Co to jest wyciek DNS i dlaczego się zdarza
Gdy wpisujesz adres strony, system pyta serwer DNS, „jaki to IP?”. Z VPN cały ruch powinien iść tunelem, także zapytania DNS. Wyciek DNS pojawia się, gdy zapytania wylatują poza tunel (np. do DNS operatora). Powody: błędne ustawienia systemu/przeglądarki, WebRTC w przeglądarce, IPv6 poza tunelem, split tunneling, polityki firmowe lub captive portal w hotelu/na lotnisku.
Podstawy: Co to jest VPN • Prywatność: no-logs • Bezpieczeństwo: kill switch, split tunneling.
Szybki test wycieków DNS/WebRTC/IPv6
- Połącz VPN (najlepiej WireGuard) z wybranym krajem.
- Otwórz stronę testową (dowolne narzędzia do sprawdzenia IP/DNS/WebRTC/IPv6).
- Sprawdź:
- IP publiczne — powinno być z kraju serwera VPN.
- Serwery DNS — powinny należeć do dostawcy VPN (nie do ISP/domowego routera).
- WebRTC — nie powinno ujawniać lokalnego/realnego IP.
- IPv6 — jeśli włączone, też ma iść tunelem.
- Jeśli widzisz DNS operatora/realne IP — przejdź do napraw poniżej.
Jak rzetelnie testować łącze, ping i jitter: Test VPN, Prędkość VPN.
Natychmiastowe naprawy (skrót)
- Wymuś DNS dostawcy VPN w aplikacji/tunelu (opcja „Use VPN DNS”/„Override DNS”).
- Wyłącz własne DoH/DoT w przeglądarce/systemie, jeśli omija tunel (np. Firefox/Chrome „Zawsze HTTPS/DNS przez HTTPS”).
- WebRTC: włącz „Zabezpieczenia/Blokuj udostępnianie IP lokalnego” lub użyj rozszerzenia ochronnego.
- IPv6: jeśli dostawca nie tuneluje IPv6, tymczasowo wyłącz IPv6 w systemie/routerze.
- Kill switch: włącz pełną blokadę ruchu poza VPN (także przy ponownym łączeniu).
- Split tunneling: upewnij się, że przeglądarka/wybrana apka nie jest wyłączona z VPN.
Ustawienia w systemach: Windows, macOS, Android, iOS, Linux
Windows
- W aplikacji VPN zaznacz „Używaj DNS dostawcy” + kill switch.
- W Windows → Ustawienia sieci → właściwości karty → DNS na „Automatyczny przez VPN”; usuń ręczne DNS (np. 8.8.8.8) ustawione kiedyś.
- Przeglądarki: wyłącz DoH/„Zawsze HTTPS” i włącz ochronę WebRTC.
macOS
- W apce VPN włącz DNS dostawcy + kill switch.
- Preferencje Sieci → interfejs VPN na górze priorytetów; usuń niestandardowe DNS z Wi-Fi/Ethernet.
- Przeglądarki: jak wyżej (DoH/WebRTC).
Android
- W apce VPN: Always-on + Blokuj połączenia bez VPN + DNS dostawcy.
- Ustawienia → Sieć → Prywatny DNS: wyłącz własne DoT (lub ustaw host dostawcy, jeśli wspiera).
- Jeśli problemy z rozłączaniem — zobacz VPN na Androidzie.
iOS/iPadOS
- W apce VPN: wymuś DNS dostawcy; używaj protokołu IKEv2/WireGuard w zależności od aplikacji.
- Sprawdź profile „VPN/MDM”, które mogły dodać własny DNS.
Linux
- NetworkManager/systemd-resolved: ustaw dns=systemd-resolved i sprawdź, czy interfejs tunelu dodaje DNS dostawcy.
- OpenVPN/WireGuard: w plikach konfigów dopisz push/Peer DNS (np.
DNS = x.x.x.xlub skryptup). - Więcej: VPN na Linuxie.
Router i sieć domowa: DNS, IPv6, QoS
- Router z VPN: klient WireGuard/OpenVPN + policy-based routing (przeglądarka/TV → przez VPN).
- DNS: ustaw DNS dostawcy na interfejsie tunelu; wyłącz „DNS rebind protection” blokujący odpowiedzi z tunelu (jeśli to problem).
- IPv6: jeśli nie tunelujesz IPv6, wyłącz je na routerze do czasu pełnej obsługi w VPN.
- Captive portal (hotel/lotnisko): najpierw zaloguj się bez VPN, potem włącz VPN i odśwież lease DNS.
Szerzej o urządzeniach TV i konsolach: Smart TV, Apple TV, PS5/Xbox.
VOD i geoblokady: biblioteki, Smart DNS i cookies
W VOD liczy się reputacja puli IP i spójność DNS. Jeśli Player/TVP/Netflix rozpoznaje VPN:
- Zmień węzeł w tym samym kraju (inna pula IP).
- Wyczyść cookies/aplikację i odśwież DNS (restart aplikacji/TV).
- Rozważ Smart DNS do samych serwisów VOD (bez pełnego tunelu). Przewodniki: Player i TVP, TVP VOD, Netflix PL.
Checklista „zero wycieków”
- W apce VPN włącz: DNS dostawcy, kill switch, auto-connect.
- Wyłącz własne DoH/DoT, które omijają tunel (przeglądarka/system).
- Zablokuj WebRTC i upewnij się, że IPv6 też jest tunelowane (lub tymczasowo wyłączone).
- Nie wyłączaj z VPN przeglądarki w split tunnelingu.
- Przetestuj na 2–3 węzłach i powtórz test po zmianach.
TOP 5 VPN w Polsce (2025)
FAQ — wycieki DNS i VPN
Czy DoH/DoT zawsze pogarsza sprawę?
Nie — ale jeśli DoH/DoT w przeglądarce idzie poza tunel, powoduje niespójność i wyciek. Najlepiej używać DNS dostawcy VPN lub DoH/DoT skonfigurowanego wewnątrz tunelu.
Czy muszę wyłączyć IPv6?
Tylko jeśli dostawca nie tuneluje IPv6. Jeśli wspiera — zostaw włączone. Tymczasowe wyłączenie pomaga w diagnostyce.
WebRTC przecieka mimo VPN — co zrobić?
Włącz blokadę udostępniania lokalnego IP w przeglądarce, użyj rozszerzenia, a w apce VPN włącz funkcje anty-WebRTC, jeśli są dostępne.
