Прежде чем телефон откроет сайт или приложение свяжется со своим сервером, нужно задать простой вопрос: «Какой IP-адрес у этого имени?» Этот вопрос уходит в систему доменных имён, DNS. Такое происходит много раз в минуту, почти незаметно, и многое говорит о том, что вы делаете в интернете.

В этом руководстве объясняется, что раскрывает DNS, как его используют для ограничения доступа, что меняет зашифрованный DNS (DoH и DoT), как он работает вместе с VPN, что такое «утечка DNS» и как её проверить.

Что такое DNS и что он раскрывает

Представьте DNS как телефонный справочник интернета. Вы вводите имя, например example.com; DNS-резолвер — обычно его держит ваш провайдер или мобильный оператор — находит номер (IP-адрес) и возвращает его. Затем устройство подключается к этому адресу.

Классический DNS придумали десятилетия назад, и он отправляет эти вопросы без шифрования. Значит, любой на пути, включая владельца Wi-Fi-сети и провайдера, может видеть:

  • Какие доменные имена вы запрашиваете и когда.
  • Какие приложения активны, ведь многие приложения связываются со своими серверами в фоне.
  • Закономерности во времени — например, когда вы просыпаетесь или какими сервисами пользуетесь каждый день.

HTTPS шифрует содержимое страницы, но не этот запрос. Поэтому даже с замком в адресной строке обычный DNS может выдавать имена сайтов, которые вы посещаете.

Как работают ограничения на уровне DNS

Почти каждое соединение начинается с запроса DNS, поэтому DNS — простое место для ограничения доступа. Резолвер может вернуть неверный адрес, ошибку или вовсе ничего, и приложение просто не может подключиться.

Свежий пример: Reuters 12 февраля 2026 года сообщило, что некоторые доменные имена, связанные с WhatsApp, исчезли из национального реестра доменных имён России, и устройства в России перестали получать IP-адреса приложения. Без адреса приложение не могло достучаться до своих серверов.

DNS — лишь один из нескольких уровней ограничений. Сети могут фильтровать трафик и по IP-адресам или анализировать его содержимое, так что смена настроек DNS сама по себе часто мало что меняет. Эта статья объясняет, как устроена технология; прежде чем менять способ подключения, сверьтесь с законами своей страны.

Зашифрованный DNS: DoH и DoT

Два стандарта шифруют вопрос и ответ DNS между вашим устройством и резолвером.

DNS over TLS (DoT)

RFC 7858, опубликованный IETF в мае 2016 года, определяет DNS поверх TLS. Он заворачивает DNS в то же шифрование TLS, что использует HTTPS, на отдельном порту 853. Поскольку порт свой, сеть может понять, что вы пользуетесь зашифрованным DNS, хотя прочитать запросы не может.

DNS over HTTPS (DoH)

RFC 8484, опубликованный в октябре 2018 года, описывает отправку запросов и ответов DNS по HTTPS, причём каждая пара «запрос — ответ» — это один обычный HTTP-обмен. Для сети DoH выглядит почти как обычный веб-трафик.

Что меняет шифрование, а что нет

  • Оно скрывает ваши запросы от Wi-Fi-сети и других участников на пути.
  • Резолвер их по-прежнему видит. Вы переносите доверие с резолвера провайдера на тот, который выбираете сами, поэтому выбирайте сервис, чья политика конфиденциальности вас устраивает.
  • Соединение после запроса всё так же видно. Устройство всё равно подключается к IP-адресу сайта, а это может многое рассказать.

Зашифрованный DNS на ваших устройствах

Android. Google объявила 17 апреля 2018 года о поддержке DNS поверх TLS под названием «Частный DNS» (Private DNS) в Android P (Android 9). Настройка находится в параметрах сети, обычно в пункте «Частный DNS»: можно оставить автоматический режим, выключить его или ввести имя хоста сервиса. Названия меню отличаются у разных производителей.

Chrome. Согласно справке Google Chrome, настройка «Использовать безопасный DNS» по умолчанию включена в автоматическом режиме. Если в этом режиме у Chrome возникают проблемы с поиском сайта, он переходит к незашифрованному запросу. Если выбрать собственного поставщика, Chrome к незашифрованному режиму не откатывается. Функция недоступна на управляемых устройствах и при включённом родительском контроле.

Важно: настройки браузера защищают только этот браузер, а системные настройки вроде «Частного DNS» охватывают большую часть устройства.

Как DNS работает с VPN и что такое утечка DNS

Когда VPN подключён, устройство должно отправлять запросы DNS через зашифрованный туннель резолверу, который выбрал VPN, а не резолверу вашей локальной сети. Тогда провайдер видит только то, что вы подключены к VPN-серверу.

Утечка DNS — это когда часть запросов всё же выходит из туннеля и уходит к резолверу провайдера. VPN по-прежнему несёт ваш трафик, но список посещаемых сайтов раскрыт. Частые причины:

  • Устройство или приложение настроено на конкретный DNS-сервер и игнорирует VPN.
  • Короткие моменты переподключения туннеля, например при переходе с Wi-Fi на мобильные данные, если в этот промежуток ничто не блокирует трафик. Эту проблему решает kill switch; см. статью о том, что делает kill switch в VPN.
  • Раздельное туннелирование, когда некоторые приложения намеренно идут через обычное соединение.

«Частный DNS» в Android и VPN могут быть включены одновременно. Какой резолвер на самом деле отвечает, зависит от системы и VPN-приложения, поэтому надёжный ответ даёт только проверка.

VPNRice использует DNS ещё в одном месте: блокировка рекламы и трекеров, если она доступна в вашем тарифе, работает как DNS-фильтр, который блокирует известные рекламные, следящие и вредоносные домены для приложений на устройстве.

Как проверить утечки

  1. Подключите VPN и откройте в браузере страницу проверки утечек DNS. Она покажет резолверы, ответившие на ваши запросы.
  2. Проверьте адреса резолверов нашим инструментом IP lookup. Если при включённом VPN они принадлежат вашему домашнему провайдеру или мобильному оператору, запросы утекают.
  3. Проверьте остальное в браузере нашим тестом утечки WebRTC: он ищет другую утечку — адреса, раскрываемые через WebRTC. Как читать результаты, объясняет наше руководство по проверке IP и утечек WebRTC.
  4. Повторите после смены сети, например с Wi-Fi на мобильные данные.

Если утечка есть, проверьте собственные настройки DNS в браузере или приложениях, обновите VPN-приложение и проверьте снова.

Главное

  • Запросы DNS выдают, какими сайтами и сервисами вы пользуетесь; обычный DNS не зашифрован.
  • DNS — частое место для ограничений, но редко единственное.
  • DoT (RFC 7858) и DoH (RFC 8484) скрывают запросы от сети, но резолвер их по-прежнему видит.
  • С VPN запросы должны идти через туннель; проверяйте после подключения и после смены сети.
  • О том, как VPN-протоколы защищают остальной трафик, читайте в нашем руководстве по WireGuard и современным VPN-протоколам.