Автор: Александр Д.
08.09.2026 · 7 МИН ЧТЕНИЯ
ОБНОВЛЕНО

DNS (телефонная книга интернета: имя сайта в адрес) переводит имя сайта в IP-адрес: прежде чем открыть страницу, устройство спрашивает «какой адрес у этого домена».

По умолчанию вопрос уходит на DNS-сервер провайдера открытым текстом, и провайдер получает список всех сайтов, к которым вы обращались, даже если сами страницы защищены HTTPS. Смена DNS-сервера на зашифрованный убирает этот список у провайдера, иногда ускоряет открытие сайтов и защищает от подмены адресов в чужой сети. Дальше о том, как это работает и как включить на каждом устройстве.

Коротко:

  • По умолчанию DNS-запросы уходят провайдеру открытым текстом, и у него собирается список всех ваших сайтов, даже если страницы открываются по HTTPS.
  • Зашифрованный DNS (DoH или DoT) убирает этот список у провайдера и защищает от подмены адресов в чужой сети; между 1.1.1.1 и 8.8.8.8 разница в политике, а не в скорости.
  • Смена DNS не скрывает IP-адрес и не шифрует трафик: это делает VPN, а при включённом VPN DNS-запросы должны идти внутри туннеля.
КТО ВИДИТ СПИСОК DNS-ЗАПРОСОВРИС. 01что настроеноу кого остаётся списокПо умолчаниюадрес DNS выдал роутер или операторпровайдерСменили адрес DNSнапример 1.1.1.1, открытым текстомпровайдер и сервисDNS с шифрованиемDoH или DoTтолько сервиссписок не исчезает, меняется только тот, у кого он останется
Список никуда не исчезает, вопрос только в том, у кого он останется. Поэтому важно не то, какой адрес вы вписали, а кому вы доверяете и зашифрован ли сам запрос.

Как работает DNS-запрос

  1. Вы вводите адрес сайта.
  2. Устройство спрашивает DNS-сервер (обычно тот, что выдал роутер или оператор): «какой IP у этого имени?»
  3. Сервер отвечает адресом, устройство подключается к нему.

Ответ кэшируется на минуты или часы, поэтому повторные запросы быстрее. Всё это занимает миллисекунды, но происходит для каждого домена на странице, а их на современной странице десятки.

ОТКРЫВАЕМ САЙТРИС. 02Выустройство спрашивает адрес сайта«какой адрес у example.com?»открытым текстомDNS провайдеравидит весь список93.184.216.34ответ: адрес сайтаПодключаемся93.184.216.34Список сайтов у провайдераexample.com… и каждый домен на страницедаже когда страницы на HTTPS
Вопрос уходит открытым текстом, и так у провайдера набирается список всех сайтов, даже когда сами страницы на HTTPS.

Что даёт смена DNS-сервера?

  • Приватность от провайдера. Список доменов уходит не ему, а выбранному вами сервису. Что именно видит провайдер и что остаётся, разобрано в статье что видит провайдер.
  • Защита от подмены в чужой сети. В кафе или отеле DNS-сервер сети может отвечать неправильными адресами. Зашифрованный DNS исключает подмену.
  • Скорость. Крупные публичные резолверы часто отвечают быстрее провайдерских, особенно в мобильных сетях.
  • Фильтрация. Некоторые сервисы отсекают рекламные и вредоносные домены на уровне DNS.

Чего смена DNS не даёт: не скрывает IP-адрес, не шифрует сам трафик и не прячет SNI: имя сайта всё равно передаётся при установке TLS-соединения. Для этого нужен туннель.

