Безопасный DNS: что такое DoH и DoT и как их включить

Что такое DNS и что видит провайдер

DNS (Domain Name System) переводит имя сайта в IP-адрес: прежде чем открыть страницу, устройство спрашивает у DNS-сервера, куда подключаться. По умолчанию запрос уходит открытым текстом по UDP на порт 53 — на сервер, который выдал провайдер или роутер. Прочитать его можно без всякого взлома: достаточно стоять на пути пакета.

Кто стоит на пути? Дома — интернет-провайдер и мобильный оператор. В кафе, гостинице или аэропорту — владелец точки доступа и любой, кто подключён к той же сети со сниффером. Даже если сайт работает по HTTPS и содержимое страниц зашифровано, имена доменов в DNS-запросах остаются читаемыми: список того, что вы открывали, с точным временем собирается без усилий. Открытый DNS ещё и подменяют: поддельный ответ приведёт на фишинговую копию сайта или на страницу с «обновлением» — в публичном Wi-Fi это самый дешёвый приём для атакующего, подробнее в статье о защите данных в открытом Wi-Fi.

Безопасный DNS решает обе проблемы: запросы шифруются, и посторонний не может ни прочитать, ни подменить их. Распространённых способов три — DoH, DoT и DNSCrypt, у каждого своя ниша.

DoH, DoT и DNSCrypt: чем отличаются

DoT (DNS over TLS) описан в RFC 7858 в 2016 году. Устройство открывает TLS-соединение с DNS-сервером на TCP-порт 853 и передаёт внутри обычные DNS-сообщения. Просто и прозрачно, но сам факт использования DoT виден со стороны: трафик на порт 853 — это точно DNS, пусть и нечитаемый. В сетях, где этот порт закрыт, DoT не работает.

DoH (DNS over HTTPS) — RFC 8484, 2018 год. Запросы упаковываются в HTTPS-обмен на порт 443, обычно по адресу вида https://dns.example/dns-query. Со стороны это неотличимо от загрузки сайта, поэтому DoH работает почти в любой сети. Плата — чуть больше накладных расходов и то, что браузер может использовать собственный DoH-сервер независимо от системы.

DNSCrypt — более старый протокол со своей криптографией, не оформленный как стандарт IETF. Работает поверх UDP или TCP, чаще на порту 443, требует отдельного клиента (например, dnscrypt-proxy) и поддерживается частью роутеров и приложений. Отдельно развивается DoQ (DNS over QUIC, RFC 9250) на UDP-порту 853 — его понимают некоторые публичные резолверы и клиенты.

Что выбрать? Для телефона — то, что даёт система: на Android это «Приватный DNS» (DoT, а на новых версиях для известных серверов — DoH поверх HTTP/3), на iPhone — профиль с DoH или DoT. На компьютере проще всего DoH: его поддерживают Windows 11 и все крупные браузеры. DNSCrypt имеет смысл, когда вы и так ставите dnscrypt-proxy на роутер или домашний сервер.

Как включить безопасный DNS на устройствах

Android

1. Откройте «Настройки» → «Сеть и интернет» (на некоторых прошивках — «Подключения» или «Дополнительно») → «Приватный DNS».
2. Выберите «Имя хоста поставщика частного DNS» и введите имя сервера, которое публикует ваш DNS-сервис, например dns.google или one.one.one.one. Нужно именно имя хоста, не IP-адрес.
3. Сохраните. Если имя введено с ошибкой или сервер не поддерживает DoT, Android покажет предупреждение, а интернет перестанет работать — вернитесь и исправьте.

Настройка действует для всех приложений и во всех сетях, Wi-Fi и мобильных. Режим «Автоматически» шифрует запросы, только если это умеет DNS-сервер текущей сети, — на практике почти никогда.

iPhone и iPad

В iOS переключателя нет: шифрованный DNS для всей системы включается конфигурационным профилем с DNS-настройками (с iOS 14). Профиль выдаёт DNS-провайдер, либо его устанавливает приложение провайдера. Посмотреть и удалить профиль можно в «Настройки» → «Основные» → «VPN и управление устройством». Пока включён туннель WireGuard, действует DNS из его конфига.

Windows 11

1. «Параметры» → «Сеть и Интернет» → ваше подключение (Wi-Fi или Ethernet) → «Свойства оборудования».
2. В строке «Назначение DNS-сервера» нажмите «Изменить», переключите на «Вручную», включите IPv4.
3. Введите адреса основного и дополнительного DNS и в списке «DNS через HTTPS» выберите «Вкл. (автоматический шаблон)» или «Только зашифрованный».
4. Сохраните: рядом с адресами появится пометка «(Зашифровано)».

Автоматический шаблон Windows знает для нескольких крупных публичных резолверов; для остальных адрес DoH-шаблона добавляют командой netsh dns add encryption. В Windows 10 системного DoH нет — там используйте DoH в браузере или на роутере.

Браузеры

• Chrome: «Настройки» → «Конфиденциальность и безопасность» → «Безопасность» → «Использовать безопасный DNS-сервер». Можно оставить текущего провайдера, если он поддерживает DoH, или выбрать сервер из списка. В Edge и других браузерах на Chromium пункт называется похоже и лежит в настройках безопасности.
• Firefox: «Настройки» → «Приватность и защита» → блок «DNS через HTTPS» — уровни «Повышенная» или «Максимальная защита» с выбором сервера.
• Safari собственных настроек DNS не имеет и использует системные — то есть профиль на iPhone и Mac.

