# DNS 누수(DNS Leak) 방지

DNS 누수(DNS Leak)란 VPN(가상 사설망)이나 프록시 서버를 사용하여 네트워크 트래픽을 암호화하고 IP 주소를 숨겼음에도 불구하고, DNS 질의 요청이 암호화된 터널 외부의 기본 DNS 서버로 전송되는 현상을 말합니다. 이로 인해 사용자의 실제 신원과 방문 기록이 ISP(인터넷 서비스 제공자) 등에 노출될 수 있습니다.

## 1. DNS 누수란 무엇인가?

### 1.1 DNS 질의 과정
일반적인 웹 서핑 시, 사용자가 브라우저에 `www.example.com`과 같은 도메인 이름을 입력하면 컴퓨터는 이를 이해할 수 있는 IP 주소(예: `93.184.216.34`)로 변환해야 한다. 이 과정을 **DNS 질의(DNS Query)**라고 하며, 기본적으로 운영체제(OS)에 설정된 DNS 서버(보통 인터넷 서비스 제공자, ISP의 서버)에 요청을 보내 응답을 받는다.

### 1.2 누수 발생 메커니즘
VPN을 사용하면 모든 데이터 트래픽이 암호화된 터널을 통해 VPN 서버로 전송되어 사용자의 실제 IP가 숨겨진다. 하지만 일부 설정 오류나 OS의 기본 동작 방식(예: Windows의 스마트 멀티홈 DNS)으로 인해, 데이터 패킷은 VPN 터널로 가지만 **DNS 질의 요청만은 VPN 터널을 우회하여 ISP의 DNS 서버로 직접 전송**되는 경우가 발생한다. 결과적으로 VPN 서버는 사용자의 트래픽을 보호하지만, ISP는 사용자가 어떤 사이트에 접속하려 하는지 모든 기록을 알 수 있게 된다.

## 2. DNS 누수가 위험한 이유

DNS 누수가 발생하면 VPN을 사용하는 핵심 목적인 '익명성'과 '프라이버시'가 심각하게 훼손된다.

*   **프라이버시 침해:** ISP(인터넷 서비스 제공자)가 사용자의 모든 웹 방문 기록을 수집하고 분석할 수 있다.
*   **추적 및 프로파일링:** 광고 네트워크나 제3자가 DNS 쿼리 기록을 통해 사용자의 관심사와 행동 패턴을 추적할 수 있다.
*   **검열 및 차단:** 국가 수준의 방화벽이 DNS 질의 내용을 감시하여 특정 사이트 접속을 차단하거나 사용자를 식별할 수 있다.

### [표] 일반 DNS 질의 vs DNS 누수 발생 시 데이터 흐름

| 구분 | 일반 DNS 질의 (VPN 미사용) | DNS 누수 발생 (VPN 사용 중) | 정상적인 VPN DNS 질의 |
| :--- | :--- | :--- | :--- |
| **데이터 경로** | 사용자 $\rightarrow$ ISP DNS $\rightarrow$ 웹사이트 | 사용자 $\rightarrow$ **ISP DNS** $\rightarrow$ 웹사이트 | 사용자 $\rightarrow$ **VPN 터널** $\rightarrow$ VPN DNS $\rightarrow$ 웹사이트 |
| **IP 노출 여부** | 실제 IP 노출 | 실제 IP 노출 (DNS 요청 시) | VPN IP로 은폐 |
| **방문 기록** | ISP가 모두 기록 | **ISP가 모두 기록** | VPN 제공자만 기록 (로그 미저장 시 안전) |
| **보안 수준** | 낮음 | **낮음 (익명성 상실)** | 높음 |

**참고:** 정상적인 VPN DNS 질의 시에는 데이터가 VPN 제공자에게 전달됩니다. 따라서 VPN 서버로의 누수를 막더라도, VPN 업체가 사용자의 활동 기록을 저장한다면 프라이버시 위험이 여전합니다. 반드시 **'노로그(No-logs) 정책'을 준수하는 신뢰할 수 있는 VPN 서비스**를 선택하는 것이 중요합니다.

