DNS и IP-адрес: в чём разница для сайта и VPN

Имя не равно адресу

Домен — это удобное имя. IP-адрес — техническая точка подключения. DNS — механизм, который связывает имя с ответом. VPN — отдельный маршрут, по которому пользовательский трафик может идти к внешним сервисам. Эти четыре слова часто оказываются в одной диагностике, но отвечают за разные вопросы.

Если пользователь говорит «VPN не поменял DNS» или «DNS не поменял IP», в формулировке уже смешаны слои. DNS может сказать, какой IP у домена. VPN может изменить внешний IP пользователя. Но DNS-запись сайта и внешний IP клиента — не одно и то же. Для общей границы полезно держать рядом материал о том, что защищает DNS, а что защищает VPN.

Как DNS приводит к IP

Когда сайт открывается по домену, система спрашивает DNS и получает ответ: например, A-запись с IPv4 или AAAA-запись с IPv6. После этого браузер уже подключается к IP. Если DNS отдаёт старый адрес, пользователь может попасть на старый сервер. Если DNS отдаёт новый адрес, но сервер не отвечает, проблема уже не в поиске имени.

Поэтому в диагностике сайта нельзя ограничиваться одной фразой «DNS работает». Нужно смотреть, какой домен спрашивали, какой тип записи проверяли, какой IP получили, у какого сервера спросили и что произошло после подключения. Подробный разбор типов записей есть в статье про A, AAAA, CNAME, MX и TXT без путаницы.

Где VPN меняет картину

VPN может изменить внешний IP пользователя, потому что трафик выходит в интернет через другой сервер. Но это не означает, что DNS сайта изменился. Если пользователь проверяет внешний IP, он проверяет видимость своего подключения. Если он проверяет DNS-запись домена, он проверяет инфраструктуру сайта. Оба результата важны, но их нельзя складывать в один вывод.

В пользовательской проверке VPN дополнительно смотрят DNS-резолвер и утечки. Даже если внешний IP изменился, DNS-запросы могут уйти не туда, куда ожидает пользователь. Поэтому диагностика подключения часто включает материал про DNS leak и WebRTC leak: он объясняет, почему внешний IP — только часть проверки.

Частая ошибка: искать проблему не на том конце

Администратор сайта может видеть, что домен ведёт на правильный IP, и считать, что жалоба пользователя не относится к DNS. Но у пользователя может быть старый кэш, корпоративный резолвер или IPv6-ответ. С другой стороны, пользователь может видеть новый внешний IP после VPN и считать, что весь трафик защищён, хотя приложение обращается к своему DNS или использует отдельный маршрут.

Разделение помогает задать правильные вопросы:

что показывает DNS по имени сайта;
какой IP видит пользователь снаружи;
через какой резолвер ушёл DNS-запрос;
какой маршрут использует приложение;
совпадает ли поведение в браузере и в нужной программе.

Мини-сценарий диагностики

Сайт после переноса открылся у администратора, но не у части клиентов. Проверка внешнего IP администратора ничего не дала: она показывала только его подключение. Затем команда отдельно посмотрела A и AAAA домена у авторитетного DNS-сервера, публичных резолверов и проблемного пользователя. Оказалось, что IPv4 уже обновился, а IPv6 всё ещё указывал на старый сервер.

Исправление было не в VPN и не в браузере, а в AAAA-записи. Этот случай хорошо показывает границу: DNS отвечает за то, какой адрес получило имя, IP показывает точку подключения, а VPN меняет маршрут пользователя, но не исправляет запись домена.

Проверка без смешивания слоёв

Для сайта:

1. проверить NS домена;

2. спросить A и AAAA у авторитетного сервера;

3. сравнить публичные резолверы;

4. подключиться к полученному IP;

5. проверить сертификат и HTTP-ответ.

Для VPN:

1. посмотреть внешний IP;

2. проверить DNS-резолвер;

3. проверить WebRTC в браузере;

4. открыть приложение, где нужен результат;

5. повторить тест в той сети, где возникла жалоба.

Почему один тест часто обманывает

Один сайт проверки IP не объясняет, как устроен весь путь. Он показывает только то, что увидел конкретный внешний сервис в момент запроса. Для сайта такой подход похож на проверку только главной страницы: можно увидеть успешный ответ и пропустить сломанный поддомен, старую AAAA-запись или другой сертификат. Для VPN это так же опасно: внешний IP может смениться, но DNS-запросы, WebRTC или отдельное приложение будут вести себя иначе. Поэтому IP-тест используют как начальную точку, а не как финальный verdict. Если важен пользовательский сценарий, проверка должна включать именно то приложение и ту сеть, где этот сценарий реально нужен.

Как различать адрес сайта, адрес сервера и внешний выход

Имя помогает найти назначение

Домен для VPN не является отдельным сетевым маршрутом. Домен для VPN сервера разрешается в предусмотренный адрес. Адрес VPN сервера задаёт точку подключения, а сайт VPN сервиса может работать на другом узле. Сравнение этих адресов без учёта ролей часто создаёт ложное впечатление, что профиль настроен неправильно.

После подключения виден другой участок

VPN меняет IP для трафика, который использует соответствующий выход. Как проверить IP на VPN: сравните одно приложение в одной сети. Раздельное туннелирование VPN может оставить исключения. Браузерный VPN может менять маршрут только браузера, поэтому внешний адрес отдельного мессенджера нужно проверять независимо.

Кто разрешает имена

DNS сервер для VPN и DNS для VPN клиента сверяют с конкретной конфигурацией. DNS для VPN на стороне домена относится к авторитетным записям. DNS вместо VPN не создаёт туннель для приложений. Полезно записать обе стороны схемы: откуда берётся IP нужного узла и каким путём затем идут данные.

Проверка ошибки

Профиль VPN сохраняют до изменения адресов. Ошибка сертификата VPN может возникнуть после подстановки IP вместо ожидаемого имени. VPN не подключается — слишком общий симптом без уточнения этапа. Проверить VPN соединение следует после раздельной проверки DNS, доступности порта и доверия к серверу, не заменяя все параметры одновременно.

FAQ о DNS и IP

DNS меняет IP пользователя?

Нет. DNS отвечает на вопрос о домене. Внешний IP пользователя меняется маршрутом подключения, например через VPN.

Почему сайт может открываться по IP, но не по домену?

Сервер доступен, но имя может вести не туда, быть закэшированным или иметь неверную DNS-запись.

VPN исправит неправильную DNS-запись сайта?

Нет. VPN может изменить путь пользователя, но не исправит зону домена.

Какой тест делать первым при жалобе?

Сначала понять, что именно проверяется: DNS сайта, внешний IP пользователя, DNS-резолвер или работа приложения.

Почему VPN соединение меняет внешний IP, а записи домена остаются прежними?

Внешний IP относится к выходу вашего трафика, а DNS-запись сайта — к адресу его сервера. Это разные стороны соединения. Туннель может использовать другой резолвер и получить иной ответ, но изменение клиентского IP само по себе не редактирует зону домена.

Почему DNS через VPN работает, а соединение по IP не проходит?

Разрешение имени и доступ к порту проверяются отдельно. DNS и VPN могут работать корректно, а нужный сервис — не слушать адрес или требовать определённое имя в TLS. Если подозреваете обход туннеля, нужна проверка утечки ВПН, а не замена IP в профиле без учёта протокола.

Источники

---