Эта сеть блокирует защищенный трафик DNS: что значит и как убрать

Что значит «Эта сеть блокирует защищенный трафик DNS»?

«Эта сеть блокирует защищенный трафик DNS» значит, что ваш iPhone, iPad или Mac пытался отправлять DNS-запросы (узнавать адреса сайтов) через зашифрованный DNS-сервер, а сеть Wi-Fi этому помешала. Apple показывает это как «Предупреждение конфиденциальности» под названием сети в Настройки > Wi-Fi со строкой: «Названия сайтов и серверов, к которым Ваше устройство получает доступ в этой сети, могут отслеживаться и записываться другими устройствами, находящимися в этой сети» (в iOS 16 и 17 — «Названия веб-сайтов и серверов…»).

Apple объяснила это, когда добавила зашифрованный DNS в iOS 14 и macOS Big Sur (WWDC 2020): некоторые сети по своей политике блокируют зашифрованные DNS-серверы, потому что фильтруют трафик по DNS-запросам, и тогда сеть Wi-Fi помечается предупреждением о конфиденциальности.

Устройство пробует зашифрованный DNS, только если его что-то включило: DNS-приложение (например, 1.1.1.1 от Cloudflare, NextDNS или AdGuard), DNS-профиль, управление устройством со стороны работодателя или, в iOS 16 и новее, DNS-сервер, который сам предлагает шифрование. Причиной может быть и Частный узел iCloud (iCloud Private Relay): в настройках Wi-Fi от Apple сказано, что он сам направляет DNS-запросы. Найдите этот источник — и вы нашли решение.

Что такое зашифрованный DNS-трафик?

Каждый раз, когда вы посещаете сайт, ваше устройство отправляет DNS-запрос для преобразования доменного имени (например, dnsrobot.net) в IP-адрес. Традиционный DNS отправляет эти запросы открытым текстом через порт 53 — полностью без шифрования. Это означает, что ваш интернет-провайдер, сетевой администратор или любой человек в той же Wi-Fi сети может видеть каждый домен, который вы запрашиваете.

Зашифрованный DNS оборачивает эти запросы в шифрование, точно так же, как HTTPS защищает веб-трафик. Вместо отправки dns-query: dnsrobot.net открытым текстом, ваше устройство шифрует запрос так, что только DNS-сервер может его прочитать.

Существует два основных протокола зашифрованного DNS, которые поддерживают устройства Apple:

• DNS-over-HTTPS (DoH) — отправляет DNS-запросы через HTTPS на порту 443, поэтому они сливаются с обычным веб-трафиком
• DNS-over-TLS (DoT) — отправляет DNS-запросы через TLS-соединение на выделенном порту 853, обеспечивая шифрование с чёткой границей протокола

Устройства Apple поддерживают оба протокола начиная с iOS 14 и macOS Big Sur, но по умолчанию их не используют. Начиная с iOS 16 и macOS Ventura они также сами переходят на зашифрованный DNS, когда DNS-сервер сети сообщает о нём через механизм Discovery of Designated Resolvers (DDR). Те же протоколы на Android описаны в нашем руководстве по частному DNS.

DoH и DoT: в чём разница

Оба протокола шифруют ваши DNS-запросы, но работают по-разному. Понимание разницы поможет вам выбрать правильное решение при исправлении проблемы блокировки.

Когда сеть блокирует зашифрованный DNS, проще всего ей заблокировать DoT на порту 853. DoH использует порт 443 вместе со всеми HTTPS-сайтами, поэтому сети блокируют его по адресам и именам известных DoH-серверов или отвечают на эти имена ошибкой.

Почему сети блокируют зашифрованный DNS?

Не вся блокировка зашифрованного DNS является вредоносной. Существует несколько обоснованных причин, по которым сеть может блокировать или вмешиваться в зашифрованный DNS-трафик:

