DNS CleanBrowsing: адреса семейного фильтра и настройка

Что такое CleanBrowsing DNS

CleanBrowsing DNS — это бесплатный фильтрующий DNS-сервис: укажите на роутере или устройстве адреса 185.228.168.168 и 185.228.169.168, и семейный фильтр заблокирует контент для взрослых, включит безопасный поиск и не пустит детей на сайты VPN и прокси. Аккаунт и приложение не нужны. Бесплатных фильтров три — семейный, для взрослых и безопасности, у каждого свои адреса; есть и платные тарифы со своими категориями.

Фильтрация происходит на этапе DNS-запроса. На заблокированное имя CleanBrowsing отвечает NXDOMAIN («такого домена нет»), поэтому страница не загружается: Chrome показывает DNS_PROBE_FINISHED_NXDOMAIN, другие браузеры — похожую ошибку «сервер не найден».

У бесплатного сервиса есть ограничения, о которых CleanBrowsing сам пишет на странице фильтров: он с ограничением скорости, без поддержки и не настраивается. Платные тарифы стоят от 75 $ в год (бесплатный и платный) и добавляют более 26 категорий, списки разрешённых и заблокированных сайтов и отчёты. По данным CleanBrowsing, его бесплатные фильтры обрабатывают более 355 млрд запросов в месяц в 70+ дата-центрах.

Адреса DNS-серверов CleanBrowsing (IPv4, IPv6, DoH, DoT)

Это адреса бесплатных фильтров со страницы фильтров CleanBrowsing, проверенные 26 октября 2026 года. Используйте оба адреса одного фильтра, а если в вашей сети есть IPv6 — ещё и пару IPv6.

У фильтра для взрослых опубликованы два вторичных адреса. На странице фильтров указан 185.228.169.11, в руководстве по настройке CleanBrowsing — 185.228.169.10. В нашем тесте оба работали как фильтр для взрослых, но .10 на заблокированное имя отвечает NXDOMAIN, как основной адрес, а .11 возвращает 185.228.168.254 — сервер, который показывает страницу «Website Blocked» от CleanBrowsing.

Все шесть адресов IPv6 ответили из нашей сети и фильтровали точно так же, как их IPv4-аналоги.

Семейный, для взрослых, безопасности: что блокирует каждый фильтр

Семейный блокирует сайты для взрослых, со смешанным контентом, VPN и прокси, а также вредоносные сайты и фишинг и включает безопасный поиск. Для взрослых блокирует сайты для взрослых и угрозы, но не трогает Reddit, VPN и YouTube. Безопасности блокирует только угрозы.

26 октября 2026 года мы спросили каждый фильтр об одних и тех же именах из Индии. Галочка означает, что фильтр заблокировал имя (NXDOMAIN) или перенаправил на безопасную версию поисковой системы.

Три результата выходят за рамки собственных описаний CleanBrowsing:

• Фильтр для взрослых включает безопасный поиск. Страница CleanBrowsing «Free vs Paid» говорит, что нет, страница фильтров — что да. Он перенаправил Google, Bing и DuckDuckGo на их безопасные версии, как и семейный.
• У семейного фильтра на YouTube стоит умеренный уровень, а не строгий (см. следующий раздел).
• Соцсети остаются открытыми на всех бесплатных фильтрах. TikTok, Instagram и Discord разрешались как обычно; чтобы заблокировать соцсети или игры, нужен платный тариф или контроль на самом устройстве.

Безопасный поиск и YouTube: что на самом деле делает семейный фильтр

CleanBrowsing включает безопасный поиск через DNS: на запрос адреса поисковой системы приходит адрес её версии с принудительной защитой. У Google это forcesafesearch.google.com (216.239.38.120), который выдаёт результаты с включённым безопасным поиском независимо от настроек браузера.

Семейный фильтр и фильтр для взрослых ответили 216.239.38.120 на www.google.com и на страновые сайты вроде www.google.co.in, а Bing направили на strict.bing.com, DuckDuckGo — на safe.duckduckgo.com. Фильтр безопасности их не менял.

На YouTube заявление и измерение расходятся. В руководстве по безопасному поиску CleanBrowsing сказано, что бесплатный семейный фильтр использует строгий безопасный режим. У DNS-метода Google два адреса: restrict.youtube.com для строгого режима (216.239.38.120) и restrictmoderate.youtube.com для умеренного (216.239.38.119). Семейный фильтр ответил 216.239.38.119, то есть умеренный режим, для всех пяти имён хостов YouTube из списка Google, включая youtubei.googleapis.com, который использует приложение. Фильтр для взрослых YouTube не ограничивает.