## 3. DNS 누수 확인 방법

자신의 네트워크 환경에서 누수가 발생하는지 확인하려면, 외부의 독립적인 DNS 테스트 서버를 통해 응답하는 DNS 서버의 위치와 소유자를 확인해야 한다.

### 3.1 DNS 누수 테스트 사이트 목록
다음 사이트들에 접속하여 'Standard test' 또는 'Extended test'를 수행한다.
*   **DNSLeakTest.com:** 가장 널리 쓰이는 도구로, 응답하는 DNS 서버의 국가와 ISP 정보를 상세히 보여준다.
*   **BrowserLeaks.com/dns:** 브라우저 수준의 누수 및 WebRTC 누수를 함께 확인할 수 있다.
*   **ipleak.net:** IP 주소와 DNS 서버 정보를 동시에 확인 가능하며, IPv6 누수 여부를 판단하기 좋다.

### 3.2 확인 절차
1. VPN을 연결하지 않은 상태에서 테스트 사이트에 접속하여 현재 사용 중인 ISP DNS 서버를 확인한다.
2. VPN을 연결한 후 다시 테스트를 수행한다.
3. 결과 화면에 **자신의 실제 ISP 이름이나 거주 국가의 서버가 나타난다면 DNS 누수가 발생**하고 있는 것이다. (정상적인 경우 VPN 제공업체의 서버나 VPN 서버가 위치한 국가의 서버만 나타나야 한다.)

## 4. DNS 누수 방지 및 해결 방법

### 4.1 VPN 설정 변경
대부분의 유료 VPN 서비스는 'DNS 누수 보호(DNS Leak Protection)' 기능을 제공한다.
*   **설정 방법:** VPN 앱의 `설정(Settings)` $\rightarrow$ `보안/개인정보 보호(Privacy/Security)` $\rightarrow$ `DNS Leak Protection` 활성화.
*   **주요 서비스별 설정 경로:**
    *   **NordVPN:** `Settings` $\rightarrow$ `Connection` $\rightarrow$ `Custom DNS`
    *   **ExpressVPN:** `Options` $\rightarrow$ `General` $\rightarrow$ `DNS Leak Protection`
    *   **Surfshark:** `Settings` $\rightarrow$ `VPN Settings` $\rightarrow$ `DNS`

### 4.2 OS 수준의 수동 DNS 설정
ISP DNS 대신 구글(8.8.8.8)이나 클라우드플레어(1.1.1.1)와 같은 공용 DNS를 수동으로 설정하여 ISP의 감시를 피할 수 있다.

**Linux (Ubuntu/Debian) 설정 예시:**
`/etc/resolv.conf` 파일을 수정하여 DNS 서버를 지정한다.
```bash
# 터미널에서 편집기 실행
sudo nano /etc/resolv.conf

# 기존 내용을 주석 처리하고 아래 내용 추가 (Cloudflare DNS 예시)
nameserver 1.1.1.1
nameserver 1.0.0.1
```
**주의:** 최신 Ubuntu 등 일부 배포판에서는 `/etc/resolv.conf` 수정 사항이 일시적일 수 있으며, `netplan`이나 `systemd-resolved` 설정을 통해 영구 적용해야 합니다.

### 4.3 브라우저 '보안 DNS(DoH)' 설정
브라우저 자체에서 DNS 질의를 암호화하여 전송하는 기능을 활성화한다.
*   **Chrome:** 설정 $\rightarrow$ 개인정보 및 보안 $\rightarrow$ 보안 $\rightarrow$ '보안 DNS 사용' $\rightarrow$ '사용자 지정'에서 Cloudflare 또는 Google 선택.
*   **Firefox:** 설정 $\rightarrow$ 일반 $\rightarrow$ 네트워크 설정 $\rightarrow$ 'HTTPS를 통한 DNS 사용(DNS over HTTPS)' 활성화.