• Корпоративные сети — IT-отделы блокируют зашифрованный DNS для обеспечения политик безопасности, фильтрации контента и обнаружения угроз. Им нужна видимость DNS-запросов для блокировки вредоносных доменов и предотвращения утечки данных
• Маршрутизаторы с родительским контролем — Маршрутизаторы со встроенным родительским контролем (например, Netgear Smart Parental Controls или ASUS AiProtection) перехватывают DNS-запросы для фильтрации категорий контента. Зашифрованный DNS обходит эти фильтры
• Фильтрация контента провайдером — Некоторые интернет-провайдеры используют DNS-фильтрацию для соблюдения государственных правил или блокировки известных вредоносных сайтов. Зашифрованный DNS делает эту фильтрацию невозможной
• Порталы авторизации публичных Wi-Fi — Отели, аэропорты и кафе используют перехват DNS для перенаправления на страницу входа. Зашифрованный DNS нарушает этот механизм перенаправления
• Pi-hole и AdGuard Home — DNS-блокировщикам рекламы нужно видеть ваши запросы. Pi-hole, например, по умолчанию отвечает на имена, по которым устройства обнаруживают зашифрованный DNS (DDR) и Частный узел iCloud, чтобы устройства оставались на нём, а некоторые конфигурации добавляют списки блокировки DoH-серверов

В домашней сети сначала ищите функцию, которая фильтрует DNS: родительский контроль, блокировщик рекламы вроде Pi-hole или AdGuard Home, пакет безопасности маршрутизатора или правило файрвола для порта 853.

Как исправить на iPhone и iPad (iOS/iPadOS)

Начните с исправления 1: оно находит настройку, которая пытается использовать зашифрованный DNS. Исправления 2–6 помогают, если подключение «зависло».

Исправление 1: найдите, что включило зашифрованный DNS

Проверьте по порядку. Каждый из этих пунктов может заставить устройство пробовать зашифрованный DNS в любой сети:

• Частный узел iCloud (iCloud Private Relay) — он сам направляет и шифрует ваши DNS-запросы; в настройках Wi-Fi от Apple написано: «Маршрутизацией DNS-запросов для этой сети Wi-Fi управляет Частный узел iCloud». Чтобы отключить его только для этой сети, откройте Настройки > Wi-Fi, нажмите (i) рядом с сетью и выключите «Ограничение трекинга по IP-адресу» (так Apple предлагает отключать Частный узел для одной сети). Если сеть блокирует сам Частный узел, iPhone показывает другое сообщение — о том, что сеть несовместима с Частным узлом
• DNS-приложение или профиль — откройте Настройки > Основные > VPN и управление устройством и найдите запись VPN или DNS от приложения (приложение 1.1.1.1 от Cloudflare устанавливает VPN-профиль, NextDNS и AdGuard используют настройки DNS) или профиль. Выключите приложение в этой сети или удалите ненужный профиль
• DNS-серверы, заданные вручную — в Настройки > Wi-Fi > (i) > Настройка DNS серверы вроде 1.1.1.1, 8.8.8.8 и 9.9.9.9 сообщают iOS 16 и новее, что поддерживают зашифрованный DNS, и iPhone автоматически переходит на него. Для проверки верните «Настройка DNS» в режим «Автоматически»
• Рабочий профиль — если устройством управляет работодатель, его настройки DNS заданы политикой: обратитесь в IT-отдел, а не меняйте их сами

Исправление 2: перезагрузите устройство и маршрутизатор

Перезагрузка очищает кэшированное состояние сети и на устройстве, и на маршрутизаторе.

• iPhone/iPad: удерживайте боковую кнопку + кнопку громкости > сдвиньте для выключения > подождите 30 секунд > включите
• Маршрутизатор: отключите кабель питания > подождите 30 секунд > подключите обратно > подождите 2 минуты для полной загрузки

После перезагрузки обоих устройств перейдите в Настройки > Wi-Fi и нажмите на имя вашей сети. Проверьте, осталось ли «Предупреждение конфиденциальности».

Исправление 3: забудьте сеть Wi-Fi и подключитесь заново

Если забыть сеть, удалятся её сохранённые настройки, включая заданный для неё DNS, и устройство подключится заново: Настройки > Wi-Fi > (i) > Забыть эту сеть. Для повторного подключения понадобится пароль Wi-Fi, поэтому сначала уточните его (часто он указан на наклейке на маршрутизаторе).

# iOS path:
Settings > Wi-Fi > tap (i) next to network name > Forget This Network > Confirm

# Then reconnect:
Settings > Wi-Fi > select your network > enter password

Исправление 4: обновите iOS или iPadOS

Перейдите в Настройки > Основные > Обновление ПО и установите доступные обновления. О неожиданных предупреждениях в iOS 14 и 15 сообщали на форумах разработчиков Apple, поэтому обновитесь, прежде чем менять что-то ещё.