# Family filter: Google SafeSearch, Bing and YouTube (DNS Robot, 26 Oct 2026)
dig @185.228.168.168 www.google.com +short
# 216.239.38.120   <- forcesafesearch.google.com

dig @185.228.168.168 www.bing.com +short | head -1
# strict.bing.com.

dig @185.228.168.168 www.youtube.com +short
# 216.239.38.119   <- restrictmoderate.youtube.com (Moderate)

Тест скорости CleanBrowsing: наши результаты из Индии

26 октября 2026 года мы измерили каждый адрес с домашнего подключения Jio в Индии: медиана пяти запросов популярного имени (из кэша) и пяти совершенно новых имён (не из кэша), плюс 20 запросов, чтобы посчитать, как часто сервер не отвечал за 2 секунды. Семейные фильтры Cloudflare и OpenDNS проверялись рядом.

Два адреса одного фильтра неравноценны. CleanBrowsing сообщает имя отвечающего сервера (dig @185.228.168.168 id.server CH TXT): из нашей сети каждый адрес 185.228.168.x отвечал из Сингапура, а каждый адрес 185.228.169.x — из Лондона. Это примерно вдвое увеличило время ответа из кэша (63–79 мс против 152–166 мс) и привело к большему числу потерянных запросов. Адреса IPv6 от запроса к запросу переключались между двумя городами.

Cloudflare и OpenDNS отвечали на имена из кэша примерно вдвое быстрее, потому что оба отвечали из Индии; на совершенно новых именах разрыв был небольшим (52–68 мс против 66–75 мс). В Европе или Северной Америке порядок может измениться, так что измеряйте на своём подключении.

CleanBrowsing по DNS over HTTPS и DNS over TLS

Все три бесплатных фильтра поддерживают шифрованный DNS. Он не даёт провайдеру или владельцу Wi-Fi читать и подменять запросы, а на телефонах фильтр продолжает работать и в мобильной сети.

• DNS over TLS (DoT): имя хоста фильтра на порту 853, например family-filter-dns.cleanbrowsing.org; его использует персональный DNS-сервер Android. Все три имени хоста завершили рукопожатие TLS 1.3 с действительным сертификатом *.cleanbrowsing.org и фильтровали так же, как обычный DNS; на одном открытом соединении медиана семейного фильтра составила от 78 до 89 мс в трёх прогонах.
• DNS over HTTPS (DoH): https://doh.cleanbrowsing.org/doh/family-filter/ (или adult-filter, security-filter). Он отвечал на стандартные запросы RFC 8484, медиана для семейного фильтра — 83 мс. Используйте его в Windows 11, браузерах и профилях Apple.
• Платные тарифы получают собственные имена хостов DoT и пути DoH с кодом аккаунта, которые показаны в панели CleanBrowsing.

# curl can resolve through a DoH server: allowed sites load, blocked ones don't resolve
curl -sI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://example.com | head -1
# HTTP/2 200

curl -sSI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://www.reddit.com
# curl: (6) Couldn't resolve host name

Безопасен ли CleanBrowsing: приватность, логи и DNSSEC

Для бесплатных фильтров политика конфиденциальности CleanBrowsing гласит, что сервис не записывает и не хранит персональные данные вроде вашего IP-адреса и не продаёт, не сдаёт в аренду и не передаёт персональные данные. Зато он хранит обезличенные данные запросов (запрошенные домены), может хранить их бессрочно и передаёт в обезличенном виде родственным брендам NOC, DNSArchive и Trunc.

Он не передаёт вашу сеть и другим DNS-серверам: тест Google o-o.myaddr.l.google.com увидел только серверы CleanBrowsing и не увидел EDNS Client Subnet, как и у Cloudflare. OpenDNS FamilyShield передал нашу подсеть /24 в одном случае из двух.

Слабое место — DNSSEC. Проверяющий резолвер обязан отклонять домен с нарушенными подписями (тестовые домены вроде dnssec-failed.org должны давать SERVFAIL). Ответ CleanBrowsing зависел от сервера: узлы с версией ПО v1.6a вернули адрес для сломанного домена в 27 из 27 запросов, а узлы v1.7a, включая все ответы из Лондона, его отклонили. Cloudflare 1.1.1.3 и OpenDNS FamilyShield отклонили все 20 запросов. Пока старые узлы не обновлены, CleanBrowsing не гарантирует защиту от подделанных ответов.

Как настроить CleanBrowsing DNS

Для родительского контроля начните с роутера: фильтруются все устройства в вашем Wi-Fi, включая консоли и умные телевизоры, а на устройстве ребёнка нечего отключать. Затем настройте его на каждом телефоне и ноутбуке, которые выходят из дома, потому что настройка роутера не действует в мобильной сети и в чужом Wi-Fi.

