Průvodci

Kill switch a úniky: DNS, WebRTC, IPv6

Kill switch zablokuje veškerý internetový provoz v okamžiku, kdy VPN tunel vypadne, takže aplikace nemohou tiše přejít na vaše běžné připojení. Bez něj odhalí vaši skutečnou IP adresu i dvousekundový výpadek. A i když tunel běží, mohou ho obcházet DNS dotazy, WebRTC v prohlížeči a provoz přes IPv6. Každý z těchto úniků se dá jednoduše otestovat i opravit.

🛡️

Vypadlý tunel selhává „otevřeně“

Když se VPN spojení přeruší, operační systém tiše přesměruje provoz přes běžné rozhraní. Aplikace fungují dál a nic vás nevaruje. Kill switch mění otevřené selhání na uzavřené: bez tunelu žádný provoz.

🌍

K únikům dochází i s běžícím tunelem

DNS dotazy mohou mířit na resolver vašeho poskytovatele mimo tunel, WebRTC může webům prozradit vaše adresy a IPv6 může obejít tunel určený jen pro IPv4 — a to vše ve chvíli, kdy ikona VPN hlásí „připojeno“.

🔑

Každý únik se dá otestovat

Nemusíte věřit obrazovkám s nastavením. Test úniků ukáže, jaké adresy a resolvery weby skutečně vidí, a záměrné přerušení tunelu prozradí, zda kill switch obstojí.

Co se stane v okamžiku výpadku tunelu

Spojení selže otevřeně. VPN přidává směrovací pravidla, která vedou provoz do virtuálního síťového rozhraní. Když proces tunelu skončí nebo vyprší jeho časový limit, tato pravidla zmizí, zatímco výchozí trasa přes Wi-Fi nebo Ethernet zůstává — systém tedy dál doručuje pakety, teď už přímo přes vašeho poskytovatele. Aplikace během několika sekund znovu naváží spojení a odesílají provoz z vaší skutečné IP adresy, bez jediného chybového hlášení.

Výpadky jsou běžné. Přepnutí z Wi-Fi na mobilní data, probuzení notebooku z režimu spánku, nestabilní hotelová síť nebo restart VPN serveru — to vše tunel na okamžik přeruší. Kolik vás ten okamžik stojí, závisí na tom, zda smí ze zařízení cokoli odejít, dokud je tunel mimo provoz.

Co kill switch skutečně dělá

Kill switch je sada pravidel firewallu, žádné kouzlo. Přísná varianta povoluje jen dva druhy odchozího provozu: pakety vstupující do rozhraní tunelu a vlastní šifrované pakety VPN klienta směřující na server. Pokud tunel vypadne, provoz aplikací prostě nemá kam jít, dokud se tunel neobnoví.

Nebrání tedy selháním, ale mění jejich způsob. S kill switchem se výpadek stane pozastaveným připojením, kterého si všimnete; bez něj se stane provozem z vaší skutečné adresy, kterého si nevšimnete. Sítě nejsou dokonalé a tunel se i nadále bude přerušovat — uzavřené selhání ale tyto okamžiky zneškodní.

Systémový kill switch vs. přepínač uvnitř aplikace

Rozdíl je v tom, co se stane, když padne samotná aplikace. Kill switch v aplikaci je kód uvnitř VPN klienta, který sleduje tunel a při jeho výpadku blokuje provoz. Funguje jen po dobu, kdy klient běží: pokud klient spadne nebo ho ukončí optimalizace baterie, jeho ochrana zmizí s ním — přesně v okamžiku, kdy zmizí i tunel.

Systémový kill switch instaluje pravidla do firewallu samotného operačního systému, který kontroluje každý odchozí paket bez ohledu na to, jaké aplikace běží. Android to má vestavěné: trvale zapnutá VPN spolu s blokováním připojení bez VPN způsobí, že sám systém odmítne provoz mimo tunel, a to ještě před spuštěním aplikace po restartu. Jak je od sebe jednoduše rozeznat: vynuceně ukončete VPN aplikaci během prohlížení — pokud se stránky dál načítají, přepínač žije jen v aplikaci.

