Comment protéger son routeur domestique contre les fuites de requêtes DNS vers le FAI lorsque le VPN est activé ?

EN REDIRIGEANT DE FORCE TOUTES LES REQUÊTES DU PORT 53 VERS UN SOCKET CHIFFRÉ LOCAL.

Même avec un canal sécurisé actif, les appareils du réseau peuvent envoyer des requêtes de noms de domaine directement via les serveurs du FAI. Configurer des règles de redirection DNS sur le routeur comble cette faille pour l'ensemble du réseau local.

Origine des fuites DNS cachées

Les systèmes d'exploitation des appareils connectés conservent souvent les adresses DNS de secours attribuées par le fournisseur d'accès via DHCP. Si la passerelle du tunnel ne force pas le trafic, les navigateurs envoient une partie des requêtes en clair, permettant au FAI de journaliser les domaines visités.

Comment combler la fuite au niveau du routeur

Activer la fonction DNS Rebind Protection et le forçage strict du port UDP 53 dans le pare-feu.
Définir l'adresse locale du proxy DNS chiffré dans les paramètres du serveur DHCP du routeur.
Bloquer le trafic sortant direct vers les DNS publics externes en dehors du tunnel.
Vérifier l'absence de fuites à l'aide de tests de diagnostic spécialisés (DNS Leak Test).