На роутере (лучший вариант для родительского контроля)

• Откройте страницу администрирования роутера, обычно по адресу 192.168.1.1 или 192.168.0.1. В нашем руководстве по входу в роутер указаны адрес и пароль по умолчанию для каждой марки и провайдера.
• Найдите поля DNS в разделе Интернет, WAN или DHCP. CleanBrowsing советует задавать их в настройках WAN, чтобы они действовали на всю сеть.
• Замените имеющиеся серверы на 185.228.168.168 и 185.228.169.168. В разделе IPv6 введите 2a0d:2a00:1:: и 2a0d:2a00:2:: или отключите IPv6 DNS, если роутер не принимает свои IPv6-серверы.
• Сохраните, перезагрузите роутер и переподключите устройства, чтобы они подхватили изменение.

Android: персональный DNS-сервер (Wi-Fi и мобильная сеть)

Android 9 и новее могут отправлять все запросы в CleanBrowsing по DoT через персональный DNS-сервер в любой сети:

• Откройте Настройки → Сеть и интернет → Частный DNS-сервер (на некоторых телефонах в разделе Дополнительно; на Samsung — Подключения → Другие настройки → Персональный DNS-сервер).
• Выберите Вручную (в Android 9–11 — Имя хоста поставщика персонального DNS-сервера) и введите family-filter-dns.cleanbrowsing.org (или adult-filter-dns.cleanbrowsing.org / security-filter-dns.cleanbrowsing.org).
• Нажмите Сохранить. Если появилось «Ошибка подключения», проверьте написание: некоторые школьные и офисные сети блокируют порт 853.

iPhone и iPad

• Лучше всего — профиль шифрованного DNS. На iPhone откройте страницу профилей Apple на сайте CleanBrowsing, выберите семейный фильтр и скачайте профиль (iOS 14 или новее). Затем откройте Настройки → Профиль загружен → Установить. Он использует DoH в любой сети, и в Wi-Fi, и в сотовой.
• Только для одной сети Wi-Fi: откройте Настройки → Wi-Fi, нажмите (i) рядом с сетью, затем Настройка DNS → Вручную. Удалите имеющиеся серверы и добавьте 185.228.168.168 и 185.228.169.168.
• Профиль можно удалить в настройках, а VPN-приложение обходит любой DNS-фильтр. Через Экранное время → Контент и конфиденциальность запретите установку новых приложений и задайте код-пароль Экранного времени, известный только вам.

В Windows 11 и 10

• Откройте Параметры → Сеть и Интернет, выберите Wi-Fi (затем Свойства оборудования) или Ethernet.
• Рядом с Назначение DNS-сервера нажмите Изменить, выберите Вручную и включите IPv4.
• Введите 185.228.168.168 как предпочтительный и 185.228.169.168 как дополнительный DNS-сервер. В Windows 11 для DNS через HTTPS выберите Включено (шаблон вручную) и введите для обоих https://doh.cleanbrowsing.org/doh/family-filter/.
• Включите IPv6, добавьте 2a0d:2a00:1:: и 2a0d:2a00:2::, затем нажмите Сохранить. В Windows 10 используйте Панель управления → Центр управления сетями и общим доступом → Изменение параметров адаптера или строку PowerShell ниже.

# PowerShell as administrator (use "Ethernet" for a wired connection)
Set-DnsClientServerAddress -InterfaceAlias "Wi-Fi" -ServerAddresses 185.228.168.168,185.228.169.168,2a0d:2a00:1::,2a0d:2a00:2::
ipconfig /flushdns

В macOS

• Откройте Системные настройки → Сеть, выберите Wi-Fi (или Ethernet) и нажмите Подробнее.
• На вкладке DNS удалите старые серверы, нажмите + и добавьте 185.228.168.168, 185.228.169.168, 2a0d:2a00:1:: и 2a0d:2a00:2::, затем нажмите OK.
• Чтобы шифрованный DNS сопровождал MacBook в других сетях, установите вместо этого тот же профиль Apple (macOS 11 Big Sur или новее).

