Всё зависит от настроек VPN.

В инете полно статей по настройке OpenVPN+DNSCrypt, отсюда и непонятно если вообще смысл. OpenVPN не обеспечивает защиту от утечек DNS?

Клиент OpenVPN может использовать DNS провайдера (или другие, заданные в системе).

А если я использую готовый VPN (купленный, OpenVPN) - как понять, есть ли утечка DNS, и нужно ли мне на моем копме настраивать DNSCrypt? В роутере прописан Google DNS, это все что я знаю про свой DNS.

Открой https://dnsleaktest.com.

Везде показывает VPN-сервер страны, из которой подключен. Что на основной машине, что в виртуалках за NATом. Выходит, купленный VPN правильно настроен?

Какой страны?

Страны, в которой находится VPN-сервер, короче далеко от меня. Реальный IP не палит. :)

Ubuntu? Там из коробки dnsmasq, кеширующий dns, через него утечка может быть, у разрезолвеных имен есть TTL, ~5 минут в среднем, т.е. ты открыл google.com, потом решил включить vpn из страны X, но пять минут будут использоваться старый резолвинг, открываешь google.com, тебе dnsmasq вернет старый ip, т.е. российского сервера гугла.

Проверить такую утечку думаю можно так:
1. Открыть https://dnsleaktest.com, закрыть.
2. Включить dns.
3. Открыть опять https://dnsleaktest.com.

Да Ubuntu, обычно я сначала включаю VPN, прежде чем серфить.

ip route get адрес (8.8.8.8 или что там у тебя)
если машина на твой днс ходит не с tun интерфейса, то твой провайдер вполне себе может смотреть куда ты ходишь

Выполнил ip route get 8.8.8.8, получил такое.

8.8.8.8 via 10.*.*.* dev tap0 src 10.*.*.*
cache

Звездочками закрасил спецом, ибо не знаю насколько это персональная инфа или нет. :)

1я и 2я «десятки» отличаются только последними 2мя цифрами.

для человека что ip трафик, что dns трафик одна фигня. никто не посоветовал вкурить все с начала.

через тоннель ходит
можешь не заморачиваться с dnscrypt
моё предположение следующее:
мало кто гоняет весь трафик через vpn, только определённые направления. dns туда по умолчанию не входит поскольку dnsleak работает и в обратную сторону.

Ubuntu? Там из коробки dnsmasq, кеширующий dns, через него утечка может быть, у разрезолвеных имен есть TTL, ~5 минут в среднем, т.е. ты открыл google.com, потом решил включить vpn из страны X, но пять минут будут использоваться старый резолвинг, открываешь google.com, тебе dnsmasq вернет старый ip, т.е. российского сервера гугла.

его помимо всего спалят разные часовые зоны, кеш браузера и сотня техник фингерпринтинга
наличие src ip, принадлежащего vpn сервису лишь даст повод повнимательнее к нему приглядеться

Против фингерпринта есть немало аддонов, выставляющих каждый раз десятки рандомных параметров. Так что палить становится все сложнее. Кеш тоже не проблема, в режиме инкогнито он вроде как чистится автоматом? А если заранее проставить в системе левые часовые пояса, то определить хоть какие-нибудь реальные параметры системы становится очень сложно, если вообще возможно. Вот с DNS было не все понятно, теперь кое-что прояснилось.

Против фингерпринта есть немало аддонов, выставляющих каждый раз десятки рандомных параметров. Так что палить становится все сложнее. Кеш тоже не проблема, в режиме инкогнито он вроде как чистится автоматом? А если заранее проставить в системе левые часовые пояса, то определить хоть какие-нибудь реальные параметры системы становится очень сложно

как насчёт canvas фингерпринтинга, определения модели твоей видяхи через webgl, и получения списка шрифтов? а то, что твою систему палит твой же tcp стек ты знал? а про определение vpn-а двойным пингом подумал? я уже не говорю о том, что подмена/скрытие этих данных приводит к ещё большему засвету, так как на 10000 домохозяек, гламурных кис и чотких пацанов только ты заморочился

Неужели каждый сайт будет заморачиваться, чтобы палить видюху или список шрифтов? Или палить VPN? Я даже не представляю что за сайт может так заморачиваться и заниматься подобным. Netflix может палить VPN, и то не всякий, но некоторые палит и не пускает на сайт. Даже не знаю что и думать.

я к тому, что способов отследить тебя - огромное количество
сайт А может использовать техники 1, 2, 15, 18 и 22
сайт Б использует 1, 2, 3, 8, 11
всё разом ты всё равно не перекроешь, а попытками потеряться привлечёшь куда больше внимания. сейчас всё больше контента хранится на всевозможных CDN-ах - точках пересечения, при заходе на любой ресурс тут же выполняется тьма кроссайтовых запросов. зайди в любой интернетмагазин и глянь в инспекторе своего излюбленного браузера: там же будут элементы от вконтакта, фейсбука, нескольких рекламных сетей и ещё какой-то нёх.
учитывая, что каждый уникальный пользователь ценится, а информация обменивается и продаётся - сейчас сёрфить = пройти комнату с тысячами переплетённых нитей, к каждой из которых приделан колокольчик. задел одну - засветился для всех
так что особо на впн, порно режим в браузере и чудо-аддон «друг анонимуса» не рассчитывай

Netflix может палить VPN, и то не всякий, но некоторые палит и не пускает на сайт. Даже не знаю что и думать.