СМЕНА DNS ДАЁТНЕ ДАЁТРИС. 03✓список не у провайдера✓защиту от подмены в кафе✓иногда скорость✓фильтрацию✗скрытия IP✗шифрования трафика✗скрытия SNIимя сайта виднозакрывается только туннелем
Что смена DNS решает, а что нет. Правая колонка закрывается только туннелем.
ЧТО ВИДИТ ВЛАДЕЛЕЦ DNS-СЕРВЕРАРИС. 04DNS-серверего владелецкакие имена вы спрашиваливидиткогда и как частовидитс какого адресавидитчто вы открыли на страницене видитпоэтому важно, чей это сервер

Какой DNS выбрать: 1.1.1.1 или 8.8.8.8

СерверАдресаОсобенности
Cloudflare1.1.1.1, 1.0.0.1быстрый, DoH/DoT, минимальные логи по политике
Google8.8.8.8, 8.8.4.4быстрый, DoH/DoT, логи по политике Google
Quad99.9.9.9отсекает вредоносные домены
AdGuard DNS94.140.14.14отсекает рекламу и трекеры

Разница в скорости между ними для домашнего пользователя невелика; выбирайте по политике и нужным функциям.

Чем обычный DNS отличается от DoH и DoT?

Простая смена адреса на 1.1.1.1 переносит список запросов к другому сервису, но запросы по-прежнему летят открытым текстом, и провайдер по пути видит их. DNS over HTTPS (DoH) и DNS over TLS (DoT) шифруют запросы: провайдер видит только соединение с DNS-сервисом. Если менять, то на зашифрованный вариант.

ОБЫЧНЫЙ DNSРИС. 05Выоткрытым текстомПровайдер по путивсё видитоткрытым текстом1.1.1.1DoH / DoTВызашифрованоПровайдер по путивидит только адрес DNS-сервисазашифровано1.1.1.1
Смена адреса без шифрования только меняет получателя списка. Провайдер по пути видит запросы как раньше.

Как включить зашифрованный DNS на телефоне и компьютере?

Android. Настройки → Сеть и интернет → Частный DNS → «Имя хоста провайдера частного DNS» → ввести one.one.one.one или dns.google. Работает для всех приложений сразу, по DoT.

iPhone и iPad. Встроенного переключателя нет. Варианты: профиль конфигурации от DNS-сервиса (Cloudflare, AdGuard и другие раздают их на своих сайтах) или приложение VPN, которое отправляет DNS в туннель.

Windows 11. Настройки → Сеть и интернет → Wi-Fi или Ethernet → Свойства → Назначение DNS-сервера → Изменить → вручную, IPv4, ввести 1.1.1.1 и 1.0.0.1, шифрование DNS → «Только зашифрованное (DNS over HTTPS)».

macOS. Системные настройки → Сеть → соединение → Подробнее → DNS → добавить адреса. Шифрование включается профилем конфигурации.

Браузер на компьютере. Chrome: Настройки → Конфиденциальность и безопасность → Безопасность → «Использовать безопасный DNS-сервер». Firefox: Настройки → Приватность и защита → «DNS через HTTPS». Защищает только браузер.

Роутер. В настройках WAN или DHCP укажите публичные адреса, и тогда все устройства дома станут использовать их. Шифрование поддерживают не все роутеры.

ДОКУДА ДОСТАЁТ НАСТРОЙКА DNSРОУТЕРвсе устройства домашифрует не каждый роутерСИСТЕМАвсе приложения телефонаAndroid: частный DNSБРАУЗЕРтолько этот браузерChrome, FirefoxДРУГИЕ ПРИЛОЖЕНИЯнастройка браузерадо них не достаётТелевизорНоутбукПланшет
Браузер, система, роутер: каждая следующая настройка охватывает больше.

Как проверить, какой DNS у вас работает?

На тесте утечки DNS или сайте вроде dnsleaktest.com запустите расширенный тест: в списке серверов, которые отвечали на ваши запросы, не должно быть серверов провайдера. Если VPN включён, там должны быть серверы VPN-сервиса. Проверка утечек описана в статье утечки DNS и WebRTC.

КАК ЧИТАТЬ ТЕСТ УТЕЧКИ DNSкто ответил на ваши запросычто это значитсерверы провайдераПровайдер видит списокзапросы идут к немувыбранный сервисСмена DNS работаетпровайдера в списке нетсерверы VPN-сервисаТак и надо с VPNDNS идёт внутри туннеля
Серверов провайдера в списке быть не должно; с VPN отвечают серверы VPN-сервиса.

