DNS-lektest: controleer of je VPN je aanvragen écht beschermt
Het netwerk dat je verbinding nu verwerkt, je IP-adres, en een voorzichtig verdict over een mogelijk lek — telkens opnieuw berekend bij elk bezoek, uitsluitend op basis van de informatie die naar onze server wordt gestuurd.
De redactie van Beste VPN
Redactie & testlab
Gedetecteerd netwerk
216.73.217.120
- Gedetecteerd netwerk / provider
- AMAZON-02 - Amazon.com, Inc., US (AS16509)
- Gedetecteerde locatie
- Columbus, OH, US
Snelle testVerdict
Verdict wordt berekend…
Hoe deze test werkt, en de beperkingen ervan
De betrouwbaarste methode voor een echte DNS-lektest bestaat erin je een uniek subdomein te laten opvragen en te observeren welke DNS-resolver écht bij onze server aanklopt — een techniek die vereist dat we onze eigen autoritatieve DNS-server draaiende houden. De infrastructuur waarop deze site draait, laat het hosten van zo'n DNS-server vandaag niet toe; wat je hierboven ziet, beperkt zich dus tot het vergelijken van het netwerk en de locatie van de HTTP-verbinding die ons bereikt — een nuttig maar onrechtstreeks signaal. Als je zichtbare IP al dat van de VPN is, blijft een DNS-lek dat er tegelijk gebeurt onzichtbaar voor deze test.
Gebruik je deze VPN om VRT MAX te ontgrendelen vanuit het buitenland? Een DNS-lek verklaart een deel van de valse blokkeringen die je soms ziet ondanks een actieve VPN-verbinding — zie onze gids VRT MAX vanuit het buitenland voor de volledige methode en de andere mogelijke oorzaken.
Uitgebreide test
Vergelijkt de gedetecteerde organisatie (AMAZON-02 - Amazon.com, Inc., US (AS16509)) met een lijst van bekende Belgische residentiële internetproviders en courante cloud-/datacenterhosts — een preciezer signaal dan de eenvoudige tijdzoneconsistentie van de snelle test hierboven.
Je netwerk lijkt al op een actieve VPN
Het gedetecteerde netwerk komt overeen met een bekende cloud-/datacenterhost (Amazon (AWS)), niet met een residentiële internetprovider — consistent met een VPN-uitgangsserver. Dat is geen absolute garantie, maar er wordt hier geen enkel teken van blootstelling gedetecteerd.
Wat is een DNS-lek?
Voordat een pagina laadt, moet je toestel eerst de domeinnaam (bv. voorbeeld.com) omzetten naar een IP-adres: dat is een DNS-aanvraag. Bij een goed geconfigureerde VPN loopt deze aanvraag via de versleutelde tunnel, tot bij de DNS-server van de VPN. Bij een lek loopt ze rechtstreeks via de DNS-server van je internetprovider, buiten de tunnel om — zoals hieronder geïllustreerd.
De Belgische internetproviders die verschijnen bij een lek
Als je aanvraag lekt naar je vaste internetprovider in plaats van naar het netwerk van de VPN, komt de organisatienaam in de tabel hierboven wellicht overeen met een van deze Belgische residentiële internetproviders.
| Provider | ASN |
|---|---|
| Proximus | AS5432 |
| VOO | AS12392 |
| Telenet | AS6848 |
| Orange Belgique | AS5615 |
| Scarlet | AS47377 |
| EDPnet | AS9031 |
Omgekeerd, als de gedetecteerde organisatie op een cloudhost lijkt (Google Cloud, OVH, DigitalOcean, Amazon, M247 of gelijkaardig), is dat wellicht de uitgangsserver van je VPN — helemaal normaal.
Een bijzonder geval: als je een aangepaste DNS-resolver gebruikt op je systeem of je modem/router (bijvoorbeeld Cloudflare 1.1.1.1 of Google 8.8.8.8, vaak ingesteld om advertenties te blokkeren of de resolutie te versnellen), kan het hierboven gedetecteerde netwerk de organisatie van die resolver tonen in plaats van die van je VPN of je vaste internetprovider. Dat is niet noodzakelijk een lek in strikte zin — maar als je wilt dat al je aanvragen via de VPN lopen, blijft een aangepaste DNS die buiten zijn tunnel is ingesteld een apart te controleren punt.