Браузерный DoH защищает только запросы самого браузера. Мессенджеры, почта, игры и системные службы продолжают ходить в открытый DNS.

Роутер

Роутер с шифрованным DNS закрывает вопрос для всех устройств дома, включая телевизор и умные колонки, которые сами шифровать DNS не умеют. В Keenetic это компоненты «DNS-over-TLS» и «DNS-over-HTTPS» и настройка серверов DNS в разделе «Интернет-фильтр»; в MikroTik RouterOS — IP → DNS, поле «Use DoH Server» (нужен корневой сертификат); в OpenWrt — пакеты https-dns-proxy или stubby; в ASUS — параметр «DNS Privacy Protocol» → DNS-over-TLS в настройках WAN. Если названия пунктов в вашей прошивке другие, ищите их в разделе настроек DNS. Роутер заодно может держать и туннель для всей квартиры — об этом в статье VPN для роутера.

Безопасный DNS и VPN: как они сочетаются

Внутри туннеля WireGuard отдельное шифрование DNS не требуется. В конфиге есть строка DNS с адресом резолвера на стороне VPN-сервера, и все запросы имён вместе с остальным трафиком уходят по шифрованному каналу. Провайдер и владелец Wi-Fi видят только поток UDP-пакетов к одному адресу — ни доменов, ни содержимого. Так работает и Muhomor VPN: в готовом конфиге прописан DNS туннеля, после импорта файла ничего дополнительно включать не нужно. Как устроена эта строка и что будет при её удалении, разобрано в статье о конфиге WireGuard.

Разница между подходами — в охвате. DoH и DoT шифруют только DNS: сайты по-прежнему видят ваш IP, а провайдер — адреса серверов, к которым вы подключаетесь, и имена в TLS-заголовке SNI, которые шифруются пока далеко не везде. VPN закрывает и трафик, и DNS, и адрес. Отсюда логика: безопасный DNS — базовая гигиена на каждый день, VPN — когда важно скрыть от сети всё.

Держать включёнными оба можно, конфликтов не будет. Если в браузере настроен DoH к конкретному серверу, при поднятом туннеле запросы к нему пойдут внутри туннеля, а сервис проверки утечек покажет этот сервер вместо резолвера VPN — это не утечка. Нюанс касается раздельного туннелирования, когда часть трафика идёт напрямую: браузерный DoH может давать ответы, не согласованные с логикой разделения. Если сайты ведут себя странно, верните DoH в браузере в положение по умолчанию.

Как проверить, что DNS зашифрован и не утекает

Проверка занимает минуту. Откройте сайт проверки DNS-утечек (популярны dnsleaktest.com и ipleak.net) и запустите расширенный тест: он покажет, какие серверы на самом деле резолвят ваши запросы. Норма — только тот сервер, который вы настроили, или резолвер VPN, если включён туннель. Серверы вашего провайдера в списке означают, что часть запросов идёт открытым текстом.

• Windows 11 показывает пометку «(Зашифровано)» рядом с DNS в свойствах подключения.
• Android в пункте «Приватный DNS» выводит имя сервера без предупреждений; при ошибке появляется надпись о невозможности подключения.
• Firefox: на странице about:networking#dns в столбце TRR значение «true» напротив домена означает, что запрос ушёл по DoH.
• Роутер: в журнале соединений должны быть подключения к DNS-серверу на порт 853 или 443, а не на 53.

Полный сценарий — с проверкой IP, WebRTC и IPv6 — описан в статье о проверке утечек DNS и IP. Повторяйте тест после смены сети: в гостиничном Wi-Fi или у нового оператора настройки могут вести себя иначе.

Слабые места и типичные ошибки

• Безопасный DNS не скрывает IP. Сайты и рекламные трекеры по-прежнему видят ваш адрес, провайдер — адреса серверов и SNI. За этим — уже к VPN.
• Оператор DNS-сервера видит всё. Шифрование защищает канал до резолвера, а не от него. Выбирайте сервис, чьей политике доверяете; для VPN-туннеля это резолвер самого сервиса.
• Строгий DoT мешает captive portal. Страница авторизации в гостинице или аэропорту может не открыться, пока «Приватный DNS» задан именем хоста. Переключите на «Автоматически», авторизуйтесь и верните обратно.
• Порт 853 закрыт в сети. Признак — DoT не подключается, а браузер с DoH работает. Переходите на DoH.
• Опечатка в имени хоста на Android отключает интернет целиком — система не откатывается на открытый DNS сама.
• Ошибка на роутере роняет DNS для всей квартиры. Настраивайте по проводу, держите резервный сервер и убирайте его только после проверки.
• Двойное шифрование не ускоряет. DoH в браузере поверх системного DoT работает, но добавляет лишний резолвер и усложняет диагностику — выбирайте один уровень.

Чек-лист безопасного DNS

1. На телефоне включён «Приватный DNS» (Android) или установлен DNS-профиль (iPhone).
2. На компьютере — DoH в Windows 11 или в браузере.
3. На домашнем роутере настроен DoT или DoH — тогда защищены телевизор и умный дом.
4. При включённом WireGuard ничего дополнительно не нужно: DNS из конфига идёт внутри туннеля. Если хотите закрыть всё сразу, оформите пробный доступ Muhomor VPN на главной — 3 дня бесплатно, без карты, конфиг придёт на e-mail.
5. После смены сети — минутный тест на утечку DNS.
6. Раз в год пересматривайте, какому DNS-сервису доверяете, и проверяйте, что настройки не сбросились после обновления системы.