Обновлено: 21 ноября 2025 г.

DNS - одно из слабых мест приватности. Даже с VPN ваши DNS-запросы могут раскрывать посещаемые сайты. Разберёмся, как это работает и как защититься.

Что такое DNS и почему это важно

Как работает DNS

DNS (Domain Name System) - «телефонная книга» интернета. Переводит понятные имена в IP-адреса:

google.com → 142.250.185.78

Каждый раз, когда вы открываете сайт, устройство спрашивает DNS-сервер: «Какой IP у этого домена?»

Проблема: DNS-запросы не зашифрованы

Традиционный DNS работает в открытом виде:

Вы: "Какой IP у protonmail.com?"
DNS: "185.70.42.31"

Кто видит эти запросы:

Ваш провайдер
Администратор WiFi-сети
Любой, кто перехватывает трафик

Они не видят, что вы делаете на сайте (если HTTPS), но видят, какие сайты вы посещаете.

DNS-утечки при использовании VPN

Даже с VPN DNS-запросы могут идти мимо туннеля:

Весь трафик → VPN-туннель (защищён)
DNS-запросы → Напрямую к провайдеру (не защищены)

Это называется DNS-утечка. Провайдер видит, какие сайты вы посещаете, хотя VPN включён.

Решения: шифрованный DNS

DNS over HTTPS (DoH)

DNS-запросы передаются внутри HTTPS-соединения на порт 443.

Плюсы:

Выглядит как обычный HTTPS-трафик
Сложно заблокировать
Поддерживается браузерами

Минусы:

Небольшая задержка
Зависимость от провайдера DoH

DNS over TLS (DoT)

DNS-запросы шифруются TLS на выделенном порту 853.

Плюсы:

Чистый протокол, без HTTP-оверхеда
Легче анализировать проблемы

Минусы:

Легко заблокировать (отдельный порт)
Меньше поддержки в браузерах

DNS over QUIC (DoQ)

Новый протокол на основе QUIC. Быстрее DoT, сложнее блокировать.

Сравнение

Протокол	Порт	Скрытность	Скорость	Поддержка
DoH	443	Высокая	Средняя	Широкая
DoT	853	Низкая	Высокая	Средняя
DoQ	853/8853	Средняя	Высокая	Ограничена

Настройка на разных устройствах

Windows 11

Системный уровень (DoH):

Настройки → Сеть и интернет → WiFi/Ethernet
Свойства подключения → Редактировать DNS
Вручную → IPv4
DNS: 1.1.1.1
Шифрование: «Только зашифрованные (DNS over HTTPS)»

Windows 10

Встроенной поддержки DoH нет. Варианты:

Обновиться до Windows 11
Использовать приложение (Cloudflare WARP, NextDNS)
Настроить в браузере

macOS

Системный уровень:

Скачайте профиль с сайта провайдера (например, 1.1.1.1)
Откройте профиль → Установить
Системные настройки → Профили → Подтвердить

Через терминал:

networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1

iOS

Профиль:

Safari → откройте 1.1.1.1/dns (для Cloudflare)
Скачайте профиль
Настройки → Профиль загружен → Установить

Приложение: Установите 1.1.1.1 из App Store.

Android

Android 9+:

Настройки → Сеть и интернет → Частный DNS
Имя хоста: one.one.one.one (Cloudflare) или dns.google

Приложение: Установите 1.1.1.1 или Intra из Google Play.

Linux

systemd-resolved:

sudo nano /etc/systemd/resolved.conf

[Resolve]
DNS=1.1.1.1
DNSOverTLS=yes

sudo systemctl restart systemd-resolved

Роутер

Зависит от модели. Общий принцип:

Войдите в настройки роутера
Найдите раздел DNS
Укажите адреса DoT-сервера
Включите DNS over TLS (если поддерживается)

Keenetic: Поддерживает DoH и DoT из коробки.

ASUS с Merlin: Поддерживает DoT.

OpenWrt: Установите пакет https-dns-proxy для DoH.

Настройка в браузерах

Chrome

Настройки → Конфиденциальность и безопасность → Безопасность
«Использовать безопасный DNS» → Включить
Выберите провайдера или укажите свой

Firefox

Настройки → Приватность и защита
Прокрутите до «DNS over HTTPS»
Выберите «Максимальная защита»
Выберите провайдера

Edge

Настройки → Конфиденциальность, поиск и службы
«Использовать безопасный DNS» → Включить
Выберите провайдера

Safari

Использует системные настройки macOS/iOS.

Проверка настройки

Тест DNS-утечек

Откройте dnsleaktest.com
Нажмите «Extended test»
Проверьте результаты

Хороший результат:

Только серверы выбранного DNS-провайдера
Нет серверов вашего ISP

Плохой результат:

Серверы вашего провайдера
Смесь разных DNS-серверов

Проверка шифрования

Откройте 1.1.1.1/help (для Cloudflare)
Проверьте статус DoH/DoT

DNS-фильтрация

Что это

DNS-фильтрация блокирует домены на уровне DNS-запросов:

Рекламные сети
Трекеры
Вредоносные сайты
Взрослый контент (родительский контроль)

Как работает

Запрос: "Какой IP у ads.example.com?"
Ответ: "0.0.0.0" (заблокировано)

Браузер не может загрузить рекламу, потому что не знает адрес.

DNS и VPN

Как они связаны

Хороший VPN:

Направляет DNS через туннель
Использует свои DNS-серверы
Предотвращает утечки

Проверка VPN на DNS-утечки

Подключитесь к VPN
Откройте dnsleaktest.com
Запустите расширенный тест

Ожидаемый результат:

DNS-серверы VPN-провайдера
Или выбранные вами DoH/DoT серверы
Никаких серверов вашего ISP

Если утечка есть

Проверьте настройки VPN-клиента (DNS leak protection)
Вручную настройте DNS на устройстве
Смените VPN-провайдера, если проблема не решается

Ограничения шифрованного DNS

Не скрывает всё

DoH/DoT шифрует запросы, но:

IP-адрес сайта всё ещё виден (после разрешения DNS)
SNI в TLS-рукопожатии раскрывает домен
Для полной приватности нужен VPN

Зависимость от провайдера

Вы доверяете DNS-провайдеру вместо ISP. Выбирайте проверенных:

Cloudflare - аудиты, прозрачность
Quad9 - некоммерческая организация
NextDNS - чёткая политика приватности

Возможные блокировки

Некоторые сети блокируют DoT (порт 853)
Корпоративные сети могут требовать свой DNS
DoH сложнее заблокировать

Чеклист настройки

Выбран надёжный DNS-провайдер
Настроен DoH или DoT на устройстве
Проверена работа через dnsleaktest.com
Настроена DNS-фильтрация (опционально)
VPN проверен на DNS-утечки

Итог

DNS-шифрование - важный, но часто игнорируемый элемент приватности. Даже с VPN незащищённые DNS-запросы раскрывают вашу активность.

Настройте DoH или DoT за 5 минут, и закройте эту уязвимость. Для максимальной защиты комбинируйте с VPN.

Tainet направляет DNS через защищённый туннель и предотвращает утечки. Дополнительно можно использовать собственный DoH-сервер для полного контроля.

Провайдер	DoH	DoT	Особенности
Cloudflare	`1.1.1.1`	`1.1.1.1`	Быстрый, приватный
Google	`8.8.8.8`	`dns.google`	Быстрый, логирует
Quad9	`9.9.9.9`	`dns.quad9.net`	Блокирует malware
NextDNS	Персональный	Персональный	Настраиваемый
AdGuard	`94.140.14.14`	`dns.adguard.com`	Блокирует рекламу