По спискам ip публичных vpn сервисов, по размеру mss, который устанавливается в момент tcp хендшейка, он меньше стандартного 1460 на оверхед vpn.

сайт А может использовать техники 1, 2, 15, 18 и 22

сайт Б использует 1, 2, 3, 8, 11

А можно ли составить черный список таких сайтов? Мне кажется популярных сайтов не так много, среди них наверняка есть те, которые дорожат репутацией, и те которым все пофиг. Можно было бы составить список сайтов, которые занимаются фингерпринтом. Или такой список уже где-то есть?

а попытками потеряться привлечёшь куда больше внимания.

Мне кажется зависит от того, что именно маскировать/подменять. Какие-то вещи очень даже полезно исказить.

Кстати, а что там в новых версиях Firefox по поводу изоляции вкладок? Они же грозились что сделали полную изоляцию, вплоть до того что в каждой вкладке по аккаунту на фейсбуке можно, и фейсбук не поймет.

VPN шифрует трафик ровно до точки терминирования VPN.

DNSCrypt шифрует трафик до DNS-сервера.

Т.е. между выходом из VPN и DNS-сервером будет не зашифрован. DNSCrypt решает эту проблему.

Кроме того, DNS-трафик может банально не маршрутизироваться через VPN.

И что же ты называешь DNS-трафиком?

Спасибо, доходчиво объяснил!

А можно ли составить черный список таких сайтов? Мне кажется популярных сайтов не так много, среди них наверняка есть те, которые дорожат репутацией, и те которым все пофиг. Можно было бы составить список сайтов, которые занимаются фингерпринтом.

разрешаю, составляй

Кстати, а что там в новых версиях Firefox по поводу изоляции вкладок? Они же грозились что сделали полную изоляцию

сандбокс скопипащен из хромиума, так что дела там обстоят так же

вплоть до того что в каждой вкладке по аккаунту на фейсбуке можно, и фейсбук не поймет.

https://testpilot.firefox.com/experiments/containers/
вот что ты описываешь
https://addons.mozilla.org/en-US/firefox/addon/multi-account-containers/
закончилось это официальным дополнением

Задам один вопрос - у тебя VPN поддерживает IPv6 или нет?

Если нет, то выбрось подобный сервис.
Сам столкнулся с таким, и теперь использую лишь DNSCrypt с IPv6 серверами.

Проблема решена позитивно.

Кроме того, DNS-трафик может банально не маршрутизироваться через VPN.

This!
Более того, в моём случае использования одноразовых VPN,
мне нужно - DNS server, что сам прописал в конфигурации сети и VPN не должен никак касаться и интересоваться DNS.

Задам один вопрос - у тебя VPN поддерживает IPv6 или нет?

Спросил сапорт, нет не поддерживают. Чем это плохо?

ЯННП, что ты имеешь ввиду под «одноразовый VPN». Поднял в амазоне, посерфил, грохнул?

Безопасность, как и беременность - суть персональное.
Или есть или нет. Третьего не дано.

Без поддержки IPv6 - сегодня можешь отключить комп.

Да, ход твоей мысли верен.

Безопасность, как и беременность - суть персональное.

Или есть или нет. Третьего не дано.

Фиговая аналогия.

Без поддержки IPv6 - сегодня можешь отключить комп.

Шта?

Да, ход твоей мысли верен.

Ну, так тоже можно, но зачем? Хотя, оставив вопрос «зачем» можно просто создать образ в преднастроенным DNS и маршрутизацией. И поднимать/отключать по желанию.

Столкнулся с тем, зачем нужен IPv6 - посетив один сайт с IPv4 DNS.
Ты просто с этим не сталкивался, и продолжаешь заблуждаться в своих оценках.

Достаточно в поиске нажать где я? http://www.openstreetmap.org/

Без поддержки IPv6 - сегодня можешь отключить комп.

Я ничего не понял. Почему мой купленный VPN плохой, если у него нет IPv6? Чем это мне грозит, и почему надо отключать комп?

просто блиц поехал

Дано:
i. У тебя VPN server и DNSCrypt с поддержкой только IPv4.
ii. Открываешь сайт, который для загрузки медиа/картинок/видео, использует сам сервера IPv6.

Итог:
i. Резолвер сети на компе не может обратиться к серверам DNS IPv4 и перейдёт на DNS сервера твоего ISP.
ii. Что ещё пакостней - при этом, резолвер сети не вернётся обратно на использование DNSCrypt.

