nunca vê a consulta, e o roteamento inteligente deixa de funcionar para aquele aparelho: o que devia ir pela rota não vai, ou os sites chineses dão a volta. Quando só um aparelho da casa se comporta mal, confira isso primeiro.

• Android: Configurações → Rede e internet → DNS particular, escolha “Desativado”. Os nomes do menu variam conforme a marca; buscar “DNS particular” nas configurações encontra a opção.
• Chrome: Configurações → Privacidade e segurança → Segurança → Usar DNS seguro, desligue. O Edge e o Firefox têm algo equivalente nas configurações de privacidade; no Firefox o nome é “DNS via HTTPS”.
• iPhone e Mac: não há um botão único no sistema. Se você instalou um app de DNS ou um perfil de DNS, desative-o em Ajustes → Geral → VPN e Gerenciamento de Dispositivo, e desligue a Retransmissão Privada do iCloud (iCloud Private Relay) se estiver ligada.
• Depois, reconecte esse aparelho ao Wi‑Fi e confira com o método da última seção do guia de roteamento inteligente do roteador.