DNSリーク・WebRTCリーク確認法：6段階診断と原因別解決

DNSクエリには何がありますか？

DNSクエリにはドメイン名が含まれています。ページの内容や入力した値は含まれません。 DNSとは、人間が読んでいるドメイン名をコンピュータが書き込むIPアドレスに置き換えるインターネットのアドレス帳方式です。ブラウザにアドレスを入力するか、アプリがサーバーに接続するたびに、デバイスはまずDNSサーバーに「この名前のアドレスは何ですか」と尋ねます。だから、クエリの記録だけを見ても、いつどのサービスにアクセスしようとしたのか、かなりの部分がわかります。

従来のDNSクエリは、暗号化されていないUDP 53番ポートに行きます。これを補うためにクエリをHTTPSで包むDoH（RFC 8484）とTLSで包むDoT（RFC 7858）が作られました。ただし、暗号化DNSを使用してもサイトにHTTPSで接続するときに送信するサーバー名（SNI）は、サイトとブラウザが暗号化されたClient Hello（ECH）をサポートしていない場合はネットワークに表示されます。

セキュアDNS（DoH）とVPNは目的が異なります。 DoHはDNSクエリのみ暗号化し、サイト接続自体とサイトが見るIPはそのままです。 VPNは、デバイスまたはブラウザとVPNサーバー間の通信全体を暗号化し、サイトに表示されるIPを置き換えます。シークレットモードも漏れを防ぎません。シークレットモードは、デバイスに訪問履歴とCookieを残さない機能であり、DNSクエリやWebRTCのパスを変更しません。

WebRTCはどのようにIPアドレスを調べますか？

WebRTCは、2つのデバイスを最短パスにするために、自分のアドレスをさまざまな方法で見つけ、その結果をWebページのスクリプトに渡します。 WebRTCは、ブラウザでプラグインなしでビデオ通話、音声通話、ファイル転送を可能にするWeb標準技術です。アドレスを収集する手順をICE（RFC 8445）と呼びます。ビデオハングアウトを行わないページでも、スクリプトでこの手順を開始できます。

問題は3段階のSTUNクエリです。ブラウザプロキシはWeb要求を転送しますが、ブラウザのデフォルト設定では、WebRTCのUDP通信はプロキシを通過しません。したがって、STUNサーバーが通知するアドレスはプロキシサーバーではなく、私の元の認定IPです。デバイス全体のVPNでは問題が異なります。 STUN要求を含むすべてのUDP通信がトンネルに行くため、STUNサーバーに表示されるアドレスもVPNサーバーのIPです。

Chromeには、WebRTCがどのアドレスを書き込むかを決定する「WebRTC IP処理ポリシー」があり、拡張機能はこの値を変更できます。各値は、IETFのWebRTC IPアドレス処理勧告（RFC 8828）にまとめられている4つの方法に対応します。

解決策：原因別に確認して修復する方法

漏れの原因はほとんど8つのうちの1つです。通常は設定が重なって発生します。診断テーブルでわらは原因番号から確認し、1つを修正するたびに上の図の手順6をもう一度回して結果が変わったかどうかを確認します。一度に複数の設定を変更すると、何が効果があったのかわかりません。

StageVPNアプリとStageVPN for Chromeはリークをどのように防ぐのですか？

StageVPN アプリはすべての通信をトンネルに送信する方法で、StageVPN for Chrome は名前のルックアップをプロキシに委ね、WebRTC ポリシーを調整する方法でリークを軽減します。保護範囲が異なるため、処理方法も異なります。

StageVPNは、個別のDNS漏れ防止設定メニューを提供機能に導きません。上記の動作は、アプリのデフォルトのVPN設定と拡張の接続方法によるものです。提供範囲は 機能と提供範囲で確認できます。

漏れがないということは、クエリと通信が通信会社の代わりにVPNパスを通過することを意味します。どんな記録も残らないという意味ではありません。 StageVPNは通信秘密保護法に従って接続記録を93日保存し、通信内容は記録しません。アイテムは 接続記録保管通知に、公開する理由は アクセス履歴保持ポリシーを公開する理由で説明しました。

再チェックチェックリスト：修正後、何を再確認しますか？

原因を修正するたびに、以下の項目を最初からやり直してください。全て通過すると漏れがない状態です。 1つの項目が失敗した場合は、対応する原因カードに戻ります。

• VPNの接続を切断して再接続した後、アプリの接続完了マークまたは拡張アイコンのON表示を確認しました。
• [IP確認]ページに、IPv4とIPv6の両方がVPNサーバーアドレスを示しているか、IPv6は表示されません。
• DNSテストでは、キャリアまたはルーターのDNSサーバーが表示されません。
• chrome://webrtc-internals の srflx 候補に元の認定 IP がありません。
• 他のVPNアプリ、プロキシ・VPN拡張、セキュリティプログラムのネットワーク機能がオフになっています。
• デバイスとブラウザに手動DNSまたはセキュアDNSを指定した場合は、意図した設定であることを確認しました。
• オペレーティングシステム、ブラウザ、StageVPNアプリ、および拡張機能が最新バージョンです。
• Wi-Fiとモバイルデータを交換し、ブラウザを再起動した後も同じ結果です。
• Chrome以外のプログラムまで保護する必要がある場合は、拡張ではなくデバイス全体のVPNを使用しています。

再点検が必要な時点も決めておくと良いでしょう。オペレーティングシステムやブラウザの大規模なアップデートの後、新しい拡張プログラムやセキュリティアプリをインストールした後、初めて接続するネットワークで機密な作業をする前がその時点です。設定はそのままですが、結果が変わった場合は通常、これら3つのうちの1つが原因です。診断手順6は、慣れてから数分で終了します。

問題が続く場合は、デバイスモデル、オペレーティングシステムとアプリのバージョン、発生時刻、テスト結果をまとめてください。 カスタマーサポートにお問い合わせください。パスワードや認証コードは送信しないでください。漏れ確認で確認する機器の設定は、 スマートフォンのプライバシー設定10種類に、VPNだけで解決できないリスクは VPNがブロックするものとブロックできないものに、公共ネットワークでの習慣は 公衆無線LANの安全規則にまとめました。