Если совсем просто.
Сайты могут открываться через VPN, а вопросы об их адресах обрабатываться отдельно. Поэтому новый IP в браузере ещё не показывает, как работает DNS. Термин «утечка» имеет смысл относительно ожидаемого поведения: корпоративный split DNS и полный потребительский туннель предъявляют разные требования. Любой незнакомый резолвер в отчёте нельзя автоматически объявить утечкой.
До подключения тест показывает резолвер провайдера, после — другой адрес. Это полезная отправная точка. Но если во время перехода на мобильную сеть вновь появляется исходный оператор, повторите проверку и сравните время с состоянием клиента. Единичное несоответствие может быть связано с кэшем, выбранным приложением или переходным состоянием; воспроизводимый выход вне требуемого туннеля заслуживает отдельного исправления.
Как это работает.
Источников DNS-настроек несколько: сеть, операционная система, VPN-приложение, браузер и иногда отдельная программа. При запуске, разрыве или смене сети приоритеты могут меняться. Браузерный DoH способен обходить системный резолвер, но его HTTPS-соединение при этом может оставаться внутри VPN. Здесь нужно различать получателя DNS и маршрут до него. Тест с сайта обычно видит, какие резолверы запросили специально созданные тестовые имена, а не всю конфигурацию устройства.
Если DNS-тест показывает известную публичную компанию, сначала выясните, не настроен ли её сервис в браузере. Не заменяйте его случайным адресом из комментариев. Определите желаемую политику, проверьте её в конкретной сети и сохраните понятный способ возврата исходных настроек.
Почему это важно.
Проверьте настройки защищённого DNS в браузере, системные значения и политику VPN. Выполните наблюдения при подключении, после сна и после смены сети. Не вводите внутренние домены компании на посторонних сайтах проверки. Для диагностики достаточно безопасного тестового имени, а сетевые журналы перед отправкой в поддержку нужно очистить от личных адресов, токенов и имён внутренних ресурсов. В итоговом выводе полезно написать не «утечек никогда нет», а «в проверенных состояниях DNS соответствует выбранной политике». Затем перечислить эти состояния и версии. Так результат остаётся применимым и проверяемым, не выдаёт ограниченный тест за вечную гарантию и помогает заметить изменение поведения после обновления клиента.
Узнать больше.
Продолжи с соседних понятий или загляни в документацию.
Практический разбор
Продолжение темы: практическое руководство.