"Ta sieć blokuje zaszyfrowany ruch DNS": znaczenie i naprawa

Co oznacza "Ta sieć blokuje zaszyfrowany ruch DNS"?

"Ta sieć blokuje zaszyfrowany ruch DNS" oznacza, że Twój iPhone, iPad lub Mac próbował sprawdzić nazwy stron przez szyfrowany serwer DNS, a sieć Wi-Fi mu w tym przeszkodziła. Apple pokazuje to jako Ostrzeżenie dotyczące prywatności pod nazwą sieci w Ustawienia > Wi-Fi, z tekstem: "Nazwy witryn i innych usług, z którymi Twoje urządzenie łączy się w tej sieci, mogą być monitorowane i rejestrowane przez inne urządzenia połączone z tą siecią."

Apple wyjaśniło to przy wprowadzeniu szyfrowanego DNS w iOS 14 i macOS Big Sur (WWDC 2020): niektóre sieci blokują szyfrowane serwery DNS zgodnie z polityką, bo filtrują ruch, patrząc na zapytania DNS, a gdy tak się dzieje, sieć Wi-Fi dostaje ostrzeżenie o prywatności.

Urządzenie próbuje szyfrowanego DNS tylko wtedy, gdy coś to włączyło: aplikacja DNS (np. 1.1.1.1 od Cloudflare, NextDNS lub AdGuard), profil DNS, zarządzanie urządzeniami przez pracodawcę albo, w iOS 16 i nowszych, serwer DNS, który sam oferuje szyfrowanie. Przyczyną może być też Przekazywanie prywatne iCloud: ustawienia Wi-Fi Apple podają, że samo przekierowuje żądania DNS. Znajdź to źródło, a znajdziesz rozwiązanie.

Czym jest szyfrowany ruch DNS?

Za każdym razem, gdy odwiedzasz stronę internetową, Twoje urządzenie wysyła zapytanie DNS, aby przetłumaczyć nazwę domeny (np. dnsrobot.net) na adres IP. Tradycyjny DNS wysyła te zapytania zwykłym tekstem przez port 53 — całkowicie bez szyfrowania. Oznacza to, że Twój dostawca internetu, administrator sieci lub ktokolwiek w tej samej sieci Wi-Fi może zobaczyć każdą domenę, którą wyszukujesz.

Szyfrowany DNS otacza te zapytania szyfrowaniem, tak jak HTTPS chroni ruch internetowy. Zamiast wysyłać dns-query: dnsrobot.net jako zwykły tekst, Twoje urządzenie szyfruje zapytanie tak, że tylko serwer DNS może je odczytać.

Istnieją dwa główne protokoły szyfrowanego DNS obsługiwane przez urządzenia Apple:

• DNS-over-HTTPS (DoH) — wysyła zapytania DNS przez HTTPS na porcie 443, więc wtapiają się w zwykły ruch webowy
• DNS-over-TLS (DoT) — wysyła zapytania DNS przez połączenie TLS na dedykowanym porcie 853, zapewniając szyfrowanie z wyraźną granicą protokołu

Urządzenia Apple obsługują oba od iOS 14 i macOS Big Sur, ale domyślnie ich nie używają. Od iOS 16 i macOS Ventura same przełączają się też na szyfrowany DNS, gdy serwer DNS sieci zgłasza go przez Discovery of Designated Resolvers (DDR). Te same protokoły na Androidzie opisuje nasz poradnik o prywatnym DNS.

DoH vs DoT: czym się różnią

Oba protokoły szyfrują zapytania DNS, ale działają inaczej pod maską. Zrozumienie różnicy pomoże Ci wybrać odpowiednie rozwiązanie przy naprawianiu problemu blokowania.

Gdy sieć blokuje szyfrowany DNS, łatwym celem jest DoT na porcie 853. DoH dzieli port 443 z każdą stroną HTTPS, więc sieci blokują go, blokując adresy i nazwy znanych serwerów DoH albo odpowiadając na te nazwy błędem.

