Особенности резолвера DNS в Windows 10 и DNS Leak

TL;DR: DNS-резолвер в Windows 10 отправляет запросы на все известные системе адреса DNS-серверов параллельно, привязывая запрос к интерфейсу, и использует тот ответ, который пришел быстрее. В случае, если вы используете DNS-сервер из локального сегмента, такое поведение позволяет вашему провайдеру или злоумышленнику с Wi-Fi-точкой подменять записи DNS, даже если вы используете VPN.

Современные версии Windows добавляют головные боли активным пользователям VPN. DNS-резолвер до Windows 7 включительно имел предсказуемое поведение, совершая запросы к DNS-серверам в порядке очереди и приоритета DNS-серверов, в общем-то, как и все остальные ОС. Это создавало так называемый DNS Leak (утечка DNS-запроса через внешний интерфейс при подключенном VPN) только в том случае, если DNS-сервер внутри VPN-туннеля не ответил вовремя, или ответил ошибкой, и, в целом, не являлось такой уж вопиющей проблемой.

Windows 8
С выходом Windows 8, Microsoft добавила весьма интересную функцию в DNS-резолвер, которая, как я могу судить по Google, осталась совершенно незамеченной: Smart Multi-Homed Name Resolution. Если эта функция включена (а она включена по умолчанию), ОС отправляет запросы на все известные ей DNS-серверы на всех сетевых интерфейсах параллельно, привязывая запрос к интерфейсу. Сделано это было, вероятно, для того, чтобы уменьшить время ожидания ответа от предпочитаемого DNS-сервера в случае, если он по каким-то причинам не может ответить в отведенный ему таймаут (1 секунда по умолчанию), и сразу, по истечении таймаута, отдать ответ от следующего по приоритету сервера. Таким образом, в Windows 8 и 8.1 все ваши DNS-запросы «утекают» через интернет-интерфейс, позволяя вашему провайдеру или владельцу Wi-Fi-точки просматривать, на какие сайты вы заходите, при условии, что ваша таблица маршрутизации позволяет запросы к DNS-серверу через интернет-интерфейс. Чаще всего такая ситуация возникает, если использовать DNS-сервер внутри локального сегмента, такие DNS поднимают 99% домашних роутеров.

Данную функциональность можно отключить, добавив в ветку реестра:
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\DNSClient
Параметр типа DWORD с названием:
DisableSmartNameResolution
и любым значением, отличным от нуля, что возвращало старое поведение резолвера.

Windows 10
Хоть Windows 8 и 8.1 отправляли все ваши запросы без вашего ведома через публичный интерфейс, совершить подмену DNS-ответа таким образом, чтобы перенаправить вас на поддельный сайт, было проблематично для злоумышленника, т.к. ОС бы использовала подмененный ответ только в том случае, если не удалось получить правильный ответ от предпочитаемого DNS-сервера, коим является сервер внутри шифрованного туннеля.
Все изменилось с приходом Windows 10. Теперь ОС не только отправляет запрос через все интерфейсы, но и использует тот ответ, который быстрее пришел, что позволяет практически всегда вашему провайдеру перенаправить вас на заглушку о запрещенном сайте или злоумышленнику на поддельный сайт. Более того, способ отключения Smart Multi-Homed Name Resolution, который работал в Windows 8.1, не работает на новой версии.
Единственный приемлемый (хоть и не самый надежный) способ решения проблемы — установить DNS на интернет-интерфейсе вне локального сегмента, например, всем известные 8.8.8.8, однако, он не поможет в случае с OpenVPN. Для OpenVPN единственным (и некрасивым) решением является временное отключение DNS на интернет-интерфейсе скриптами.

UPD: ранее в статье рекомендовалось использовать параметр redirect-gateway без def1 для OpenVPN. Оказывается, Windows возвращает маршрут по умолчанию от DHCP-сервера при каждом обновлении IP-адреса, и через какое-то время весь ваш трафик начинал бы ходить в обход VPN. На данный момент, красивого решения не существует.

UPD2: Я написал плагин.

UPD3: Windows 10, начиная с Creators Update, теперь отправляет DNS-запросы на все известные адреса DNS-серверов по порядку, а не параллельно, начиная со случайного интерфейса. Чтобы повысить приоритет конкретного DNS, необходимо уменьшить метрику интерфейса. Сделал патч для OpenVPN, надеюсь, его включат в 2.4.2: https://sourceforge.net/p/openvpn/mailman/message/35822231/

UPD4: Обновление вошло в OpenVPN 2.4.2.

