Jak otestovat VPN na únik DNS a IP adresy.

Návod · 18. 10. 2026 · 7 min

Stav k 18. 10. 2026: Pevnost je v soukromé betě. První server v Hluboké nad Vltavou běží, náš DNS resolver je uvnitř tunelu na 10.8.0.1. Účty se platí převodem; Bitcoin a Lightning se otevřou, jakmile náš uzel dosynchronizuje, Monero a hotovost poštou později. Aplikace pro Windows 0.2.2 beta a Android 0.1.0 beta (APK) jsou na stránce Aplikace; iOS a macOS používají oficiální aplikaci WireGuard. Naposledy revidováno 18. 10. 2026.

VPN, která je „zapnutá", může přesto světu prozradit, kde jste. Dvě obvyklé cesty: únik IP, kdy část provozu obchází tunel, a únik DNS, kdy se váš počítač ptá resolveru vašeho poskytovatele, jakou adresu má doména, takže poskytovatel vidí každý web, který navštívíte, i když je samotné spojení šifrované. Ani jedno není exotika. Obojí zkontrolujete za dvě minuty a měli byste to udělat po každé aktualizaci systému, na každé nové síti a po každé změně VPN aplikace.

Co je únik DNS

Než se prohlížeč připojí k webu, zeptá se DNS resolveru na jeho adresu. Operační systém si resolver bere ze sítě, na které jste, obvykle od poskytovatele nebo domácího routeru. Když tohle nastavení přežije zvednutí tunelu, odejde otázka „jakou adresu má example.org" z vašeho zařízení v otevřeném textu, mimo tunel a s vaší skutečnou IP adresou. Samotný web pak jde přes VPN, ale poskytovatel už jméno viděl.

Pevnost to řeší v konfiguraci samotné. Každý soubor zařízení, který vygenerujeme, obsahuje DNS = 10.8.0.1, fd7e:1::1: resolver, který běží na VPN uzlu, je dostupný jen tunelem, dělá plnou rekurzi sám bez forwardování třetí straně a nevede log dotazů (konfigurace je veřejná v našem repozitáři a popsaná v zásadách ochrany dat). Oficiální aplikace WireGuard tento resolver nastaví po dobu tunelu a po jeho shození ho odstraní. Pokud test ukáže cokoli jiného než náš uzel, něco ve vašem zařízení to přebíjí.

1. Zkontrolujte výstupní adresu

Otevřete v prohlížeči službu typu „jaká je moje IP" s prostým textovým výstupem, nebo si z terminálu stáhněte cokoli, co vrátí jen vaši veřejnou adresu (poslouží libovolná taková služba; my žádnou neprovozujeme, záměrně). Se zvednutým tunelem musí být zobrazená adresa adresa našeho uzlu, dnes 46.28.107.26, ne adresa vašeho poskytovatele. Podívejte se před připojením i po něm, ať víte, jak rozdíl vypadá.

Když se adresa nezmění, tunel váš provoz nenese. Obvyklé příčiny: tunel je zvednutý, ale přednost má druhá VPN nebo proxy rozšíření v prohlížeči; aplikace ukazuje „připojeno", ale handshake neproběhl (ve WireGuard aplikaci se podívejte na „poslední handshake", musí být čerstvý); nebo nastavení split tunnelu vyjímá prohlížeč.

2. Zkontrolujte, kdo odpovídá na DNS

Testovací weby, které vypíší „vaše DNS servery", fungují tak, že nechají vaše zařízení přeložit dávku unikátních jmen a sledují, které resolvery se ptají jejich autoritativního serveru. Klidně nějaký použijte; s Pevností musí výsledek ukázat přesně jeden resolver na adrese našeho uzlu a nic, co patří vašemu poskytovateli, routeru nebo veřejnému resolveru, který jste si nevybrali.

