VPNのDNS漏れを確認する方法｜原因の見分け方と設定の直し方

VPNに接続していても、DNS問い合わせが意図した経路を通っているかは、接続表示だけでは判断できません。DNSはドメイン名をIPアドレスに対応させる仕組みで、端末やブラウザー、VPNクライアントの設定によって処理先が変わります。公開IPアドレスがVPN側のものに見えていても、DNS問い合わせだけが別経路を使うケースはあり得ます。

確認するときは、公開IP、DNSサーバー、IPv6、アプリごとの通信経路を分けて調べましょう。テスト結果に見慣れない事業者名が表示されたからといって、すぐに漏えいと断定する必要はありません。DNSサーバーの場所や名称は、事業者の中継構成や地理的な判定によって、実際の接続先と一致しないことがあるためです。複数の確認結果と、VPN接続のオン・オフによる違いをあわせて見ます。

DNSリークとは何か：公開IPの確認だけでは不十分

ウェブサイトを開くとき、端末は通常、接続先のドメイン名をDNSサーバーに問い合わせます。VPNのトンネルにDNS通信が含まれていれば、その問い合わせもVPNの設定した経路を通ります。一方、端末が別のDNSサーバーを使い続けたり、アプリ独自の暗号化DNSを使ったりすると、ウェブ通信とDNS問い合わせの経路が異なる場合があります。

「DNSリーク」は、一般に、VPNで保護したい通信のDNS問い合わせが、意図しないネットワークやDNSサービスへ送られる状態を指します。これは、閲覧したページの内容がそのまま見られることと同じではありません。ただし、問い合わせ先のドメイン名がネットワーク上の第三者に知られる可能性があるため、プライバシーを重視する場合は原因を確かめて対処する価値があります。

公開IP確認とDNS確認は別の検査です。公開IPの表示は、検査ページへ接続したときに使われた出口を示すもので、すべてのアプリやDNS問い合わせが同じ経路を通る証明にはなりません。DNS検査に表示される事業者名や地域も、必ずしも端末が直接接続したDNSサーバーの物理的な所在地を示すとは限りません。結果は単独で判断せず、同じ端末・同じネットワークで条件を変えて比較してください。

検査結果の見方：DNSサーバー名だけで決めつけない

検査は、信頼できる公開IP確認ページとDNSリーク検査ページを使い、VPN接続中に実施します。検査ページを複数開く場合も、途中でVPNの接続先やネットワークを切り替えないでください。結果には、公開IP、検出されたDNSリゾルバー、IPv6接続の有無などが表示されることがあります。ページによって検査方法や表示の意味が異なるため、説明文も確認しましょう。

VPN接続中のDNS検査で、VPN事業者とは異なる名前のリゾルバーが表示されても、それだけで漏えいとは断定できません。VPN事業者が外部のDNSサービスを利用していたり、検査ページがリゾルバーの運営元を別の会社として表示したりする場合があります。まずVPNを切ったときの結果を記録し、接続後にDNSサーバーや応答経路が変わるかを確認します。毎回同じネットワーク事業者のDNSが検出され、設定上もVPNのDNSを使うはずなのに変化がない場合は、設定を詳しく点検しましょう。

• ✅ VPN接続前と接続中の公開IP・DNS表示を、同じ端末とネットワークで比較する
• ✅ 検査ページの説明を読み、DNSの運営元表示とサーバーの所在地を区別する
• ✅ ブラウザーだけでなく、問題が起きるアプリや通信方式も確認する
• ❌ 検査結果に表示された会社名だけを見て、直ちに漏えいと判断しない

自分で試す手順：条件をそろえて原因を切り分ける

設定を変更する前に、まず現在の状態を記録しておくと、どの変更が影響したかを判断しやすくなります。検査ページやクライアントのメニュー名はサービスやOSによって異なるため、名称が一致しない場合は機能の説明を手がかりにしてください。

1. 端末とネットワークを決める。検査中にWi-Fiとモバイル回線を切り替えず、普段使っているブラウザーで公開IPとDNSの検査結果を確認します。プロキシや別のVPNクライアントを併用している場合は、その状態も記録します。
2. VPNを切った状態を記録する。公開IP、DNSサーバー、IPv6の表示を確認します。これが比較の基準になります。結果を共有する必要がある場合は、IPアドレスなどの情報を公開しないよう注意してください。
3. VPNに接続し、同じ検査を繰り返す。接続先の選択後、クライアントが接続済みと表示されることを確かめてから、同じページで再検査します。公開IPが変わっているか、DNSの検出結果に変化があるか、IPv6関連の表示があるかをそれぞれ見ます。
4. ブラウザーのDNS機能を確認する。ブラウザーに「セキュアDNS」「DNS over HTTPS」などの設定がある場合、OSやVPNクライアントのDNS設定とは別に名前解決を行うことがあります。まず設定の状態を確認し、変更するなら一項目ずつ行って再検査します。
5. 別のネットワークでも比較する。可能であれば、Wi-Fiとモバイル回線など異なる接続環境で同じ手順を試します。片方だけで問題が起きるなら、端末の共通設定よりも、そのネットワークのDNS配布設定やルーターの動作が関係している可能性があります。

検査ページには、ランダムなサブドメイン名を問い合わせてDNS応答を調べる方式があります。ブラウザーやDNSサービスが過去の応答をキャッシュしていると、結果の更新に時間がかかることもあります。ページの再読み込みだけで結果が変わらない場合は、検査ページの案内に従い、ブラウザーを再起動するか、キャッシュを消してからもう一度試してください。何度も短時間に設定を切り替えるより、条件を固定して比較するほうが原因を追いやすくなります。

