DNS Sızıntısını Kontrol Etmek ve Önlemek

VPN'i açtım, ikonda yeşil kilit var, "artık gizliyim" diye rahatladım. Bir gün merakımdan bir DNS test sitesine girdim ve karşımda kendi internet sağlayıcımın sunucusu duruyordu. Trafiğim şifreliydi ama hangi siteleri açmak istediğimi sağlayıcım hâlâ görebiliyordu. İşte o gün DNS leak nedir ne yapılır sorusunu ciddiye almaya başladım.

Kısaca anlatayım: bir adrese girmek istediğinizde tarayıcı önce "bu alan adının IP'si ne?" diye sorar. Bu soruyu normalde modeminizin gösterdiği DNS sunucusuna, yani çoğunlukla sağlayıcınıza sorarsınız. VPN kullandığınızda bu sorunun da tünelin içinden gitmesi gerekir. Gitmiyorsa, trafiğiniz şifreli olsa bile ziyaret ettiğiniz alan adlarının listesi dışarı sızıyor demektir. Buna DNS sızıntısı deniyor.

Sızıntı neden olur?

Benim başıma gelen üç sebep şuydu: VPN istemcisi sistemin DNS ayarını değiştirmemişti; Windows'un "smart multi-homed name resolution" özelliği sorguyu aynı anda tüm ağ arayüzlerine gönderiyordu; ve tarayıcıda elle ayarladığım bir DNS profili VPN'i baypas ediyordu. IPv6 de sinsi bir suçlu: VPN sadece IPv4 tünelliyorsa IPv6 sorguları serbestçe dışarı çıkabiliyor.

Adım adım kontrol ve düzeltme

1. Önce çıplak halinizi ölçün. VPN kapalıyken bir DNS test sitesine girip çıkan sunucuları not edin. Genelde sağlayıcınızın adını ya da daha önce elle girdiğiniz bir genel DNS'i görürsünüz. Bu sizin "kirli" referansınız olacak.
2. VPN'i açın ve testi tekrarlayın. Aynı sayfayı yenileyin. Listede VPN sağlayıcınızın ülkesine ait, sizin daha önce görmediğiniz sunucular varsa iyi. İlk adımdaki isim hâlâ duruyorsa sızıntı var demektir. Test sırasında "standart test" yerine "genişletilmiş test" seçeneğini kullanın; tek sorguyla anlaşılmayan durumlar oluyor.
3. Komut satırından doğrulayın. Test siteleri bazen yanıltıcı olabiliyor. Windows'ta ipconfig /all, Linux'ta resolvectl status veya cat /etc/resolv.conf ile sistemin gerçekten hangi sunucuyu kullandığını görün. Aktif VPN arayüzünün DNS satırı, fiziksel Ethernet/WiFi arayüzününkiyle aynıysa işler karışık.
4. VPN istemcisinin ayarlarına girin. Çoğu ciddi istemcide "DNS sızıntı koruması", "kendi DNS sunucularımızı kullan" veya "kill switch" gibi seçenekler var. Üçünü de açın. Kill switch, tünel koptuğunda tüm trafiği kesiyor; sızıntının en sık yaşandığı an tam da bağlantının bir saniyeliğine düştüğü an oluyor.
5. IPv6'yı kapatın ya da tünelleyin. VPN'iniz IPv6 desteklemiyorsa, işletim sistemi ayarlarından ilgili adaptörde IPv6'yı devre dışı bırakmak en pratik çözüm. Destekliyorsa emin olmak için test sitesindeki IPv6 satırına bakın.
6. Tarayıcı katmanını unutmayın. Modern tarayıcılar DNS-over-HTTPS kullanabiliyor. Bu iyi bir şey ama ayarı sizin bilginiz dışında bir sağlayıcıya kilitlenmişse VPN'in DNS'ini baypas eder. Tarayıcı ayarlarında güvenli DNS bölümünü açıp ya kapatın ya da VPN'inizin sunucusunu elle yazın.
7. Modem/router tarafını kontrol edin. Bazı modemler kendi üzerinden geçen tüm DNS trafiğini zorla kendi sunucusuna yönlendiriyor. Router arayüzünde böyle bir "DNS yönlendirme" seçeneği varsa kapatın. Router ayarlarını optimize etme ve DNS sunucusu değiştirme konularını daha önce ayrı ayrı anlattım; oradaki adımlar burada da işinize yarar.
8. Yeniden test edin ve alışkanlık haline getirin. Bende ayda bir yapılan rutin bir kontrol var. VPN istemcisi güncellendiğinde veya yeni bir sunucuya geçtiğimde de mutlaka bakıyorum, çünkü güncellemeler ayarları sıfırlayabiliyor.

Sık yapılan hatalar

• Tek bir test sitesine güvenmek. Farklı servisler farklı yöntemlerle ölçüyor. En az iki ayrı test kullanın.
• "IP'm değişti, o zaman sorun yok" demek. IP adresinizin değişmesi DNS'in de tünelden gittiği anlamına gelmiyor. Bunlar birbirinden bağımsız iki katman.
• Tarayıcı eklentisi VPN'ini tam VPN sanmak. Eklenti sadece o tarayıcının trafiğini vekil sunucudan geçirir; işletim sistemindeki diğer uygulamalar ve çoğu zaman DNS sorguları eski yolundan devam eder.
• Gizli sekmede test etmek. Gizli mod DNS önbelleğini ve sistem ayarlarını değiştirmez, size hatalı bir rahatlık hissi verir.
• Ayarları değiştirip önbelleği temizlememek. Değişiklik sonrası Windows'ta ipconfig /flushdns, Linux'ta ilgili çözümleyici servisini yeniden başlatın; yoksa eski sonuçları görürsünüz.
• Hızlı diye halka açık bir DNS'i VPN'in üstüne elle yazmak. Hız için DNS değiştirmek ayrı bir konu, gizlilik için VPN kullanmak ayrı. İkisini karıştırırsanız hız kazanıp gizliliği kaybedebilirsiniz.
• Genel WiFi'da test etmeyi atlamak. Kafe ve otel ağları sıklıkla zorunlu portal ve DNS yönlendirmesi kullanır. Asıl risk orada başlar.

Özet

DNS sızıntısı, VPN'in en çok gözden kaçan açığı. Kontrolü beş dakika sürüyor: VPN kapalıyken ölç, açıkken ölç, iki liste aynıysa sorun var. Çözüm tarafında yapılacaklar da sınırlı — istemcideki sızıntı korumasını ve kill switch'i aç, IPv6'yı hallet, tarayıcının kendi DNS ayarını hizaya sok, modemin zorla yönlendirme yapmadığından emin ol.

Şifreli tünel, nereye gittiğinizi söyleyen tabel

© 2026 Ağ ve Bulut