Перш ніж телефон відкриє сайт або застосунок зв'яжеться зі своїм сервером, треба поставити просте запитання: «Яка IP-адреса в цього імені?» Це запитання надходить до системи доменних імен, DNS. Таке відбувається багато разів на хвилину, майже непомітно, і багато говорить про те, що ви робите в інтернеті.

У цьому посібнику пояснено, що розкриває DNS, як його використовують для обмеження доступу, що змінює зашифрований DNS (DoH і DoT), як він працює разом із VPN, що таке «витік DNS» і як його перевірити.

Що таке DNS і що він розкриває

Уявіть DNS як телефонний довідник інтернету. Ви вводите ім'я, наприклад example.com; DNS-резолвер — зазвичай його тримає ваш провайдер чи мобільний оператор — знаходить номер (IP-адресу) і повертає її. Потім пристрій підключається до цієї адреси.

Класичний DNS вигадали десятиліття тому, і він надсилає ці запитання без шифрування. Отже, будь-хто на шляху, зокрема власник Wi-Fi-мережі та провайдер, може бачити:

  • Які доменні імена ви запитуєте і коли.
  • Які застосунки активні, адже багато застосунків зв'язуються зі своїми серверами у фоні.
  • Закономірності в часі — наприклад, коли ви прокидаєтеся чи якими сервісами користуєтеся щодня.

HTTPS шифрує вміст сторінки, але не цей запит. Тож навіть із замком в адресному рядку звичайний DNS може видавати імена сайтів, які ви відвідуєте.

Як працюють обмеження на рівні DNS

Майже кожне з'єднання починається із запиту DNS, тому DNS — просте місце для обмеження доступу. Резолвер може повернути хибну адресу, помилку або взагалі нічого, і застосунок просто не може підключитися.

Свіжий приклад: Reuters 12 лютого 2026 року повідомило, що деякі доменні імена, пов'язані з WhatsApp, зникли з національного реєстру доменних імен Росії, і пристрої в Росії перестали отримувати IP-адреси застосунку. Без адреси застосунок не міг дістатися своїх серверів.

DNS — лише один із кількох рівнів обмежень. Мережі можуть фільтрувати трафік і за IP-адресами або аналізувати його вміст, тож зміна налаштувань DNS сама по собі часто мало що змінює. Ця стаття пояснює, як влаштована технологія; перш ніж змінювати спосіб підключення, звіртеся із законами своєї країни.

Зашифрований DNS: DoH і DoT

Два стандарти шифрують запитання й відповідь DNS між вашим пристроєм і резолвером.

DNS over TLS (DoT)

RFC 7858, опублікований IETF у травні 2016 року, визначає DNS поверх TLS. Він загортає DNS у те саме шифрування TLS, що використовує HTTPS, на окремому порту 853. Оскільки порт свій, мережа може зрозуміти, що ви користуєтеся зашифрованим DNS, хоча прочитати запити не може.

DNS over HTTPS (DoH)

RFC 8484, опублікований у жовтні 2018 року, описує надсилання запитів і відповідей DNS через HTTPS, причому кожна пара «запит — відповідь» — це один звичайний HTTP-обмін. Для мережі DoH виглядає майже як звичайний вебтрафік.

Що змінює шифрування, а що ні

  • Воно приховує ваші запити від Wi-Fi-мережі та інших учасників на шляху.
  • Резолвер їх і далі бачить. Ви переносите довіру з резолвера провайдера на той, який обираєте самі, тож обирайте сервіс, чия політика конфіденційності вас влаштовує.
  • З'єднання після запиту так само видно. Пристрій однаково підключається до IP-адреси сайту, а це може багато розповісти.

Зашифрований DNS на ваших пристроях

Android. Google 17 квітня 2018 року оголосила про підтримку DNS поверх TLS під назвою «Приватний DNS» (Private DNS) в Android P (Android 9). Налаштування є в параметрах мережі, зазвичай у пункті «Приватний DNS»: можна залишити автоматичний режим, вимкнути його або ввести ім'я хоста сервісу. Назви меню відрізняються в різних виробників.

Chrome. Згідно з довідкою Google Chrome, налаштування «Використовувати безпечний DNS» типово ввімкнене в автоматичному режимі. Якщо в цьому режимі Chrome має проблеми з пошуком сайту, він переходить до незашифрованого запиту. Якщо вибрати власного постачальника, Chrome до незашифрованого режиму не повертається. Функція недоступна на керованих пристроях і з увімкненим батьківським контролем.

Важливо: налаштування браузера захищають лише цей браузер, а системні налаштування на кшталт «Приватного DNS» охоплюють більшу частину пристрою.

Як DNS працює з VPN і що таке витік DNS

Коли VPN підключено, пристрій має надсилати запити DNS через зашифрований тунель резолверу, якого обрав VPN, а не резолверу вашої локальної мережі. Тоді провайдер бачить лише те, що ви підключені до VPN-сервера.

Витік DNS — це коли частина запитів усе ж виходить із тунелю й потрапляє до резолвера провайдера. VPN і далі несе ваш трафік, але список відвідуваних сайтів розкрито. Часті причини:

  • Пристрій або застосунок налаштовано на конкретний DNS-сервер, і він ігнорує VPN.
  • Короткі моменти перепідключення тунелю, наприклад під час переходу з Wi-Fi на мобільні дані, якщо в цей проміжок ніщо не блокує трафік. Цю проблему розв'язує kill switch; див. статтю про те, що робить kill switch у VPN.
  • Роздільне тунелювання, коли деякі застосунки навмисно йдуть через звичайне з'єднання.

«Приватний DNS» в Android і VPN можуть бути ввімкнені одночасно. Який резолвер насправді відповідає, залежить від системи та VPN-застосунку, тож надійну відповідь дає лише перевірка.

VPNRice використовує DNS ще в одному місці: блокування реклами й трекерів, якщо воно доступне у вашому тарифі, працює як DNS-фільтр, що блокує відомі рекламні, стежувальні та шкідливі домени для застосунків на пристрої.

Як перевірити витоки

  1. Підключіть VPN і відкрийте в браузері сторінку перевірки витоків DNS. Вона покаже резолвери, які відповіли на ваші запити.
  2. Перевірте адреси резолверів нашим інструментом IP lookup. Якщо з увімкненим VPN вони належать вашому домашньому провайдеру чи мобільному операторові, запити витікають.
  3. Перевірте решту в браузері нашим тестом витоку WebRTC: він шукає інший витік — адреси, розкриті через WebRTC. Як читати результати, пояснює наш посібник із перевірки IP і витоків WebRTC.
  4. Повторіть після зміни мережі, наприклад із Wi-Fi на мобільні дані.

Якщо витік є, перевірте власні налаштування DNS у браузері чи застосунках, оновіть VPN-застосунок і перевірте знову.

Головне

  • Запити DNS видають, якими сайтами й сервісами ви користуєтеся; звичайний DNS не зашифрований.
  • DNS — часте місце для обмежень, але рідко єдине.
  • DoT (RFC 7858) і DoH (RFC 8484) приховують запити від мережі, але резолвер їх і далі бачить.
  • З VPN запити мають іти через тунель; перевіряйте після підключення та після зміни мережі.
  • Про те, як VPN-протоколи захищають решту трафіку, читайте в нашому посібнику про WireGuard і сучасні VPN-протоколи.