Исправление 5: проверьте DNS-серверы, заданные вручную

«Настройка DNS» > «Вручную» сама по себе ничего не шифрует: она лишь меняет сервер, к которому обращается iPhone. Но в iOS 16 и новее сервер с поддержкой Discovery of Designated Resolvers заставляет iPhone автоматически перейти на зашифрованный DNS. Мы проверили 26 октября 2026 года: 1.1.1.1, 8.8.8.8 и 9.9.9.9 так сообщают о DoH и DoT (Quad9 — ещё и о DNS over QUIC).

# iOS DNS configuration path:
Settings > Wi-Fi > tap (i) next to network > Configure DNS

# To clear the warning on this network:
Automatic

# Manual servers that iOS 16+ upgrades to encrypted DNS (DDR):
1.1.1.1   1.0.0.1           # Cloudflare
8.8.8.8   8.8.4.4           # Google
9.9.9.9   149.112.112.112   # Quad9

Поэтому публичный DNS-сервер, заданный вручную, может вызывать предупреждение в сети, которая блокирует зашифрованный DNS: чтобы убрать его, верните «Настройка DNS» в режим «Автоматически» (Настройки > Wi-Fi > (i) > Настройка DNS). Добавляйте публичные серверы вручную только в сетях, которые разрешают зашифрованный DNS. Настройка задаётся для каждой сети отдельно.

Исправление 6: сбросьте настройки сети

Если ни одно из вышеперечисленных исправлений не помогло, сброс сетевых настроек удалит все сохранённые Wi-Fi сети, конфигурации VPN и настройки сотовой связи, предоставив устройству полностью чистое сетевое состояние.

# iOS 15 and later:
Settings > General > Transfer or Reset iPhone > Reset > Reset Network Settings

# iOS 14:
Settings > General > Reset > Reset Network Settings

После сброса устройство перезагрузится. Вам нужно будет заново подключиться ко всем Wi-Fi сетям и ввести пароли. Профили VPN также потребуется перенастроить.

Как исправить на Mac (macOS)

То же предупреждение может появиться в настройках Wi-Fi на Mac, и включают там зашифрованный DNS те же источники.

Проверьте Частный узел, профили и DNS на Mac

В macOS Ventura и новее откройте Системные настройки > Сеть > Wi-Fi и нажмите «Подробнее…» рядом с сетью: выключите «Ограничение трекинга по IP-адресу», чтобы отключить Частный узел в этой сети, и проверьте вкладку DNS на серверы, заданные вручную (удалите их, чтобы убрать предупреждение: 1.1.1.1, 8.8.8.8 и 9.9.9.9 переходят на зашифрованный DNS через DDR). DNS-приложения и профили находятся в разделе Системные настройки → Основные → Управление устройством. Чтобы задать DNS-серверы через Терминал:

# Remove manual DNS servers (back to the network's own):
sudo networksetup -setdnsservers Wi-Fi Empty

# Or set servers for Wi-Fi:
sudo networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1

# Check what's set:
networksetup -getdnsservers Wi-Fi

Очистка кэша DNS на Mac

После изменения настроек DNS очистите локальный кэш DNS, чтобы Mac сразу начал их использовать. В нашем руководстве по очистке кэша DNS есть также Windows, Linux и браузеры.

# macOS Ventura / Sonoma / Sequoia and later:
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

# Check that DNS resolution works:
nslookup example.com 1.1.1.1

Как исправить на маршрутизаторе

Если сеть ваша, исправление на маршрутизаторе помогает сразу всем устройствам. Начните с того, что фильтрует DNS.

Проверьте фильтры маршрутизатора, затем обновите прошивку

Родительский контроль, блокировка рекламы и функции безопасности на маршрутизаторах и шлюзах провайдеров часто работают через перехват DNS, а некоторые блокируют зашифрованный DNS, чтобы устройства не обходили фильтр. Выключите такую функцию в панели администратора маршрутизатора (или разрешите в ней DoH и DoT) и проверьте, пропало ли предупреждение. Затем установите обновление прошивки (названия пунктов меню зависят от модели):

• ASUS: Панель администратора маршрутизатора (192.168.1.1) > Администрирование > Обновление прошивки > Проверить наличие обновлений
• TP-Link: tplinkwifi.net > Системные инструменты > Обновление прошивки (или используйте приложение Tether)
• Netgear: routerlogin.net > Администрирование > Обновление прошивки > Проверить онлайн
• Linksys: 192.168.1.1 > Подключение > Обновление прошивки маршрутизатора

Смена DNS-серверов на маршрутизаторе

Если DNS фильтрует ваш провайдер, переключение маршрутизатора на публичный резолвер это прекращает. Сам маршрутизатор при этом обращается к резолверу по обычному DNS, если не поддерживает DoT или DoH.

