VPNで守ったはずの「秘密」が漏れている？DNSリークという名の隠れた落とし穴
「カフェの公共Wi-Fiを使うときは、VPNを通せば安心だよね」
そう信じて疑わないあなた。実はその安心感、「宛先を書いたメモ」を別の場所に落としながら歩いているようなものかもしれません。
今日は、VPNを使っているのに情報が漏れてしまう「DNSリーク」という、ネットワークの世界では少し厄介な現象について、郵便配達に例えて紐解いていきましょう。ネットワークの仕組みに初めて触れる方も、一歩ずつ一緒に理解していきましょうね。
—
そもそも「DNS」って何をしているの？
インターネット上の通信は、すべて 192.168.1.1 のような「IPアドレス」という数字の並びで行われています。でも、人間が google.com を 142.250.206.142 に変換して暗記するのは無理ですよね。
そこで登場するのが「DNS（Domain Name System）」です。これは、「名前から住所を検索する電話帳」だと思ってください。
あなたがブラウザに example.com と打ち込むと、パソコンはまず「この名前はどこにあるの？」とDNSサーバーに問い合わせます。すると、DNSサーバーが「それは 93.184.216.34 ですよ」と教えてくれる。このやり取りがあって初めて、私たちはサイトにアクセスできるんです。
—
VPNは「秘密のトンネル」だけど……
VPNをオンにすると、あなたのパソコンとVPNサーバーの間に「秘密のトンネル」が掘られます。外からは中身が全く見えない、頑丈な地下道ですね。
本来、あなたの通信（郵便物）は、このトンネルを通ってVPNサーバーへ送られ、そこから外の世界へと出ていきます。これなら、カフェのWi-Fiを盗み見られても、中身は暗号化されているので安全です。
しかし、ここで事件が起こります。
—
DNSリーク：郵便配達の「うっかりミス」
VPNを使っていても、パソコンのOS（WindowsやMacなど）には「DNSサーバーの場所」を教える癖があります。
通常、あなたのパソコンはインターネットに繋がった瞬間に、プロバイダー（ISP）から「DNSサーバーはここを使ってね」と指示を受け取ります。VPNを繋いでも、パソコンの中には「あ、名前解決（住所調べ）なら、いつものこの近所のDNSサーバーに聞けばいいんだよね」という古い記憶が残っていることがあるんです。
結果として、以下のようなことが起きます。
1. データ本体（郵便物）： 頑丈なVPNトンネルを通って送られる。
2. 宛先確認（DNS問い合わせ）： トンネルを使わず、なぜか「近所のDNSサーバー」へ直通で送られてしまう。
この「DNS問い合わせ」には、あなたが「どのサイトを見ようとしているか」という情報が含まれています。トンネルの外へ「私、今から example.com に行くよ！」と叫びながら歩いているようなもの。これが、DNSリーク（情報漏洩）の正体です。
—
どうやって対策するの？
この問題を防ぐには、「名前解決も必ずVPNのトンネルを通す」ようにOSへ強制命令を出す必要があります。
1. 手動でDNSサーバーを指定する
まずは、パソコンのネットワーク設定で、DNSサーバーをVPNプロバイダーが推奨するもの（例: 8.8.8.8 や 1.1.1.1 など）に固定します。これにより、バラバラなDNSサーバーへの問い合わせを防ぐことができます。
2. DNSリーク防止機能（キルスイッチ）を使う
最近のVPNソフトには「DNSリーク対策」や「キルスイッチ」という機能が備わっています。これをオンにすると、VPNが切れたりトンネルが不安定になったりした瞬間に、インターネット接続そのものを遮断してくれます。
3. 設定ファイルの確認（Linuxエンジニア向け）
もしサーバー構築などでDNSを制御しているなら、/etc/resolv.conf を確認してください。ここに記載されているDNSサーバーが、VPN接続時にVPN提供側のものに書き換わっているかどうかが重要です。
# 現在のDNSサーバーを確認するコマンド
cat /etc/resolv.conf
# もしローカルのISPのDNS（例: 192.168.x.x）があれば、
# VPN接続時に以下のようにVPNのDNSサーバーを優先させる設定を行います。
# （NetworkManagerを使用している場合の設定例）
nmcli connection modify "VPN接続名" ipv4.dns "1.1.1.1 8.8.8.8"
nmcli connection modify "VPN接続名" ipv4.ignore-auto-dns yes—
まとめ：安心のために一歩踏み込む
「VPNを使っているから大丈夫」という思い込みは、セキュリティにおいて一番の敵です。
今の接続が本当に漏れていないか不安になったら、「DNS Leak Test」と検索して出てくるWebサイトで確認してみてください。そこにあなたのプロバイダー名や、住んでいる地域のDNSサーバー名が表示されたら、それは「リークしている」というサインです。
ネットワークの道筋を理解し、正しい設定を行うこと。それが、デジタル社会で自分を守るための、最も泥臭く、そして最も確実な「防御」になります。
皆さんも、今日から自分のネットワークの「郵便配達ルート」を少しだけ気にしてみてくださいね。それでは、また次回の技術解説でお会いしましょう！
コメント