Безопасный DNS (DoH): зачем шифровать запросы
DNS-запросы по умолчанию идут открытым текстом — провайдер видит все адреса, которые вы набираете. Безопасный DNS (DoH/DoT) шифрует эти запросы.
Коротко
- DNS — это «телефонная книга» интернета: переводит адрес сайта в цифровой IP-адрес.
- Обычный DNS передаётся без шифрования — провайдер видит весь список адресов, которые вы набираете.
- DoH (DNS over HTTPS) и DoT (DNS over TLS) — стандарты, которые шифруют эти запросы.
- Включается за пару кликов в Chrome, Firefox и в настройках телефона.
- DNS — не замена VPN: он скрывает только запросы имён, но не сам трафик.
Что такое DNS и почему это важно
DNS — «телефонная книга» интернета: браузер спрашивает у DNS-сервера IP-адрес для «example.com» и только потом подключается к сайту. По умолчанию этот запрос летит без шифрования — провайдер, админ кафе-сети и любой слушатель на маршруте видят все адреса, которые вы набираете. Пароли и содержимое страниц не видны — но список сайтов достаточен для подробного профиля.
DoH и DoT: в чём разница
DoH — запросы упаковываются в HTTPS-трафик, неотличимы от обычной загрузки страниц. Поддерживают Chrome, Firefox, Edge.
DoT — шифрование через TLS на порту 853. Android называет его «Частный DNS». Для пользователя разница несущественна: DoH удобнее в браузере, DoT — на уровне системы (Android).
Какой сервер выбрать
Когда вы включаете DoH, нужно выбрать провайдера — сервер, который будет отвечать на ваши зашифрованные запросы.
| Провайдер | Адрес для DoH | Хранение логов |
|---|---|---|
| Cloudflare | 1.1.1.1 | Удаляет в течение 24 ч, аудит KPMG |
| 8.8.8.8 | Хранит до 48 ч | |
| Quad9 | 9.9.9.9 | Блокирует вредоносные домены, не хранит IP |
Cloudflare — разумный выбор по умолчанию. Быстрый, с прозрачной политикой приватности и независимой проверкой.
Как включить безопасный DNS
Как включить безопасный DNS пошагово
-
1
Откройте настройки безопасности браузера
В Chrome нажмите три точки в правом верхнем углу, выберите «Настройки», затем «Конфиденциальность и безопасность» → «Безопасность». В Firefox — «Настройки» → «Основные», прокрутите до блока «Настройки соединения» и нажмите «Настроить».
-
2
Включите DNS через HTTPS
В Chrome найдите переключатель «Использовать безопасный DNS» и включите его. В Firefox поставьте галочку «Включить DNS через HTTPS». В обоих случаях выберите провайдера из списка — Cloudflare (1.1.1.1) или Google (8.8.8.8) подойдут большинству пользователей.
-
3
Для Android — включите Частный DNS
Зайдите в «Настройки» → «Сеть и интернет» (на Samsung — «Подключения» → «Дополнительные настройки» → «Частный DNS»). Выберите «Частный DNS-провайдер» и введите: one.one.one.one для Cloudflare или dns.google для Google. Это работает для всех приложений, не только браузера.
-
4
Для iOS — установите профиль
Apple не даёт включить DoH в настройках напрямую. Вместо этого нужно установить конфигурационный профиль. Зайдите на страницу 1.1.1.1/dns/ с iPhone, выберите iOS и скачайте профиль. Потом: «Настройки» → «Основные» → «VPN и управление устройством» → установите профиль. После этого зашифрованный DNS защитит все приложения.
-
5
Проверьте, что всё работает
Откройте в браузере страницу 1.1.1.1/help — она показывает, используете ли вы DoH прямо сейчас. Если написано «Yes» напротив «Using DNS over HTTPS» — всё настроено правильно.
Чем DNS отличается от VPN
DoH закрывает только DNS-запросы. Провайдер всё равно видит IP-адреса назначения и SNI в TLS-рукопожатии.
VPN шифрует весь трафик: провайдер видит только факт подключения к VPN-серверу.
DoH + приватный браузер дают хорошую защиту без сложных настроек. Для более полной — как выбрать безопасный VPN. Их можно комбинировать: внутри VPN-туннеля DoH добавляет ещё один слой.
Мифы о безопасном DNS
«Мне нечего скрывать» — рекламные сети собирают данные о посещённых сайтах, мошенники проводят DNS-спуфинг, провайдеры продают агрегированную статистику. DoH — обычная кибергигиена.
«Сложно настроить» — один переключатель в Chrome/Firefox, два пункта в Android. Суммарно: 2–3 минуты.
«Провайдер всё равно всё видит» — DoH закрывает DNS. Остаётся IP и SNI, но это значительно меньше информации, и для защиты от большинства угроз достаточно.
Не получилось?
Если проверка на 1.1.1.1/help показывает «No» — попробуйте включить DoH в другом браузере или через «Частный DNS» на телефоне (работает для всех приложений). На корпоративных компьютерах DoH может быть заблокирован политикой сети — тут поможет только системный администратор. По вопросам VPN-подключения — TundraConnectBot.