### 4.4 IPv6 및 WebRTC 누수 방지 설정
많은 VPN이 IPv4 트래픽만 터널링하고 IPv6나 WebRTC 트래픽은 그대로 두어, 실제 위치가 노출되는 경우가 많다.

**IPv6 비활성화:**
*   **Windows:** 제어판 $\rightarrow$ 네트워크 및 공유 센터 $\rightarrow$ 어댑터 설정 변경 $\rightarrow$ 네트워크 속성 $\rightarrow$ **'인터넷 프로토콜 버전 6(TCP/IPv6)' 체크 해제**.
*   **macOS:** 시스템 설정 $\rightarrow$ 네트워크 $\rightarrow$ 고급 $\rightarrow$ TCP/IP $\rightarrow$ IPv6 구성 $\rightarrow$ **'꺼짐(Off)' 또는 '링크 로컬 전용'으로 변경**.

**WebRTC 누수 방지:**
WebRTC는 브라우저가 실시간 통신을 위해 사용하는 기술로, VPN을 사용하더라도 실제 로컬/공인 IP를 노출시킬 수 있다.
*   **Firefox:** 주소창에 `about:config` 입력 $\rightarrow$ `media.peerconnection.enabled` 검색 $\rightarrow$ 값을 `false`로 변경.
*   **Chrome/Edge:** 브라우저 자체 설정으로는 완전 차단이 어려우므로, 'WebRTC Leak Prevent'와 같은 확장 프로그램을 설치하여 제어한다.

## 5. 고급 보안 기술: DoH와 DoT

단순히 DNS 서버 주소를 바꾸는 것은 질의 내용이 평문(Plaintext)으로 전송되기 때문에 중간자 공격(MITM)에 취약하다. 이를 해결하기 위해 통신 구간 자체를 암호화하는 기술이 도입되었다.

*   **DoH (DNS over HTTPS):** DNS 질의를 HTTPS 프로토콜 내에 캡슐화하여 전송한다. 일반적인 웹 트래픽(포트 443)과 구분이 불가능하여 검열을 우회하는 데 매우 효과적이다.
*   **DoT (DNS over TLS):** DNS 질의를 TLS(Transport Layer Security) 암호화 계층으로 감싸 전송한다. 전용 포트(853)를 사용하여 네트워크 관리자가 DNS 트래픽임을 식별할 수 있지만, 보안성은 매우 높다.

### [표] 전통적 DNS vs DoH vs DoT 비교

| 항목 | 전통적 DNS (UDP/TCP) | DoH (DNS over HTTPS) | DoT (DNS over TLS) |
| :--- | :--- | :--- | :--- |
| **암호화 여부** | 미암호화 (평문) | 암호화 (HTTPS) | 암호화 (TLS) |
| **사용 포트** | 53 | 443 | 853 |
| **프라이버시** | 매우 낮음 | 매우 높음 | 매우 높음 |
| **검열 우회** | 불가능 | 매우 용이 (웹 트래픽 위장) | 보통 (포트 차단 가능) |
| **주요 구현** | OS 기본 설정 | 웹 브라우저, 최신 OS | 안드로이드(Private DNS) |

## 6. 요약 및 체크리스트

안전한 네트워크 환경을 유지하기 위해 다음 항목을 주기적으로 점검하십시오.

- [ ] **DNS 누수 테스트 수행:** `dnsleaktest.com` 등에서 내 실제 ISP 서버가 노출되는지 확인했는가?
- [ ] **VPN 설정 확인:** VPN 앱 내 'DNS 누수 보호' 기능이 활성화되어 있는가?
- [ ] **IPv6 설정 점검:** VPN이 IPv6를 지원하지 않는 경우, OS 설정에서 IPv6를 비활성화했는가?
- [ ] **WebRTC 설정 점검:** 브라우저 설정이나 확장 프로그램을 통해 WebRTC 누수를 차단했는가?
- [ ] **보안 DNS 적용:** 브라우저에서 DoH(DNS over HTTPS) 설정을 활성화했는가?
- [ ] **신뢰할 수 있는 DNS 사용:** ISP 기본 DNS 대신 신뢰할 수 있는 공용 DNS(1.1.1.1, 8.8.8.8 등)를 설정했는가?