پیش از آنکه گوشی شما بتواند وب‌سایتی را باز کند یا اپی به سرورش وصل شود، باید یک پرسش ساده بپرسد: «نشانی IP این نام چیست؟» این پرسش به سامانهٔ نام دامنه یا DNS فرستاده می‌شود. این کار در هر دقیقه بارها و تقریباً بی‌آنکه دیده شود انجام می‌شود و دربارهٔ کارهایی که آنلاین انجام می‌دهید چیزهای زیادی می‌گوید.

این راهنما توضیح می‌دهد DNS چه چیزهایی را آشکار می‌کند، چطور برای محدود کردن دسترسی به کار می‌رود، DNS رمزگذاری‌شده (DoH و DoT) چه تغییری ایجاد می‌کند، چطور با VPN کار می‌کند، و «نشت DNS» چیست و چطور آن را بررسی کنیم.

DNS چیست و چه چیزی را آشکار می‌کند

DNS را مثل دفترچهٔ تلفن اینترنت در نظر بگیرید. شما نامی مثل example.com را وارد می‌کنید؛ یک حل‌کنندهٔ DNS، که معمولاً ارائه‌دهندهٔ اینترنت یا اپراتور تلفن همراه شما آن را اداره می‌کند، شماره (نشانی IP) را پیدا می‌کند و برمی‌گرداند. سپس دستگاه شما به آن نشانی وصل می‌شود.

DNS سنتی ده‌ها سال پیش طراحی شده و این پرسش‌ها را بدون رمزگذاری می‌فرستد. یعنی هر کسی در مسیر، از جمله گردانندهٔ شبکهٔ وای‌فای و ارائه‌دهندهٔ اینترنت شما، می‌تواند ببیند:

  • کدام نام‌های دامنه را جست‌وجو می‌کنید و چه زمانی.
  • کدام اپ‌ها فعال‌اند، چون بسیاری از اپ‌ها در پس‌زمینه با سرورهای خود تماس می‌گیرند.
  • الگوهای رفتاری در طول زمان، مثلاً کی بیدار می‌شوید یا هر روز از کدام سرویس‌ها استفاده می‌کنید.

HTTPS محتوای صفحه را رمزگذاری می‌کند، اما این جست‌وجو را نه. پس حتی با نماد قفل در مرورگر، DNS معمولی می‌تواند نام سایت‌هایی را که باز می‌کنید آشکار کند.

محدودیت در سطح DNS چطور کار می‌کند

چون تقریباً هر اتصالی با یک جست‌وجوی DNS آغاز می‌شود، DNS جای ساده‌ای برای محدود کردن دسترسی است. حل‌کننده می‌تواند نشانی اشتباه، خطا یا هیچ پاسخی برنگرداند و اپ به‌سادگی نمی‌تواند وصل شود.

نمونه‌ای تازه: رویترز در ۱۲ فوریهٔ ۲۰۲۶ گزارش داد که برخی نام‌های دامنهٔ مرتبط با واتس‌اپ از ثبت ملی نام‌های دامنهٔ روسیه ناپدید شدند و دستگاه‌های داخل روسیه دیگر نشانی‌های IP این اپ را دریافت نمی‌کردند. بدون نشانی، اپ نمی‌توانست به سرورهایش برسد.

DNS فقط یکی از چند لایه‌ای است که برای محدودیت به کار می‌رود. شبکه‌ها می‌توانند بر اساس نشانی IP هم پالایش کنند یا ترافیک را بازرسی کنند، پس تغییر تنظیمات DNS به‌تنهایی اغلب تفاوت چندانی ایجاد نمی‌کند. این مقاله سازوکار فناوری را توضیح می‌دهد؛ پیش از تغییر شیوهٔ اتصال، قوانین محلی خود را بررسی کنید.

DNS رمزگذاری‌شده: DoH و DoT

دو استاندارد پرسش و پاسخ DNS را میان دستگاه شما و حل‌کننده رمزگذاری می‌کنند.

DNS over TLS (DoT)

RFC 7858 که IETF در مهٔ ۲۰۱۶ منتشر کرد، DNS روی TLS را تعریف می‌کند. این روش DNS را در همان رمزگذاری TLS که HTTPS به کار می‌برد می‌پیچد، روی درگاهی اختصاصی به شمارهٔ 853. چون درگاه جداگانه است، شبکه می‌تواند بفهمد از DNS رمزگذاری‌شده استفاده می‌کنید، هرچند نمی‌تواند جست‌وجوها را بخواند.

DNS over HTTPS (DoH)

RFC 8484 که در اکتبر ۲۰۱۸ منتشر شد، فرستادن پرسش‌ها و پاسخ‌های DNS از راه HTTPS را مشخص می‌کند؛ هر جفت پرسش و پاسخ به‌صورت یک تبادل معمولی HTTP انجام می‌شود. از دید شبکه، DoH بسیار شبیه ترافیک معمولی وب است.

رمزگذاری چه چیزی را تغییر می‌دهد و چه چیزی را نه

  • جست‌وجوهای شما را از شبکهٔ وای‌فای و دیگران در مسیر پنهان می‌کند.
  • حل‌کننده همچنان آن‌ها را می‌بیند. شما اعتماد را از حل‌کنندهٔ ارائه‌دهندهٔ اینترنت به حل‌کننده‌ای که خودتان انتخاب می‌کنید منتقل می‌کنید؛ پس سرویسی را برگزینید که سیاست حریم خصوصی‌اش برایتان قابل‌قبول است.
  • اتصال پس از جست‌وجو همچنان دیده می‌شود. دستگاه شما همچنان به نشانی IP سایت وصل می‌شود و همین می‌تواند چیزهای زیادی را آشکار کند.