Z terminálu ověříte totéž bez třetí strany. Se zvednutým tunelem:

nslookup pevnost.net 10.8.0.1      # Windows, macOS, Linux
dig @10.8.0.1 pevnost.net +short    # macOS, Linux

Když uzel odpoví, resolver uvnitř tunelu je dostupný. Pak spusťte stejný dotaz bez uvedení serveru (nslookup pevnost.net). Řádek „Server" musí být 10.8.0.1. Pokud ukazuje router (často 192.168.x.x) nebo poskytovatele, systém resolver z tunelu nepoužívá a jména unikají.

3. IPv6

Náš první uzel zatím nemá veřejnou IPv6. Konfigurace zařízení přesto směruje celou IPv6 (::/0) do tunelu, schválně: IPv6 pakety jdou do tunelu a tam skončí, místo aby ho obešly k vašemu poskytovateli. Test IPv6 v prohlížeči proto musí při připojení ukázat „bez IPv6". Pokud ukáže IPv6 adresu vašeho poskytovatele nebo operátora, aplikace v zařízení nenainstalovala IPv6 trasu; na Androidu a iOS se to děje u některých neoficiálních klientů WireGuard, používejte oficiální.

4. WebRTC

Prohlížeče umějí prozradit místní a někdy i veřejné adresy přes WebRTC, technologii pro hovory v prohlížeči, i když všechny ostatní požadavky jdou tunelem. Se zvednutým tunelem má test WebRTC ukázat jen vaši tunelovou adresu (10.8.x.x) a adresu našeho uzlu. Pokud ukáže vaši domácí adresu, WebRTC v nastavení soukromí prohlížeče vypněte nebo omezte, případně rozšířením, které to umí. Je to věc prohlížeče, ne VPN; zvenku to žádná VPN neopraví.

5. Když něco uniká

• Windows, naše aplikace: kill switch je součástí tunelové služby a je aktivní, kdykoli je tunel zvednutý; provoz mimo tunel včetně DNS blokují pravidla firewallu Windows, která instaluje oficiální engine WireGuard. Pokud test přesto ukazuje resolver poskytovatele, DNS na aplikační vrstvě zachytává nějaký „chytrý DNS" nebo bezpečnostní produkt; odstraňte ho nebo z něj tunel vyjměte.
• Windows, oficiální aplikace WireGuard: v dialogu úpravy tunelu zaškrtněte Block untunneled traffic (kill‑switch).
• Android: Nastavení → Síť → VPN → ozubené kolo u WireGuard → Trvalá VPN (Always‑on) a Blokovat připojení bez VPN. S obojím zapnutým neodejde z telefonu nic, když tunel neběží, a DNS jde nuceně přes něj.
• iPhone a iPad: zapněte On‑demand aktivaci v nastavení tunelu, aby se tunel na každé síti vrátil. iOS žádný uživatelský kill switch nemá; krátké mezery při přechodu z Wi‑Fi na mobilní data jsou možné.
• macOS a Linux: oficiální aplikace na macOS kill switch nemá; na Linuxu přidejte pravidlo firewallu, které povolí jen koncový bod WireGuard a rozhraní wg0, nebo to udělejte v PostUp hooku pro wg-quick.

Co test úniku nevidí

Čistý test úniku říká, že vaše zařízení posílá provoz i DNS dotazy do tunelu. Neříká nic o tom, co se děje na druhém konci. Náš hoster, jako každý operátor, vidí, které adresy se připojují k našemu uzlu a kdy, a může vzorkovat toky na uplinku; kdo sleduje vaši linku i náš uplink zároveň, může korelovat časy a objemy. Weby, kam se přihlašujete, vědí, kdo jste, ať přijdete z jakékoli adresy. Rozepisujeme to v samostatném článku; zkrácená verze zní, že VPN přesouvá důvěru od vašeho poskytovatele k nám a zužuje, co kdo z nich vidí, a že tuhle část žádný test na vašem zařízení nezměří.