Dlaczego sieci blokują szyfrowany DNS?

Nie każde blokowanie szyfrowanego DNS jest złośliwe. Istnieje kilka uzasadnionych powodów, dla których sieć może blokować lub ingerować w szyfrowany ruch DNS:

• Sieci firmowe i korporacyjne — działy IT blokują szyfrowany DNS, by egzekwować zasady bezpieczeństwa, filtrowanie treści i wykrywanie zagrożeń. Muszą widzieć zapytania DNS, aby blokować domeny z malware i zapobiegać wyciekom danych
• Routery z kontrolą rodzicielską — routery z wbudowaną kontrolą rodzicielską (jak Netgear Smart Parental Controls czy ASUS AiProtection) przechwytują zapytania DNS, by filtrować kategorie treści. Szyfrowany DNS omija te filtry
• Filtrowanie treści przez dostawcę internetu — niektórzy dostawcy stosują filtrowanie oparte na DNS, by spełnić wymogi prawne lub blokować znane złośliwe strony. Szyfrowany DNS sprawia, że to filtrowanie przestaje działać
• Portale logowania w publicznym Wi-Fi — hotele, lotniska i kawiarnie przechwytują DNS, aby przekierować Cię na stronę logowania. Szyfrowany DNS psuje to przekierowanie
• Pi-hole i AdGuard Home — blokery reklam oparte na DNS muszą widzieć Twoje zapytania. Pi-hole na przykład domyślnie odpowiada na nazwy, których urządzenia używają do wykrywania szyfrowanego DNS (DDR) i Przekazywania prywatnego iCloud, żeby zostały przy nim, a niektóre konfiguracje dodają listy blokad serwerów DoH

W sieci domowej szukaj najpierw funkcji, która filtruje DNS: kontroli rodzicielskiej, blokera reklam takiego jak Pi-hole lub AdGuard Home, pakietu zabezpieczeń routera albo reguły zapory na porcie 853.

Jak naprawić na iPhone i iPad (iOS/iPadOS)

Zacznij od Poprawki 1: znajduje ustawienie, które próbuje szyfrowanego DNS. Poprawki 2–6 porządkują zawieszone połączenie.

Poprawka 1: znajdź, co włączyło szyfrowany DNS

Sprawdź to po kolei. Każdy z tych punktów może sprawić, że urządzenie będzie próbować szyfrowanego DNS w każdej sieci:

• Przekazywanie prywatne iCloud — samo przekierowuje i szyfruje Twoje zapytania DNS; ustawienia Wi-Fi Apple podają: „Żądania DNS w tej sieci Wi-Fi są przekierowywane przez usługę Przekazywanie prywatne iCloud”. Aby wyłączyć je tylko w tej sieci, wejdź w Ustawienia > Wi-Fi, dotknij (i) obok sieci i wyłącz Ograniczaj śledzenie adresu IP (sposób Apple na wyłączenie Przekazywania prywatnego dla jednej sieci). Sieć, która blokuje samo Przekazywanie prywatne, pokazuje osobny komunikat, że nie jest z nim zgodna
• Aplikacja DNS lub profil — otwórz Ustawienia > Ogólne > VPN i urządzenia zarządzane i poszukaj wpisu VPN lub DNS od aplikacji (aplikacja 1.1.1.1 od Cloudflare instaluje profil VPN; NextDNS i AdGuard używają ustawień DNS) albo profilu. Wyłącz aplikację w tej sieci lub usuń niepotrzebny profil
• Ręcznie ustawione serwery DNS — w Ustawienia > Wi-Fi > (i) > Konfiguruj DNS serwery takie jak 1.1.1.1, 8.8.8.8 i 9.9.9.9 informują iOS 16 i nowszy, że oferują szyfrowany DNS, więc iPhone przełącza się na niego automatycznie. Ustaw Konfiguruj DNS z powrotem na Automatycznie, aby to sprawdzić
• Profil służbowy — jeśli urządzeniem zarządza Twój pracodawca, jego ustawienia DNS to polityka: zapytaj dział IT zamiast je zmieniać

Poprawka 2: uruchom ponownie urządzenie i router

Restart czyści zbuforowany stan sieci zarówno na urządzeniu, jak i na routerze.