Úniky DNS: dotazy, které tunel obcházejí

Únik DNS znamená, že vaše překlady názvů míří na resolver přidělený místní sítí — obvykle resolver vašeho poskytovatele —, i když samotný provoz jde tunelem. Weby vidí adresu VPN, ale resolver dostává název každé stránky, kterou otevřete, což ve výsledku odpovídá záznamu o prohlížení. Klasickým viníkem je Windows: s několika aktivními rozhraními se může dotazovat všech najednou a použít to, které odpoví první.

Oprava má dvě části a dobrý klient zajistí obě: nasměruje systém na resolver uvnitř tunelu a zablokuje DNS na všech ostatních rozhraních, aby zbloudilý dotaz neměl kam jít. Pak si to ověřte: spusťte test úniků a zkontrolujte uvedené resolvery — pokud některý patří vašemu poskytovateli, dotazy unikají.

Úniky WebRTC: prohlížeč prozrazuje adresy

WebRTC je technologie prohlížeče, na níž stojí videohovory, a kterýkoli web ji může spustit několika řádky JavaScriptu. Aby mohla navázat přímá spojení, shromáždí všechny adresy, kterými by se dalo k vašemu počítači dostat: místní adresy a dotazem na STUN server i tu veřejnou. Stránka si tyto kandidáty přečte bez jakékoli vaší účasti.

U tunelu pro celé zařízení jde STUN požadavek uvnitř tunelu, takže zjistí adresu VPN. Nebezpečné jsou částečné konfigurace: proxy jen pro prohlížeč nebo rozdělené tunelování (split tunneling), které prohlížeč nechává mimo — tam UDP pakety WebRTC odcházejí přímo a prozradí vaši skutečnou IP adresu.

Místo úvah to raději otestujte: náš bezplatný nástroj na /webrtc-leak-test/ ukáže, jaké adresy váš prohlížeč právě teď prozrazuje. Pokud se mezi nimi objeví ta skutečná, přejděte na tunel pro celé zařízení nebo WebRTC v nastavení prohlížeče vypněte.

Úniky IPv6: tunel chrání jen IPv4

Mnoho konfigurací VPN přenáší pouze IPv4. Pokud vám poskytovatel přiděluje i IPv6 — což většina mobilních sítí dělá — systém si ponechá funkční cestu IPv6 mimo tunel a moderní systémy dávají IPv6 přednost, kdykoli web nabízí obojí. Výsledkem je selektivní odhalení: weby bez IPv6 vidí adresu VPN, weby s IPv6 vidí vaši skutečnou adresu a test omezený na IPv4 hlásí, že je vše v pořádku.

Existují dvě čistá řešení. To lepší je VPN, která IPv6 zvládá správně — tuneluje ho spolu s IPv4, nebo nainstaluje blokovací trasu, takže pakety IPv6 se zahazují, místo aby šly napřímo. Hrubší záložní varianta je vypnout IPv6 na zařízení nebo routeru. V každém případě si to ověřte: test úniků by neměl ukázat žádnou adresu IPv6, která nepatří VPN.

Jak správně otestovat své nastavení

Kontroly provádějte v podmínkách, které skutečně používáte — domácí Wi‑Fi, telefon na mobilních datech, síť v kavárně — protože úniky závisí na nastavení DNS a dostupnosti IPv6 v každé jednotlivé síti. Celý postup zabere zhruba pět minut:

Poznamenejte si svou skutečnou IP adresu s vypnutou VPN, připojte se a ověřte, že se změnily obě viditelné adresy, IPv4 i IPv6 — náš /data-leak-checker/ zobrazí IP, DNS resolvery i WebRTC v jednom kroku
Zkontrolujte seznam resolverů: každý zobrazený DNS server by měl patřit VPN, žádný vašemu poskytovateli
Záměrně přerušte tunel — vypněte a zapněte Wi‑Fi nebo aplikaci natvrdo ukončete — a sledujte, zda se stránky načítají dřív, než se tunel znovu připojí
Test opakujte po aktualizacích systému nebo aplikace VPN, protože obojí může nepozorovaně resetovat síťová nastavení

Časté dotazy

Potřebuji kill switch, když mám stabilní připojení?