Выводы:
Заметив такое, спросил помощи на LOR, на форуме Security.
Вопрос решили.

Чот какой-то экзотичный сценарий, хотя и такое могло произойти.

Правда, как ты из одного случая с одним сайтом сделал вывод, что без IPv6 можно комп не включать - мне не понятно.

Я вам не скажу за всю Одессу.
Если это используется на одном сайте - значит, используется и на других

Опровергни ход моего логического рассуждения своей логикой, пративный ))

Если это используется на одном сайте - значит, используется и на других

А рост третьекласника к окончанию школы будет... Сколько там метров?

Аккуратнее надо с экстраполяцией. Данные там собрать. Хоть сколько нибудь.

Ты понимаешь, что Блиц не может отвечать за содержание сайтов, которые посещает он, ты и все.
Могу лишь сказать, как обезопасить себя от неожиданных сюрпризов на своей стороне.
Умному - достаточно.

И что теперь делать? Купить VPN с поддержкой IPv6? А потом ставить DNSCrypt и там тоже настроить IPv6? Тогда проблема решится?

Могу лишь сказать, как обезопасить себя от неожиданных сюрпризов на своей стороне.

Читал ту тему про dnscrypt. Еще лучше отключить все network-manager и вручную записать /etc/resolv.conf потому что нельзя гарантировать, что все о чем ты говорил вычищено. Вдобавок есть обновления.

Еще лучше отключить все network-manager

Никаких сторонних менеджеров.
Идея, что Internet Service Provider организует DNS - это из далёкого прошлого.

И что теперь делать? Купить VPN с поддержкой IPv6? А потом ставить DNSCrypt и там тоже настроить IPv6? Тогда проблема решится?

Дай мне твои уши.
Когда оказался в той же ситуации, как и ты - задал вопрос на форуме.
Получив советы, попробовал - и получилось!
«Делай с нами, делай как мы, делай лучше!»

А потом ставить DNSCrypt и там тоже настроить IPv6?

Сначала поставить DNSCrypt и там тоже настроить IPv6.

При чем тут сторонние, я о том, что службу network-manager вообще можно отключить и вручную (своим скриптом) поднять и сетевые интерфейсы и dns прописать. Тогда точно никаких неожиданных переключений не будет.

я о том, что службу network-manager вообще можно отключить и вручную (своим скриптом) поднять и сетевые интерфейсы и dns прописать

Я же о том, что поднимаю одноразовый скоростной сервер VPN только с коммандной строкой и доступом по SSH.
Нетворк-менеджеры - ни разу там не будет. Не нужно.

Ниразу не годно в дискуссии - тыкать своим пальцем, побывавшим в ноздре и почерпнувши там passive-aggressive стиля поведения, указывать своим оппонентам в качестве доводов:

Аккуратнее надо с экстраполяцией. Данные там собрать. Хоть сколько нибудь.

На сегодня, известно из объективной проверки, что более 400 сайтов из over 100.000 листинга популярных сайтов Aleksa занимались/занимаются сбором данных - https://thehackernews.com/2017/11/website-keylogging.html - eсли это знают, даже хакери-домохозяйки...

И в это время, если вы читаете этот мессидж на Firefox Nightly => 58, знайте и обратите внимание на, что в коде есть необратимые изменения, а именно - появился например DeepLink, которая связывает ваш аккаунт Firefox Sync с LeanPlum тракером.

Пользователям браузера этот факт никак не донесли, пока.

...
561  class PrivateDataPreference extends MultiPrefMultiChoicePreference {        
562 @@ -59,6 +57,5 @@                                                            
563                                                                              
564          // clear private data in gecko                                      
565          EventDispatcher.getInstance().dispatch("Sanitize:ClearData", data); 
566 -        MmaDelegate.track(CLEARED_PRIVATE_DATA);                            
567      }                                                                       
568  }                                                                           
569                                                                              
570 --- a/mobile/android/base/java/org/mozilla/gecko/tabs/TabsPanel.java         
571 +++ b/mobile/android/base/java/org/mozilla/gecko/tabs/TabsPanel.java         
572 @@ -16,7 +16,6 @@                                                            
573  import org.mozilla.gecko.animation.ViewHelper;                              
574  import org.mozilla.gecko.lwt.LightweightTheme;                              
575  import org.mozilla.gecko.lwt.LightweightThemeDrawable;                      
576 -import org.mozilla.gecko.mma.MmaDelegate;                                   
577  import org.mozilla.gecko.preferences.GeckoPreferences;                      
578  import org.mozilla.gecko.restrictions.Restrictable;                         
579  import org.mozilla.gecko.restrictions.Restrictions;                         
...

не ограничилось дополнением

'Продвинутым пользователям: Измените значение privacy.userContext.ui.enabled на true в about:config, чтобы увидеть Контейнеры в меню.