Waarom dat ernstig is
Een DNS-lek onthult niet de inhoud van je verkeer (vaak apart versleuteld, onder meer via HTTPS), maar het onthult wel de lijst van bezochte domeinnamen, in volgorde, rechtstreeks aan je internetprovider — precies wat een VPN geacht wordt te verbergen. Voor wie een VPN net gebruikt om te vermijden dat zijn provider zijn surfgedrag in kaart brengt, ondermijnt een DNS-lek een groot deel van dat doel, ook al blijft het zichtbare IP-adres wél correct verborgen.
Er is nog een minder voor de hand liggend effect: sommige internetproviders passen filtering toe op hun eigen DNS-resolver (resolutie die naar een waarschuwingspagina verwijst in plaats van naar de gevraagde site, bijvoorbeeld voor domeinnamen gelinkt aan illegaal downloaden). Een DNS-lek doet je terugvallen op die filtering, net op het moment dat je VPN je daar normaal van zou afschermen door je aanvragen via zijn eigen resolver te laten lopen.
Een DNS-lek verhelpen
- Activeer de DNS-bescherming van je VPN, meestal onder Instellingen > Privacy of Verbinding — de meeste degelijke apps bieden deze instelling, soms standaard actief, soms niet.
- Activeer de kill switch, die je internettoegang afsluit als de tunnel wegvalt in plaats van je stilletjes terug te laten schakelen naar je gewone verbinding — zie onze gids over de essentiële instellingen voor het detail.
- Controleer de handmatige DNS-instellingen van je besturingssysteem. Een aangepaste DNS die is ingesteld op Windows, macOS of je modem/router kan soms voorrang krijgen op die van de VPN — zet hem terug op automatisch als je geen specifieke reden hebt om hem aan te passen.
- Als het probleem aanhoudt, herstart de VPN-app, of neem contact op met de support: die heeft zicht op zijn eigen DNS-servers dat wij vanaf deze site niet hebben.
Geverifieerd feit in onze database: 8 van de 8 partner-VPN's uit onze vergelijker bieden een kill switch aan. Dat garandeert op zich geen afwezigheid van DNS-lekken (zie de volgende vraag), maar het is de basisvereiste om eerst te controleren, vóór elke andere instelling.
Handmatig testen, per browser en systeem
Als aanvulling op de automatische test hierboven blijft een handmatige controle voor/na het activeren van de VPN de betrouwbaarste methode:
- Windows: open de opdrachtprompt en typ
nslookup exemple.comvoor en na het activeren van de VPN. De weergegeven server ("Server:") moet tussen beide resultaten veranderen. - macOS: in de Terminal geeft het commando
scutil --dnsde momenteel ingestelde DNS-resolvers weer — de eerste vermelde resolver zou, eenmaal verbonden, moeten overeenkomen met die van je VPN. - Linux:
resolvectl statusop recente distributies met systemd-resolved, ofcat /etc/resolv.confals oudere maar universele methode. - In de app van je VPN: de meeste degelijke aanbieders integreren hun eigen DNS-lekcontrole, meestal bereikbaar via de privacy- of verbindingsinstellingen — de exacte plaats verschilt van app tot app, controleer het rechtstreeks in de app die je gebruikt in plaats van een algemeen menupad te gokken.
Wat een DNS-lek niet onthult
Een DNS-lek toont de lijst van bezochte domeinnamen, in volgorde — niet de inhoud van de bezochte pagina's, noch het detail van wat je er doet, apart beschermd door HTTPS-versleuteling op de overgrote meerderheid van de sites vandaag. Je internetprovider zou bijvoorbeeld zien dat je een bepaalde banksite hebt bezocht, maar niet je rekeningnummer of het getoonde saldo. Het blijft gevoelige informatie — het loutere feit te weten welke sites je bezoekt, en hoe vaak, laat al toe gewoontes in kaart te brengen — maar het is een stap lager dan een volledige onderschepping van je verkeer.