Ano — záleží na výpadcích, které nečekáte: probuzení notebooku, přepnutí mezi Wi‑Fi a mobilními daty, restart na straně serveru. Stabilita snižuje, jak často se tunel přeruší, ne to, co se stane, když k tomu dojde. Dokud tunel běží, kill switch vás nic nestojí a zasáhne až při selhání.

Proč test úniků ukazuje IP adresu mé VPN, ale DNS servery mého poskytovatele?

To je klasický únik DNS: provoz jde tunelem, ale překlad názvů domén stále míří na resolver, který vám přidělila místní síť. Buď se klientovi nepodařilo přepsat systémový resolver, nebo se systém dotazuje několika rozhraní souběžně. Zapněte v klientovi ochranu DNS, znovu se připojte a test zopakujte.

Může WebRTC odhalit mou adresu, i když je VPN připojená?

S tunelem pro celé zařízení zpravidla ne — zjišťovací provoz WebRTC jde uvnitř tunelu a najde adresu VPN. Úniky se objevují u částečných řešení: proxy v prohlížeči, rozšíření nebo split tunneling, který prohlížeč ponechá mimo tunel. Test WebRTC to rozhodne během pár sekund.

Mám IPv6 prostě úplně vypnout?

Jako hrubé řešení to funguje a v sítích, kde vaše VPN IPv6 nezvládne, je to pragmatická volba — prakticky každá služba je stále dostupná přes IPv4. Čistší odpovědí je VPN, která IPv6 sama tuneluje nebo blokuje, takže ochrana zůstane zachována bez zásahů na každém zařízení.

Odpojí mě kill switch od internetu, když se odpojím záměrně?

Dobře navržený klient při stisknutí tlačítka pro odpojení své blokovací pravidla odstraní, takže běžný provoz ihned pokračuje; blokování je určeno pro nečekané výpadky. Některé klienty nabízejí i přísnější režim, ve kterém neprojde žádný provoz, dokud tunel neběží — hodí se na zařízení, které ho nikdy nemá obcházet.

Jak často mám test úniků opakovat?

Testujte po všem, co se dotýká sítě: aktualizace systému, aktualizace aplikace VPN, nový prohlížeč, neznámá síť, změna nastavení routeru. Každá z těchto věcí může resetovat chování DNS nebo znovu zapnout IPv6. Kompletní kontrola zabere pět minut, proto testujte na každé nové síti a po aktualizacích, ne podle kalendáře.

Čtěte dál

VPN na routeru

Když VPN tunel přesunete na router, ochráníte najednou všechna zařízení v síti — včetně televizí, herních konzolí a chytrých reproduktorů, do kterých nelze nainstalovat aplikaci. Kompromisy jsou ale reálné: propustnost omezuje procesor routeru, celá domácnost vystupuje do internetu přes jednu zemi a hledání chyb je složitější. V tomto průvodci vysvětlíme jednotlivá nastavení a pomůžeme vám s rozhodnutím.

VPN na cesty

Na cestách VPN šifruje váš provoz na hotelové a letištní Wi-Fi, zajišťuje, že se vaše účty zdánlivě připojují ze známé země, a zpřístupňuje služby, které se v zahraničí chovají jinak. Není to však všelék: streamovací platformy rozpoznávají adresy serverů a místní pravidla se v jednotlivých zemích liší. Nejdůležitější pravidlo zní — vše si nastavte a otestujte ještě před odjezdem.

Co je VPN

VPN (virtuální privátní síť) vytváří šifrovaný tunel mezi vaším zařízením a vzdáleným serverem a váš provoz z tohoto serveru vychází do internetu. Váš poskytovatel internetu přestane vidět, které weby navštěvujete, a weby místo vaší IP adresy vidí adresu serveru. Je to nástroj na ochranu soukromí, ne plášť neviditelnosti.

Vyzkoušet Aurora

14denní záruka vrácení peněz. Až 7 zařízení na jedno předplatné.

Chránit moje zařízení