DoH в РФ пока работает
Что такое DoH
DNS over HTTPS — DNS-запросы, обёрнутые в обычный HTTPS-запрос (метод POST или GET) к веб-серверу-резолверу. Работает на порту 443/tcp — том же самом, что и весь остальной HTTPS-трафик.
Почему в РФ пока не блокируют
Ключевая особенность DoH — она неотличима от обычного HTTPS на уровне обычной DPI-фильтрации:
- Порт 443 — на нём же работают все сайты, банки, госуслуги
- TLS 1.3 + ESNI/ECH (где включено) скрывает даже имя хоста
- Payload полностью зашифрован — TSPU не видит, что внутри DNS-запрос
- Селективно блокировать DoH значит блокировать связку «IP + SNI = резолвер», а по IP — можно, но полного отсечения нет
По состоянию на 2025-2026 год провайдеры и ТСПУ не режут DoH массово. У большинства пользователей DoH работает штатно.
Какие блокировки всё же случались
- Отдельные IP популярных резолверов — периодически замедляли или блокировали
1.1.1.1(Cloudflare) и8.8.8.8(Google), но чаще из-за throttling Cloudflare, а не адресно на DoH - SNI-фильтрация хостов резолверов (
cloudflare-dns.com,dns.google) теоретически возможна, но на практике не применяется массово - С включённым ECH даже SNI-фильтрация не сработает — но ECH в РФ режется по другому признаку
Сравнение с DoT
| DoT :853 | DoH :443 | |
|---|---|---|
| Порт | 853 — только DNS | 443 — весь HTTPS |
| Отличимость от других протоколов | тривиально (по порту) | сложно (нужен DPI) |
| Блокируется в РФ | нет (проще пропустить) | нет (сложно вычленить) |
| Скорость | ниже (TLS overhead меньше) | чуть выше overhead (HTTP) |
По итогу — обе версии в РФ рабочие, но по разным причинам: DoT потому что нет смысла блокировать, DoH потому что технически сложно отделить.
Как включить
Firefox (встроено)
Настройки → Приватность → DNS через HTTPS → выбрать провайдера
Chrome / Edge / Chromium
Настройки → Приватность → Использовать безопасный DNS → выбрать провайдера
Android 9+ (Private DNS)
На Android это DoT (не DoH), но на уровне ОС работает. Для DoH нужны сторонние приложения типа Intra, RethinkDNS.
Windows 11
Настройки → Сеть и Интернет → адаптер → Шифрование DNS → DoH
dnscrypt-proxy (кроссплатформенно)
server_names = ['cloudflare', 'google', 'quad9-doh-ip4-nofilter-pri']Публичные DoH-резолверы
- Cloudflare —
https://cloudflare-dns.com/dns-query - Google —
https://dns.google/dns-query - Quad9 —
https://dns.quad9.net/dns-query - NextDNS —
https://dns.nextdns.io/<id> - AdGuard —
https://dns.adguard-dns.com/dns-query
Резюме
- DoH работает на 443, неотличима от HTTPS без DPI
- ТСПУ массово её не режет — технически трудно
- Работает у большинства пользователей в РФ
- Селективные блокировки конкретных IP резолверов бывают, но не системные