DNS رمزگذاری‌شده روی دستگاه‌های شما

اندروید. گوگل در ۱۷ آوریل ۲۰۱۸ پشتیبانی از DNS روی TLS را با نام DNS خصوصی (Private DNS) برای Android P (اندروید ۹) اعلام کرد. این گزینه را در تنظیمات شبکه، معمولاً زیر «DNS خصوصی» پیدا می‌کنید؛ می‌توانید آن را روی حالت خودکار بگذارید، خاموشش کنید یا نام میزبان یک ارائه‌دهنده را وارد کنید. نام منوها در گوشی‌های سازندگان مختلف کمی فرق دارد.

کروم. طبق راهنمای Google Chrome، تنظیم «استفاده از DNS امن» در کروم به‌طور پیش‌فرض در حالت خودکار روشن است. اگر کروم در این حالت در پیدا کردن سایتی مشکل داشته باشد، به جست‌وجوی رمزگذاری‌نشده برمی‌گردد. اگر ارائه‌دهندهٔ سفارشی انتخاب کنید، کروم به حالت رمزگذاری‌نشده برنمی‌گردد. این قابلیت روی دستگاه‌های مدیریت‌شده یا وقتی کنترل والدین روشن است در دسترس نیست.

نکتهٔ مهم: تنظیمات مرورگر فقط از همان مرورگر محافظت می‌کند، اما تنظیمات سیستمی مثل DNS خصوصی بخش بیشتری از دستگاه را پوشش می‌دهد.

DNS چطور با VPN کار می‌کند و نشت DNS چیست

وقتی VPN وصل است، دستگاه شما باید جست‌وجوهای DNS را از داخل تونل رمزگذاری‌شده به حل‌کننده‌ای که VPN تعیین کرده بفرستد، نه به حل‌کنندهٔ شبکهٔ محلی. در این صورت ارائه‌دهندهٔ اینترنت فقط می‌بیند که به یک سرور VPN وصل هستید.

نشت DNS وقتی رخ می‌دهد که برخی جست‌وجوها با وجود VPN از تونل بیرون بزنند و به حل‌کنندهٔ ارائه‌دهندهٔ اینترنت بروند. VPN همچنان ترافیک شما را حمل می‌کند، اما فهرست سایت‌هایی که باز می‌کنید آشکار می‌شود. علت‌های رایج:

  • دستگاه یا اپی که برای استفاده از یک سرور DNS مشخص تنظیم شده و VPN را نادیده می‌گیرد.
  • لحظه‌های کوتاهی که تونل دوباره وصل می‌شود، مثلاً هنگام رفتن از وای‌فای به دادهٔ همراه، اگر در این فاصله چیزی جلوی ترافیک را نگیرد. kill switch برای همین است؛ مقالهٔ kill switch در VPN چه می‌کند را ببینید.
  • تونل‌زنی تفکیکی (split tunneling)، که در آن برخی اپ‌ها عمداً از اتصال معمولی استفاده می‌کنند.

DNS خصوصی اندروید و VPN می‌توانند هم‌زمان روشن باشند. اینکه کدام حل‌کننده واقعاً پاسخ می‌دهد به سیستم و اپ VPN بستگی دارد، پس پاسخ مطمئن فقط با آزمایش به دست می‌آید.

VPNRice از DNS در جای دیگری هم استفاده می‌کند: مسدودسازی تبلیغات و ردیاب‌ها، اگر در طرح شما موجود باشد، یک پالایهٔ DNS است که دامنه‌های شناخته‌شدهٔ تبلیغاتی، ردیاب و بدافزاری را برای اپ‌های دستگاه مسدود می‌کند.

چطور نشت را بررسی کنیم

  1. VPN را وصل کنید و در مرورگر یک صفحهٔ آزمون نشت DNS را باز کنید. این صفحه حل‌کننده‌هایی را که به جست‌وجوهای شما پاسخ داده‌اند نشان می‌دهد.
  2. نشانی حل‌کننده‌ها را با ابزار IP lookup ما بررسی کنید. اگر با روشن بودن VPN این نشانی‌ها متعلق به ارائه‌دهندهٔ اینترنت خانگی یا اپراتور تلفن همراهتان باشند، جست‌وجوها نشت می‌کنند.
  3. بقیهٔ مرورگر را با آزمون نشت WebRTC ما بسنجید که نوع دیگری از نشت را بررسی می‌کند: نشانی‌هایی که از راه WebRTC آشکار می‌شوند. راهنمای ما دربارهٔ بررسی IP و نشت WebRTC نتایج را توضیح می‌دهد.
  4. پس از تعویض شبکه تکرار کنید، مثلاً از وای‌فای به دادهٔ همراه.

اگر نشتی دیدید، تنظیمات DNS سفارشی در مرورگر یا اپ‌ها را بررسی کنید، اپ VPN را به‌روز کنید و دوباره بیازمایید.

نکته‌های کلیدی

  • جست‌وجوهای DNS نشان می‌دهند از کدام سایت‌ها و سرویس‌ها استفاده می‌کنید؛ DNS معمولی رمزگذاری نشده است.
  • DNS جای رایجی برای محدودیت است، اما به‌ندرت تنها جای آن.
  • DoT (RFC 7858) و DoH (RFC 8484) جست‌وجوها را از شبکه پنهان می‌کنند، اما حل‌کننده همچنان آن‌ها را می‌بیند.
  • با VPN، جست‌وجوها باید از تونل بگذرند؛ پس از اتصال و پس از تعویض شبکه آزمایش کنید.
  • برای اینکه بدانید پروتکل‌های VPN چطور از بقیهٔ ترافیک محافظت می‌کنند، راهنمای ما دربارهٔ WireGuard و پروتکل‌های مدرن VPN را بخوانید.