# Typical router DNS configuration:
# 1. Open router admin panel: http://192.168.1.1 or http://192.168.0.1
# 2. Navigate to: WAN Settings > DNS Configuration
# 3. Change from "Get from ISP" to "Manual"
# 4. Enter DNS servers:

Primary DNS:   1.1.1.1     (Cloudflare)
Secondary DNS: 8.8.8.8     (Google)

# Alternative: Quad9 with malware blocking
Primary DNS:   9.9.9.9
Secondary DNS: 149.112.112.112

# 5. Save and reboot router

Устройства получат новый DNS-сервер при повторном подключении. Если маршрутизатор раздаёт адрес публичного сервера напрямую (например, 1.1.1.1), а не свой (192.168.x.x), iOS 16 и macOS Ventura и новее автоматически переходят на зашифрованный DNS через DDR.

Лучшие DNS-серверы с поддержкой шифрования

Эти публичные резолверы поддерживают и DoH, и DoT, поэтому DNS-приложение или профиль любого из них даёт зашифрованный DNS там, где сеть это разрешает.

Cloudflare, Google и Quad9 также сообщают о своих зашифрованных адресах через DDR, и iOS 16, macOS Ventura и новее используют их автоматически, когда один из этих серверов — ваш DNS. Не знаете, какой из них быстрее с вашего подключения? Тест скорости DNS измерит их прямо в браузере. Пошаговая настройка — в наших руководствах по DNS-серверам Cloudflare и DNS-серверам Google.

Как проверить, что зашифрованный DNS работает

После применения исправлений убедитесь, что ваши DNS-запросы действительно шифруются. Вот методы для каждой платформы.

Проверка на iPhone/iPad

Проверьте на самом устройстве:

• Запустите DNS Leak Test от DNS Robot в Safari: если зашифрованный DNS работает, вы увидите серверы выбранного провайдера, а не своего интернет-провайдера
• Если вы используете Cloudflare, откройте 1.1.1.1/help: там видно, идут ли ваши запросы через DoH, DoT или обычный DNS
• Откройте Настройки > Wi-Fi и нажмите (i) рядом с сетью: «Предупреждение конфиденциальности» исчезает, когда зашифрованный DNS в этой сети работает или когда устройство его больше не пробует

Проверка на Mac

На macOS вы можете использовать Терминал для проверки DNS-разрешения и статуса шифрования.

# Check which DNS servers are active:
scutil --dns | grep nameserver

# Test DNS resolution through Cloudflare DoH:
curl -s -H 'accept: application/dns-json' 'https://1.1.1.1/dns-query?name=dnsrobot.net&type=A' | python3 -m json.tool

# Check if DoH is working via Cloudflare's test page:
open https://1.1.1.1/help

Когда это предупреждение нормально (и его можно игнорировать)

Предупреждение о зашифрованном DNS не всегда является проблемой, которую нужно исправлять. В некоторых ситуациях сеть намеренно блокирует зашифрованный DNS по обоснованным причинам безопасности.

• Корпоративные/офисные сети — IT-отдел вашей компании блокирует зашифрованный DNS для мониторинга вредоносного ПО и соблюдения политик безопасности. Это стандартная практика, и ваш HTTPS-трафик остаётся зашифрованным
• Школьные сети — Школы и библиотеки США, получающие скидки по программе E-rate, обязаны фильтровать интернет по закону CIPA (Children's Internet Protection Act), и многие фильтруют через DNS; университеты фильтруют по собственным правилам
• Пользователи Pi-hole или AdGuard Home — Локальный DNS-блокировщик рекламы может не давать устройствам переходить на зашифрованный DNS, чтобы продолжать фильтрацию. Так и задумано
• Wi-Fi в отелях, аэропортах и кафе — Публичные сети часто фильтруют DNS. Здесь предупреждение важнее всего: тот, кто управляет сетью, видит ваши запросы, поэтому в Wi-Fi, которому вы не доверяете, включайте VPN

В управляемых сетях можно спокойно продолжать работу: владелец сети видит ваши запросы, но HTTPS-страницы остаются зашифрованными. Реальный риск незашифрованного DNS — в ненадёжных публичных сетях, где кто-то может следить за вашими запросами или подменять их.

Часто задаваемые вопросы