DNS резолвинг
Domain Name System · переводит имена в IP · с 1983
Что это
DNS — распределённая база «доменное имя → IP-адрес». Ты пишешь google.com, DNS отвечает 142.250.185.78. Без DNS интернет был бы просто списком чисел.
Как это работает
- Твой браузер спрашивает у OS: «какой IP у
google.com?» - OS шлёт запрос на resolver (по умолчанию — DNS провайдера).
- Resolver идёт по цепочке: root → .com → google.com → отдаёт IP.
- Ответ кэшируется, следующий раз мгновенно.
Транспорты DNS
За 40 лет придумали 4 транспорта. Разница — в том, кто может подсмотреть/подделать твои запросы:
| Транспорт | Порт | Шифрован | В РФ |
|---|---|---|---|
| DNS over UDP | UDP :53 | нет | работает (но всё видно) |
| DNS over TLS | TCP :853 | да | блокируется |
| DNS over HTTPS | TCP :443 | да | частично |
| DNS over QUIC | UDP :853 | да | блокируется |
Зачем шифровать DNS
Стандартный DNS UDP-запрос идёт открытым текстом. Значит:
- Провайдер видит каждый сайт, который ты открываешь.
- Может подделать ответ («вместо youtube.com отдадим страницу-заглушку»).
- ТСПУ использует DNS-снифинг для формирования блокировок.
- Cafe/аэропорт-wifi может продавать твою историю рекламодателям.
DoT/DoH/DoQ шифруют DNS-запросы. Провайдер видит только «клиент подключился к 1.1.1.1», а не «клиент искал pornhub.com».
Что делать
- В браузере: включи DoH в настройках (Firefox/Chrome умеют). Резолвер — Cloudflare или Quad9.
- В системе:
systemd-resolved,stubby,dnscrypt-proxy— все умеют DoT/DoH. - Роутер: OpenWrt, MikroTik, ASUSWRT-Merlin — все могут DoT на весь LAN.
В РФ — важно
С 2023-2024 РКН начал давить на шифрованный DNS:
- DoT (порт 853) — блокируется почти везде.
- DoH — работает пока идёт через Google/Cloudflare, но Cloudflare 1.1.1.1 уже под 16 КБ блоком.
- DoQ — блокируется как QUIC.
Единственный надёжный способ приватного DNS в РФ — резолвер внутри своей VPN (через AmneziaWG).