• iPhone/iPad: przytrzymaj boczny przycisk + przycisk głośności > przesuń, aby wyłączyć > poczekaj 30 sekund > włącz
• Router: odłącz kabel zasilający > poczekaj 30 sekund > podłącz ponownie > poczekaj 2 minuty na pełny rozruch

Po restarcie obu urządzeń przejdź do Ustawienia > Wi-Fi i dotknij nazwy sieci. Sprawdź, czy komunikat "Ostrzeżenie o prywatności" nadal się wyświetla.

Poprawka 3: zapomnij i ponownie połącz się z siecią Wi-Fi

Zapomnienie sieci usuwa jej zapisane ustawienia, w tym własny DNS dla niej, i wymusza nowe połączenie. Do ponownego połączenia potrzebne jest hasło Wi-Fi, więc najpierw je sprawdź (często jest na naklejce na routerze).

# iOS path:
Settings > Wi-Fi > tap (i) next to network name > Forget This Network > Confirm

# Then reconnect:
Settings > Wi-Fi > select your network > enter password

Poprawka 4: zaktualizuj iOS lub iPadOS

Wejdź w Ustawienia > Ogólne > Uaktualnienia i zainstaluj dostępną aktualizację. W forach deweloperskich Apple zgłaszano nieoczekiwane ostrzeżenia w iOS 14 i 15, więc zadbaj o aktualność systemu, zanim zmienisz cokolwiek innego.

Poprawka 5: sprawdź ręcznie ustawione serwery DNS

Konfiguruj DNS > Ręcznie samo w sobie niczego nie szyfruje: zmienia tylko to, który serwer pyta iPhone. Ale w iOS 16 i nowszym serwer obsługujący Discovery of Designated Resolvers sprawia, że iPhone automatycznie przechodzi na szyfrowany DNS. Sprawdziliśmy 26 października 2026: 1.1.1.1, 8.8.8.8 i 9.9.9.9 zgłaszają w ten sposób DoH i DoT (Quad9 także DNS over QUIC).

# iOS DNS configuration path:
Settings > Wi-Fi > tap (i) next to network > Configure DNS

# To clear the warning on this network:
Automatic

# Manual servers that iOS 16+ upgrades to encrypted DNS (DDR):
1.1.1.1   1.0.0.1           # Cloudflare
8.8.8.8   8.8.4.4           # Google
9.9.9.9   149.112.112.112   # Quad9

Ręcznie ustawiony publiczny serwer DNS może więc wywołać ostrzeżenie w sieci, która blokuje szyfrowany DNS: aby je usunąć, przełącz Konfiguruj DNS z powrotem na Automatycznie. Publiczne serwery dodawaj ręcznie tylko w sieciach, które dopuszczają szyfrowany DNS. Ustawienie dotyczy pojedynczej sieci.

Poprawka 6: zresetuj ustawienia sieciowe

Jeśli żadna z powyższych poprawek nie zadziałała, reset ustawień sieciowych usuwa wszystkie zapisane sieci Wi-Fi, konfiguracje VPN i ustawienia sieci komórkowej, dając urządzeniu całkowicie czysty stan sieciowy.

# iOS 15 and later:
Settings > General > Transfer or Reset iPhone > Reset > Reset Network Settings

# iOS 14:
Settings > General > Reset > Reset Network Settings

Po resecie urządzenie się restartuje. Będziesz musiał ponownie połączyć się ze wszystkimi sieciami Wi-Fi i wprowadzić hasła. Profile VPN również będą wymagały ponownej konfiguracji.