Если не уверены, какой DNS выбрать

Выбор зависит от того, что вам важнее: скорость, фильтрация рекламы или минимум логов.

ЧТО ВЫ ПОЛУЧАЕТЕ ОТ СМЕНЫ DNSРИС. 06длина: насколько влияетскорость откликафильтр рекламыменьше логовзащита от подменыприватность даёт шифрование, а не сама смена сервера
Промт для нейросети
Помоги выбрать публичный DNS-сервер.

Мне важно: (скорость / фильтр рекламы и трекеров /
минимум логов / родительский контроль: выберите
одно или два).
Страна: (страна). Устройства: (телефон / роутер /
компьютер).

Предложи два-три варианта с плюсами и минусами
каждого и скажи, какой поддерживает DNS over HTTPS.
Не рекомендуй сервисы, которые сами показывают рекламу.
КАК ПРОВЕРИТЬРИС. 0701проверка утечки показываетсервер, который вы задали02при включённом VPN: сервертуннеля, а не провайдера03имена резолвятся,сайты открываются

DNS и VPN вместе

С включённым VPN DNS-запросы должны идти внутри туннеля к резолверам VPN-сервиса. Сторонний зашифрованный DNS в браузере при этом может конфликтовать: запросы уйдут к другому сервису мимо туннеля. Правило простое: либо VPN управляет DNS (обычный случай), либо браузерный DoH направлен через туннель. Не оба в разные стороны. Зашифрованный DNS на уровне системы остаётся полезным запасом на случай, если туннель разорвётся.

ПРАВИЛО: ОДИН ХОЗЯИН У DNSРИС. 08✓VPN управляет DNSобычный случайВытуннельрезолвер VPN✓Браузерный DoHчерез туннельБраузертуннельDoH-сервис✗VPN + сторонний DoHв разные стороныВытуннельрезолвер VPNБраузермимо туннелясторонний DoHзапросы уйдут мимо туннеля
У DNS должен быть один хозяин. Два шифрованных резолвера в разные стороны: типичная причина, по которой запросы уходят мимо туннеля.

Коротко

  • DNS по умолчанию отдаёт провайдеру список сайтов; смена на зашифрованный DNS это убирает.
  • 1.1.1.1 и 8.8.8.8 самые распространённые, а разница между ними в политике, не в скорости.
  • На Android включается в два клика, на iPhone профилем, в Windows 11 в настройках сети.
  • DNS не заменяет VPN: адрес и SNI остаются видны. Вместе они закрывают почти всё.

В 404 VPN DNS-запросы идут внутри туннеля к собственным резолверам, а в приложениях для Android и Linux есть Kill Switch на случай обрыва соединения. Подробности на странице как это работает, а начать можно с главной.

Частые вопросы

Что лучше, 1.1.1.1 или 8.8.8.8?

Для домашнего пользователя разница в скорости невелика, так что выбирайте по политике логов: Cloudflare (1.1.1.1) обещает минимальные логи, а Google (8.8.8.8) хранит их по своей политике. Оба поддерживают DoH и DoT.

Видит ли провайдер мои DNS-запросы?

Да, если DNS не зашифрован: по умолчанию запросы уходят на сервер провайдера открытым текстом, даже когда сами страницы на HTTPS. С DoH или DoT провайдер видит только соединение с DNS-сервисом.

Скрывает ли смена DNS мой IP-адрес?

Нет: смена DNS не скрывает IP-адрес, не шифрует сам трафик и не прячет имя сайта, которое передаётся при установке TLS-соединения (SNI). Для этого нужен VPN.

Есть ли на айфоне частный DNS, как на Android?

Встроенного переключателя нет: поставьте профиль конфигурации от DNS-сервиса (Cloudflare, AdGuard и другие раздают их на своих сайтах) или приложение VPN, которое отправляет DNS в туннель.

Нужно ли менять DNS, если включён VPN?

Обычно нет: с включённым VPN DNS-запросы идут внутри туннеля к резолверам VPN-сервиса. Сторонний DoH в браузере может увести их мимо туннеля, а зашифрованный DNS в системе полезен как запас на случай обрыва.