# Terminal alternative, then clear the DNS cache
networksetup -setdnsservers Wi-Fi 185.228.168.168 185.228.169.168 2a0d:2a00:1:: 2a0d:2a00:2::
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Как дети обходят DNS-фильтры (и как им помешать)

DNS-фильтр работает, только пока устройство обращается к нему. Вот обычные способы обойти CleanBrowsing и то, что останавливает каждый из них:

• Ввести другой DNS-сервер, например 8.8.8.8. Решение: на роутере разрешите порт 53 только к диапазону CleanBrowsing 185.228.168.0/23, а остальное перенаправьте или заблокируйте (правила ниже).
• DNS over HTTPS в браузере. Семейный фильтр ответил NXDOMAIN на dns.google, cloudflare-dns.com, mozilla.cloudflare-dns.com, dns.quad9.net, dns.nextdns.io и другие имена DoH-серверов, а также на use-application-dns.net — домен-«канарейку», который не даёт Firefox самому включить DoH. DoH-сервер, введённый по IP-адресу, всё равно проходит, потому что браузеру не нужен запрос, чтобы до него добраться; поэтому на управляемых вами компьютерах отключите безопасный DNS политикой.
• Персональный DNS-сервер Android, заданный как dns.google: семейный фильтр не разрешит это имя в вашем Wi-Fi, но в мобильной сети оно работает. Заблокируйте исходящий TCP-порт 853 везде, кроме CleanBrowsing, и задайте персональный DNS-сервер самого телефона на CleanBrowsing.
• VPN-приложения и веб-прокси. Семейный фильтр заблокировал все проверенные нами сайты VPN и прокси, что останавливает веб-прокси. VPN-приложение из магазина всё же может подключиться, и тогда DNS работает внутри туннеля, где ни один DNS-фильтр его не видит, поэтому контролируйте установку приложений через Google Family Link или Экранное время.
• IPv6 и другие сети. IPv6 DNS провайдера, Wi-Fi соседа или мобильная сеть обходят настройку роутера: задайте серверы IPv6 и установите на телефон ребёнка персональный DNS-сервер или профиль Apple.

# Linux/OpenWrt router (iptables; br-lan = your LAN interface)
# Redirect every plain DNS query from the LAN to CleanBrowsing Family
iptables -t nat -A PREROUTING -i br-lan -p udp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53
iptables -t nat -A PREROUTING -i br-lan -p tcp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53

# Block DNS over TLS to anyone but CleanBrowsing
iptables -A FORWARD -i br-lan -p tcp --dport 853 ! -d 185.228.168.0/23 -j REJECT

Затем проверьте каждое устройство с помощью DNS Leak Test от DNS Robot: все перечисленные резолверы должны принадлежать CleanBrowsing. Если в списке появились Google, Cloudflare или ваш провайдер, что-то на этом устройстве обходит фильтр. Когда шифрованный DNS заблокирован, некоторые iPhone предупреждают, что сеть блокирует шифрованный DNS; вот что это значит.

CleanBrowsing, Cloudflare 1.1.1.3 и OpenDNS FamilyShield: сравнение

Cloudflare 1.1.1.3 и OpenDNS FamilyShield — два других крупных бесплатных семейных фильтра. 26 октября 2026 года мы прогнали через каждый те же тесты; адреса взяты из документации Cloudflare и со страницы FamilyShield на сайте OpenDNS.

Для детей помладше выбирайте CleanBrowsing Семейный: это единственный из трёх, кто блокирует смешанный контент вроде Reddit и ограничивает YouTube, а также блокирует сайты VPN и DoH-серверы, с помощью которых дети обходят фильтры. Выбирайте Cloudflare 1.1.1.3, если нужна блокировка сайтов для взрослых и вредоносных сайтов с безопасным поиском и быстрыми ответами, а Reddit и YouTube могут остаться открытыми; см. наше руководство по DNS Cloudflare. OpenDNS FamilyShield блокирует сайты для взрослых, VPN и прокси, но не включает безопасный поиск и пропускает тестовый сайт с вредоносным ПО.

Как проверить, что CleanBrowsing работает

Тестовый домен самого CleanBrowsing, badexample.com, блокируют все три фильтра, а через другие резолверы он открывается как обычно. Запросите его через обычный DNS, не указывая сервер: NXDOMAIN означает, что ваши запросы доходят до CleanBrowsing.

# Through your device's normal DNS (Windows, macOS, Linux)
nslookup badexample.com
# ** server can't find badexample.com: NXDOMAIN

# Which CleanBrowsing server answered? Ask one directly
dig @185.228.168.168 id.server CH TXT +short
# "CleanBrowsing v1.6a - dns-edge-asia-singapore10"

Если badexample.com возвращает адрес, ваше устройство не использует CleanBrowsing: поищите VPN, настройку безопасного DNS в браузере или второй DNS-сервер. Чтобы увидеть, на что на самом деле указывает заблокированный домен, проверьте его в DNS Lookup от DNS Robot, который опрашивает нефильтрующие публичные резолверы.