Jak naprawić na Macu (macOS)

To samo ostrzeżenie może pojawić się w ustawieniach Wi-Fi Maca, a szyfrowany DNS włączają tam te same źródła.

Sprawdź Przekazywanie prywatne, profile i DNS na Macu

W macOS Ventura i nowszym wejdź w Ustawienia systemowe > Sieć > Wi-Fi > Szczegóły… obok sieci: wyłącz Ograniczaj śledzenie adresu IP, aby zatrzymać Przekazywanie prywatne w tej sieci, i sprawdź kartę DNS pod kątem ręcznych serwerów (usuń je, aby wyczyścić ostrzeżenie, bo 1.1.1.1, 8.8.8.8 i 9.9.9.9 przechodzą na szyfrowany DNS przez DDR). Aplikacje DNS i profile znajdziesz w Ustawienia systemowe → Ogólne → Zarządzanie urządzeniami. Aby ustawić serwery DNS z Terminala:

# Remove manual DNS servers (back to the network's own):
sudo networksetup -setdnsservers Wi-Fi Empty

# Or set servers for Wi-Fi:
sudo networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1

# Check what's set:
networksetup -getdnsservers Wi-Fi

Wyczyść pamięć podręczną DNS na Macu

Po zmianie ustawień DNS wyczyść lokalną pamięć podręczną DNS, aby Mac od razu z nich korzystał. Nasz poradnik jak wyczyścić pamięć podręczną DNS obejmuje też Windows, Linuksa i przeglądarki.

# macOS Ventura / Sonoma / Sequoia and later:
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

# Check that DNS resolution works:
nslookup example.com 1.1.1.1

Jak naprawić na routerze

Jeśli to Twoja sieć, naprawa routera pomaga wszystkim urządzeniom naraz. Zacznij od tego, co filtruje DNS.

Sprawdź filtry routera, potem zaktualizuj oprogramowanie

Kontrola rodzicielska, blokowanie reklam i funkcje bezpieczeństwa w routerach i bramkach dostawców często działają przez przechwytywanie DNS, a niektóre blokują szyfrowany DNS, żeby urządzenia nie ominęły filtra. Wyłącz taką funkcję w panelu administratora routera (albo zezwól w niej na DoH i DoT) i sprawdź, czy ostrzeżenie znika. Potem zainstaluj dostępną aktualizację oprogramowania (nazwy menu zależą od modelu):

• ASUS: Panel administratora routera (192.168.1.1) > Administracja > Aktualizacja oprogramowania > Sprawdź aktualizacje
• TP-Link: tplinkwifi.net > Narzędzia systemowe > Aktualizacja oprogramowania (lub użyj aplikacji Tether)
• Netgear: routerlogin.net > Administracja > Aktualizacja oprogramowania > Sprawdź online
• Linksys: 192.168.1.1 > Łączność > Aktualizacja oprogramowania routera

Zmień serwery DNS na routerze

Jeśli filtrem jest DNS dostawcy internetu, skierowanie routera na publiczny resolwer to zatrzymuje. Sam router nadal pyta ten resolwer zwykłym DNS, chyba że obsługuje DoT lub DoH.

# Typical router DNS configuration:
# 1. Open router admin panel: http://192.168.1.1 or http://192.168.0.1
# 2. Navigate to: WAN Settings > DNS Configuration
# 3. Change from "Get from ISP" to "Manual"
# 4. Enter DNS servers:

Primary DNS:   1.1.1.1     (Cloudflare)
Secondary DNS: 8.8.8.8     (Google)

# Alternative: Quad9 with malware blocking
Primary DNS:   9.9.9.9
Secondary DNS: 149.112.112.112

# 5. Save and reboot router

Urządzenia pobierają nowy serwer DNS po ponownym połączeniu. Jeśli router przekazuje bezpośrednio adres serwera publicznego (np. 1.1.1.1), a nie własny (192.168.x.x), iOS 16 i macOS Ventura oraz nowsze przełączają się na szyfrowany DNS automatycznie przez DDR.