Источник (ValdikSS на Хабре)

Цитата:

кроме небольшого поднятия fps в играх (где-то +25 в

+25 это теперь небольшой поднятие? Сколько же стандартынй фпс в играх, за 300?

)

Мега_Саня писал(а):

Поставил десятку, юзаю вторую неделю, думаю опять семерку ставить.

Долго думаешь. Я уже на второй день десятку удалил после ее официального выхода, продолжаю пользоваться Минтом. Мне так сразу стало понятно, та еще штучка! И как оказалось, интуиция опять не подвела.

Какая то пустая проблема...
Раньше что ли они не могли подменять айпишник по днс запросу?
Раньше что ли они не видели кто куда ходит?
Чё это за туфта...

что такое VPN?
можно я десятку оставлю?

А что таит в себе Android?

Потихоньку начал читать про linux.
При таком раскладе со временем перейду на linux mint как основную и 7 как дополнительную.

В спасибо за подсказочку о "восьмерке".

Fedi4kin
Не надо читать про линукс, достаточно установить и убедиться, что всё неудобно, чего нужно нет, программы левак, на том железе где win xp летает минт и другие клоны тормозят. Не даром доля линукс 1,5%, интересно туда включены серверы, если да то реальных пользователей и того меньше.

Ну и пусть следят, боже все так плачутся за 10ку - "она сырая, она следит, то, это!!!" Зато фпс у всех то +25 то +50 то вообще игры в 2 раза лучше работают)). Только всё это пустые слова. Важно что на практике. У меня на практике: всё прекрасно работает, папки открываются быстрее чем на 7 и 8.1 сырости багов лагов нет, прироста фпс тоже нет и не должно быть - нету ещё игр с дх12 а иной прирост может быть если у вас в автозагрузке на старой системе десятки программ запускались а теперь их нет) Никакие следилки не отключал, кому мы нужны госпади, смешно просто параноики, но следят они и что они сделают? у меня нет счетов в банке, у меня вообще все пароли в lastpass лежат - их взломают и мои пароли утекут но мне как то по барабану. А важные циферки состоятельные люди вообще не должны хранить на пк. Состоятельные люди на трекерах не сидят) - зато параноики сидят на всех сайтах всех слоев и типов.

sailorxakep писал(а):

После всех этих статей и обзоров, возникает ощущение, что Windows 10 - это троян с интерактивной графической оболочкой. О нет

Поржал - верно подмечено :-)

Сижу на 7-ке только пару лет, а до этого на ХР. Пока все мудохались с семеркой, радовался

. Да и то перешел на нее только ради DX11. Ну зачем ставить новое да еще и унылое [ничто], если вы тем самым не раскрываете потенциал или новые фичи жизненно необходимы?

TRJ_VoRoN
+100500 к адекватности в карму
P.S. но всё ровно обидно что следит, либо переписывайте конституцию, делов то, либо не следите.... А так возмущение оправдано.

Жуть, такое впечатление, что такие статьи пишутся под заказ. Большая часть пользователей так и не поняло о чем статья, зато какой шквал эмоций. Я кучу "классных семерок" видел в которых стоит офигенный софт (ставили вместе с яндексамигосупербраузер) который и DNS подменяет и какой только ерунды не творит.

А про слежку, что же, я промолчу, наверное люди не в курсе, ч то ваш телефон знает где вы живете, где работаете и как добираетесь домой (и это не шутка), а данные все хранятся в облаке. И да, это происходит не первый год.

Просто не заказывали компанию по тотальной слежке за Гуглом. Никто не вспомнит как убунту напрочь вешала компы, как в дебиане (в новых релизах) были критические ошибки безопасности, которые экстренно латались, а после обновление ядра на Генту сервак падал, т.к. оно вышло кривое и все ждали исправлений.

В общем, забавно смотреть как дяди вселяют в разум людей ту мысль, которая им удобно. Я не говорю, что Windows 10 хорошо или плоха, я говорю, что любой софт кривой и глючный, не бывает идеальных ОС. Нужно понимать это и не покупаться на любые пиарновсти в интернете.

...И все-таки не приятно себя чувствовать в Доме 2...

Paha84 писал(а):

...И все-таки не приятно себя чувствовать в Доме 2...

Для этого вам нужно избавится от телефонов, интернета и ПК как токового. еще раз повторюсь, фактически за вами много кто следит и читает. Тот же скайп и всеми давно забытый ICQ работают через сервера, а не напрямую. Все что вы пишите или отсылаете может быть использовано.

Вспомните как вы оплачиваете приложение в Плэймаркете и подумайте какая информация есть у Googla, а Майкрософт только сейчас решила немного о вас узнать в личных комерческих целях.