Veelgestelde vragen
Normaal laat een actieve VPN ook je DNS-aanvragen (de omzetting van een domeinnaam zoals voorbeeld.com naar een IP-adres) via zijn eigen versleutelde tunnel lopen. Een DNS-lek is wanneer precies die aanvragen toch via de DNS-server van je vaste internetprovider lopen, buiten de tunnel om — zelfs als de rest van je verkeer wél correct beschermd lijkt.
Omdat je internetprovider dan in klare tekst elke domeinnaam ziet die je bezoekt — de bezochte sites, in volgorde, zelfs als de inhoud van je verkeer verder versleuteld blijft. Het hele nut van de VPN (je provider beletten te weten welke sites je bezoekt) wordt voor dat specifieke deel van je verkeer omzeild.
Controleer eerst of je VPN-app een instelling "DNS leak protection" of "Bescherming tegen DNS-lekken" aanbiedt (meestal onder Instellingen > Privacy of Verbinding) en of die goed geactiveerd is. Activeer ook de kill switch, die je internettoegang afsluit als de tunnel wegvalt in plaats van je ongemerkt te laten terugvallen op je gewone verbinding. Zie onze gids over de essentiële instellingen voor het detail.
Enkel onrechtstreeks: de kill switch sluit je verbinding af als de VPN-tunnel volledig wegvalt, wat één specifiek soort lek voorkomt (een niet-gedetecteerd tunnelverlies). Maar een "klassiek" DNS-lek kan zich voordoen terwijl de tunnel actief en functioneel blijft — de twee beveiligingen vullen elkaar aan, ze vervangen elkaar niet.
Open op Windows de opdrachtprompt en typ "nslookup voorbeeld.com" voor en na het activeren van je VPN: de weergegeven server moet veranderen. Op macOS geeft het commando "scutil --dns" in de Terminal de actieve DNS-resolvers weer. Veel VPN-apps bieden ook hun eigen ingebouwde controle, meestal in de privacy-instellingen — de exacte plaats verschilt van aanbieder tot aanbieder, controleer het rechtstreeks in de app die je gebruikt.
Nee, het zijn drie verschillende mechanismen die elk andere informatie kunnen blootleggen. Een IP-lek toont je echte IP-adres ondanks de VPN (zie onze tool Wat is mijn IP). Een WebRTC-lek is browsergebonden: sommige sites kunnen je lokale IP onthullen via een real-timecommunicatiefunctie, ook al is je IP verder gemaskeerd. Een DNS-lek toont specifiek de lijst van bezochte domeinnamen aan je internetprovider — alle drie zijn het waard om apart te controleren.
Gedeeltelijk. DoH versleutelt je DNS-aanvragen tussen je browser en de resolver (Cloudflare, Google, enz.), wat je internetprovider belet ze te lezen, ook als ze niet via een VPN lopen. Maar als de gebruikte DoH-resolver niet die van je VPN is, weet hij evenveel als je provider zonder DoH zou hebben geweten — het probleem verschuift eerder dan dat het wordt opgelost. Voor gebruik met VPN blijft de beste aanpak de VPN zijn eigen resolvers laten beheren, zonder een externe DoH erbovenop.
Als je VPN IPv6 niet ondersteunt in zijn tunnel, ja — anders kunnen je IPv6 DNS-aanvragen via je gewone verbinding blijven lopen, ook als de VPN voor IPv4 actief lijkt. Controleer in de VPN-app of IPv6 wordt beheerd: degelijke VPN's schakelen het automatisch uit op je systeem zodra ze actief zijn, of kapselen het netjes in. Zie onze tool Wat is mijn IP voor het detail over IPv4 versus IPv6.
Deze pagina bevat affiliate links. Als je via onze links een abonnement neemt, ontvangen wij een commissie — dat verandert nooit onze score of de prijs die jij betaalt. Zie ons affiliatiebeleid.