Najlepsze serwery DNS obsługujące szyfrowanie

Te publiczne resolwery obsługują zarówno DoH, jak i DoT, więc aplikacja DNS lub profil dla dowolnego z nich daje szyfrowany DNS, gdy sieć na to pozwala.

Cloudflare, Google i Quad9 zgłaszają swoje szyfrowane punkty końcowe także przez DDR, z czego iOS 16 i macOS Ventura oraz nowsze korzystają automatycznie, gdy jeden z nich jest Twoim serwerem DNS. Nie wiesz, który jest najszybszy z Twojego łącza? Test szybkości DNS zmierzy je w przeglądarce. Pełne instrukcje: nasze poradniki o serwerach DNS Cloudflare i serwerach DNS Google.

Jak sprawdzić, czy szyfrowany DNS działa

Po zastosowaniu poprawek zweryfikuj, że Twoje zapytania DNS są faktycznie szyfrowane. Oto metody dla każdej platformy.

Weryfikacja na iPhone/iPad

Sprawdź na samym urządzeniu:

• Uruchom w Safari DNS Leak Test od DNS Robot: gdy szyfrowany DNS działa, zobaczysz serwery wybranego dostawcy, a nie dostawcy internetu
• Jeśli używasz Cloudflare, odwiedź 1.1.1.1/help: pokaże, czy Twoje zapytania używają DoH, DoT, czy zwykłego DNS
• Wejdź w Ustawienia > Wi-Fi, dotknij (i) obok sieci: Ostrzeżenie dotyczące prywatności znika, gdy szyfrowany DNS tam działa albo gdy nic na urządzeniu go nie próbuje

Weryfikacja na Macu

Na macOS możesz użyć Terminala do weryfikacji rozwiązywania DNS i sprawdzenia, czy szyfrowanie jest aktywne.

# Check which DNS servers are active:
scutil --dns | grep nameserver

# Test DNS resolution through Cloudflare DoH:
curl -s -H 'accept: application/dns-json' 'https://1.1.1.1/dns-query?name=dnsrobot.net&type=A' | python3 -m json.tool

# Check if DoH is working via Cloudflare's test page:
open https://1.1.1.1/help

Kiedy to ostrzeżenie jest normalne (i można je zignorować)

Ostrzeżenie o szyfrowanym DNS nie zawsze jest problemem wymagającym naprawy. W niektórych sytuacjach sieć celowo blokuje szyfrowany DNS z uzasadnionych powodów bezpieczeństwa.

• Sieci firmowe i biurowe — dział IT blokuje szyfrowany DNS, by wykrywać malware i egzekwować zasady bezpieczeństwa. To standardowa praktyka, a Twój ruch HTTPS pozostaje zaszyfrowany
• Sieci szkolne — amerykańskie szkoły K-12 i biblioteki korzystające ze zniżek E-rate muszą filtrować zgodnie z CIPA (Children's Internet Protection Act), a wiele z nich robi to przez DNS; uczelnie filtrują według własnych zasad
• Użytkownicy Pi-hole lub AdGuard Home — lokalny bloker reklam oparty na DNS może powstrzymywać urządzenia przed przełączeniem na szyfrowany DNS, by dalej filtrować. To zamierzone działanie
• Wi-Fi w hotelach, na lotniskach i w kawiarniach — sieci publiczne często filtrują DNS. Tu ostrzeżenie ma największe znaczenie: każdy, kto prowadzi sieć, widzi Twoje zapytania, więc w Wi-Fi, któremu nie ufasz, używaj VPN

W sieciach zarządzanych możesz spokojnie korzystać dalej: Twoje zapytania widzi właściciel sieci, ale strony HTTPS pozostają zaszyfrowane. Prawdziwe ryzyko niezaszyfrowanego DNS dotyczy niezaufanych sieci publicznych, gdzie ktoś może obserwować lub podmieniać Twoje zapytania.

Często zadawane pytania