DNS leak je situace, kdy VPN klient sice korektně tuneluje veškerý síťový provoz, ale DNS dotazy (překlad doménových jmen na IP adresy) jdou přímo na DNS servery poskytovatele internetu, mimo šifrovaný tunel. Důsledek: ISP nebo lokální Wi-Fi router sice nevidí obsah komunikace (HTTPS funguje), ale vidí seznam navštívených domén — a to často stačí pro profilování uživatele, geo-restrikce a v některých zemích i pro právní stíhání (typicky torrent stránky, aktivistický obsah).
Příčiny DNS leaků jsou tři. Operační systém ignoruje VPN DNS nastavení — typický problém Windows 10/11, kdy systém preferuje rychlejší DNS server pomocí „smart multi-homed name resolution" a obejde VPN. IPv6 leak — VPN aplikace tuneluje IPv4 traffic, ale zařízení má aktivní IPv6 stack, který ISP DNS používá přímo. WebRTC leak v prohlížečích — STUN protokol odesílá lokální IP přes WebRTC, což může vést k odhalení reálné identity i přes VPN tunel.
Obrana má dvě úrovně. VPN provozovatel musí mít vlastní DNS infrastrukturu (ne sdílet Cloudflare 1.1.1.1 nebo Google 8.8.8.8) a force-routovat DNS dotazy přes tunel. VPN klient musí aktivně přepsat systémové DNS nastavení a zablokovat všechny dotazy, které neprocházejí tunelem. Test je triviální: na dnsleaktest.com spustíte rozšířený test a ověříte, jestli vidíte jen IP adresy ze zemí VPN výstupního serveru, nebo i ze své reálné lokality.
V dubnu 2026 mají všechny Tier 1 VPN v našem sample DNS leak protection nativně. Mullvad jde nejdál — provozuje vlastní DNS, ne shared infrastruktura. Proton VPN a NordVPN mají vlastní rekurzivní resolvery. Pro hodnocení je DNS leak protection součástí kritéria K1 Bezpečnost a no-logs (váha 0,25 v naší metodice).