Каждый раз, когда вы открываете сайт, устройство сначала спрашивает у DNS-резолвера его IP-адрес. Традиционно этот запрос передаётся открытым текстом, поэтому интернет-провайдер, владелец Wi-Fi и любой участник сети видят названия всех сайтов, которые вы ищете, и даже могут подменить ответ. DNS over HTTPS (DoH) шифрует такие запросы.
DoH и DoT
| DNS over HTTPS (DoH) | DNS over TLS (DoT) | |
|---|---|---|
| Порт | 443, как у обычного HTTPS | 853 |
| Как выглядит | Как обычный веб-трафик | Как узнаваемый DNS-трафик |
| Можно ли заблокировать в сети | Сложно | Легко |
| Где распространён | Браузеры, Windows, iOS, macOS | Android («Частный DNS-сервер»), роутеры |
Оба протокола шифруют запросы между вашим устройством и резолвером. Ни один из них не скрывает ваши действия от самого резолвера.
Преимущества
- Провайдер и локальная сеть не могут прочитать или подменить ваши DNS-запросы.
- Защита в публичных сетях Wi-Fi от перенаправления через DNS.
- Позволяет обойти простые блокировки на уровне DNS.
Компромиссы
- Вы доверяете резолверу вместо провайдера. Выбирайте сервис с понятной политикой конфиденциальности.
- Родительский контроль и корпоративные фильтры, работающие через DNS, могут перестать действовать.
- Провайдер по-прежнему видит IP-адреса, к которым вы подключаетесь, а зачастую и имя сайта в TLS-рукопожатии. Для полной приватности используйте VPN.
Как включить DoH
Браузеры
- Chrome / Edge: Настройки → Конфиденциальность и безопасность → Безопасность → Использовать безопасный DNS → выберите поставщика.
- Firefox: Настройки → Приватность и защита → DNS через HTTPS → Повышенная или Максимальная защита.
- Brave: Настройки → Конфиденциальность и безопасность → Безопасность → Использовать безопасный DNS.
Операционные системы
- Windows 11: Параметры → Сеть и Интернет → ваше подключение → Назначение DNS-сервера → Изменить → Вручную → укажите DNS-сервер и выберите Только зашифрованный (DNS через HTTPS).
- Android 9+: Настройки → Сеть и интернет → Частный DNS-сервер → введите имя хоста, например
one.one.one.oneилиdns.google. - iPhone, iPad и Mac: установите DNS-профиль выбранного резолвера или воспользуйтесь его приложением.
Адреса серверов смотрите в статье сравнение публичных DNS-серверов.
DoH и VPN
Если вы пользуетесь VPN, запросы обычно обрабатывает его собственный DNS через туннель. Браузер с включённым DoH вместо этого отправляет запросы выбранному в нём резолверу — зашифрованно, но в обход VPN. Прочитайте об утечках DNS, чтобы решить, какая схема вам больше подходит.
Часто задаваемые вопросы
Замедляет ли DoH работу в интернете?
Обычно незаметно. Первый запрос может занять на несколько миллисекунд больше, но кеширование сглаживает почти всю разницу.
Скрывает ли DoH мой IP-адрес?
Нет. Сайты по-прежнему видят ваш IP-адрес. DoH защищает только DNS-запросы.
Видит ли провайдер, куда я захожу, если включён DoH?
Он видит IP-адреса, к которым вы подключаетесь, а для большинства сайтов — и имя сайта во время TLS-рукопожатия. Технология Encrypted Client Hello (ECH) постепенно закрывает эту брешь на некоторых сайтах.