主な原因：分割トンネリング、IPv6、暗号化DNS

分割トンネリングとプロキシ方式

分割トンネリングが有効だと、指定したアプリや通信先だけをVPN経由にし、それ以外を通常のネットワークへ直接送る構成になっている場合があります。ブラウザーをVPNの対象外にしていたり、逆に検査ページを開くブラウザーだけをVPN対象にしたりすると、アプリによって結果が異なります。対象アプリと除外アプリの両方を確認し、検証中はいったん分割設定をオフにして挙動を比べる方法があります。

システムプロキシを使うクライアントでは、プロキシ設定に従わないアプリの通信が別経路になることがあります。トンネルモードはより広い範囲の通信を扱う設計でも、ルート、除外ルール、クライアントの実装によって対象が異なります。「プロキシ接続済み」という表示だけから、OS上のすべてのDNS問い合わせが保護されているとは判断しないでください。

IPv6とブラウザーの暗号化DNS

VPN接続がIPv4通信を処理していても、端末やネットワークがIPv6を利用できる場合、IPv6通信が別経路になることがあります。クライアントがIPv6をトンネルに含めるのか、遮断するのか、対応していないのかは製品ごとに異なります。OSのIPv6を無条件に無効化する前に、クライアントの説明を確認し、IPv6対応がある場合はその設定を見直してください。変更後に通常のネットワーク機能へ影響が出たら、元の設定へ戻して比較します。

DNS over HTTPS（DoH）やDNS over TLS（DoT）は、DNS問い合わせを暗号化してDNSサービスへ送る方式です。暗号化されていることは、必ずVPNトンネルを通ることを意味しません。ブラウザーが独自のDoHサーバーへ直接接続する設定なら、OS側のDNS設定と異なる経路が選ばれる可能性があります。プライバシー保護のために有効化した設定を、仕組みを確認せずに重ねて変更するのではなく、ブラウザー・OS・VPNクライアントのどこがDNSを担当しているか整理しましょう。

設定を直す順番：一つずつ変更して再検査する

原因が見つかったら、まずVPNクライアントのDNS設定と接続方式を確認します。クライアントに「VPNのDNSを使用」「DNS保護」「システムDNSを使用」などの選択肢があれば、それぞれが何をするか説明を読んでから選びます。機能名だけで判断せず、現在のOSやクライアントのバージョンに対応した案内を参照してください。

1. VPNクライアントとOSを更新し、接続プロファイルやサブスクリプション設定に古い項目が残っていないか確認します。
2. 分割トンネリング、アプリ除外、システムプロキシの設定を確認します。原因を切り分ける間だけ設定を単純化し、テスト後に必要なルールを戻します。
3. ブラウザーのDoH設定とOSのDNS設定を確認します。変更は一度に一項目にとどめ、どの設定で結果が変わったか記録します。
4. IPv6をVPNクライアントがサポートするか確認します。対応状況がわからないままOS全体のネットワーク機能を無効にせず、公式の設定説明に従います。
5. VPNを再接続して、公開IP・DNS・IPv6を同じ検査ページで確認します。日常的に使うアプリでも接続できるか、ローカルネットワークなど必要な機能が保たれているかを確認します。

DNSサーバーを適当に指定するだけでは、原因が解決するとは限りません。別のDNSサービスに変更しても、その問い合わせがVPNを通るかはルーティングやクライアントの設定次第です。信頼できるDNSサービスを選び、サービス側のプライバシー方針と、現在の接続方式との互換性を確認してください。

設定変更後に検査結果が改善しても、すべてのアプリやネットワーク条件で同じ結果になるとは限りません。OSのアップデート、クライアントの変更、ネットワークの切り替え後には、必要に応じて再確認しましょう。公開IPが意図した経路に見えること、DNSが想定した設定で処理されること、IPv6やアプリ独自の通信が別経路になっていないことを別々に確認するのが基本です。

よくある質問

VPN接続中にVPN事業者以外のDNS名が表示されたら、必ずリークですか？

必ずしもそうではありません。DNSサービスの運営元とVPN事業者の名称が異なる場合や、検査ページが所在地を正確に示さない場合があります。接続を切った状態との比較、VPNクライアントのDNS設定、同じ結果が繰り返されるかを確認してください。

公開IPがVPNのものなら、DNSも保護されていますか？

公開IPの確認だけではわかりません。公開IP検査は検査ページへの通信経路を示すもので、DNS問い合わせや別アプリの通信が同じ経路を通る保証にはなりません。DNS検査とIPv6の確認も行いましょう。

ブラウザーのセキュアDNSは常にオンにすべきですか？

一律には決められません。DoHはDNS問い合わせを暗号化しますが、VPNトンネルを通るかはブラウザーやOS、クライアントの設定によります。利用しているVPNの構成とブラウザーの説明を確認し、意図したDNSサービスへ問い合わせているか検査してください。

DNSリークを防ぐため、IPv6を無効にしてもよいですか？

安易な無効化はおすすめできません。ネットワークやアプリの動作に影響することがあり、VPNクライアントがIPv6を適切に処理できる場合もあります。まずクライアントのIPv6対応を確認し、必要な変更を行う場合も一つずつ試して元に戻せるようにしてください。