DNS Quad9: адреса 9.9.9.9, IPv6 и настройка

Что такое DNS Quad9

Quad9 DNS — бесплатный публичный DNS-резолвер по адресу 9.9.9.9 (запасной 149.112.112.112), который отказывается разрешать домены, распространяющие вредоносное ПО и фишинг. Вы указываете его на роутере, компьютере или телефоне вместо DNS-сервера провайдера, и каждый запрос проверяется по спискам угроз более чем 20 партнёров по анализу угроз, прежде чем вы получите ответ. Не нужны ни аккаунт, ни приложение, ни оплата.

Его ведёт Quad9 Foundation, некоммерческий фонд в Цюрихе (Швейцария), основанный Global Cyber Alliance, IBM и Packet Clearing House (PCH). IBM передала проекту адрес 9.9.9.9. Quad9 работает в production с августа 2016 года; на странице «О нас» (прочитана 26 октября 2026) указаны 230+ кластеров резолверов более чем в 110 странах и в среднем 670M+ заблокированных запросов в сутки.

Адреса DNS-серверов Quad9 (IPv4 и IPv6)

Это адреса рекомендуемого сервиса Quad9, который нужен большинству: блокировка вредоносных сайтов плюс проверка DNSSEC. Введите все адреса, для которых на устройстве есть место.

Все четыре адреса ведут к одному сервису через anycast: запрос попадает на ближайшую площадку Quad9. Каждый проверенный нами адрес Quad9 отвечал с res700.bom2, резолвера в Мумбаи (BOM — код аэропорта Мумбаи). Quad9 просит добавлять пару IPv6, даже если у вас нет IPv6: большинство систем просто игнорируют адреса, которыми не могут воспользоваться. В документации Microsoft для Windows второй адрес указан как 2620:fe::fe:9; в нашем тесте отвечали оба.

# Ask Quad9 directly (macOS, Linux, or Windows with BIND tools)
dig @9.9.9.9 example.com +short

# Which Quad9 site answered?
dig @9.9.9.9 id.server CH TXT +short
# "res700.bom2"

# Windows built-in equivalent
nslookup example.com 9.9.9.9

Все сервисы Quad9: 9.9.9.9, 9.9.9.10 и 9.9.9.11

Quad9 запускает один и тот же резолвер под четырьмя наборами адресов. Они отличаются двумя переключателями: блокируются ли вредоносные домены и передаётся ли часть вашего IP-адреса (EDNS Client Subnet, или ECS) DNS-серверам сайтов.

9.9.9.12 указан только в документации Quad9; в нашем тесте отвечали все четыре сервиса. Адрес DoH — это имя хоста плюс /dns-query.

ECS обменивает приватность на скорость. CDN используют вашу подсеть, чтобы выбрать ближайший к вам сервер. Quad9 считает это утечкой приватности, поэтому 9.9.9.9 её никогда не передаёт; в документации советуют 9.9.9.11, если рядом нет площадки Quad9 или сайт отдаёт вам контент другого региона. Разницу показывает служебное имя Google:

# DNS Robot's test, 26 October 2026 (our real prefix replaced with a documentation one)
dig @9.9.9.9 o-o.myaddr.l.google.com TXT +short
"2620:171:bf:f003:9999::178"           # only Quad9's own server address

dig @9.9.9.11 o-o.myaddr.l.google.com TXT +short
"edns0-client-subnet 203.0.113.0/24"   # our /24 was passed on
"2620:171:bf:f003:9999::178"

По IPv6 адрес 9.9.9.11 передал /48. Адреса 9.9.9.9, 9.9.9.10 и 1.1.1.1 у Cloudflare подсеть не передавали; 8.8.8.8 у Google тоже передал /24.

Как Quad9 блокирует вредоносные сайты (и чего не блокирует)

Quad9 сам не охотится на угрозы. Он берёт списки вредоносных доменов (вредоносное ПО, фишинг, вымогатели, шпионские программы, наборы эксплойтов) у партнёров по анализу угроз и обновляет их несколько раз в день или почти в реальном времени. Если запросить домен из списка, Quad9 отвечает так, будто его не существует, и устройство не получает адрес сервера.

Он не блокирует рекламу, трекеры и сайты для взрослых, не планирует фильтровать контент и не считает спам угрозой. Для фильтра сайтов для взрослых берите, например, 1.1.1.3 от Cloudflare.

Quad9 описывает тестовый домен isitblocked.org, который его блокирующие сервисы не разрешают. Результат теста DNS Robot от 26 октября 2026:

И блокировка, и действительно несуществующий домен возвращают NXDOMAIN. Различает их число записей authority: у блокировки AUTHORITY: 0, у отсутствующего домена AUTHORITY: 1 (SOA-запись зоны), как показало выдуманное имя в зоне .com в нашем тесте.

dig @9.9.9.9 isitblocked.org | grep -E "status|AUTHORITY"
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 4916
;; flags: qr rd ad; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

# The same name through the unfiltered service
dig @9.9.9.10 isitblocked.org +short
74.208.236.124

Quad9: DNS через HTTPS, TLS и QUIC

Обычный DNS на порту 53 может прочитать любой на пути, включая вашего провайдера. Каждый сервис Quad9 отвечает и по шифрованным протоколам:

• DNS через TLS (DoT): dns.quad9.net на порту 853 (dns10, dns11 или dns12.quad9.net для других сервисов). Это имя хоста, которое нужно настройке частного DNS-сервера в Android.
• DNS через HTTPS (DoH): https://dns.quad9.net/dns-query. С 15 декабря 2025 года Quad9 начал отключать HTTP/1.1 для DoH, поэтому нужен HTTP/2 или новее; Quad9 называет MikroTik RouterOS клиентом, у которого его нет.
• DNS через QUIC (DoQ) и DoH через HTTP/3: на каждом сервисе Quad9 с 31 марта 2026 года. DoQ использует те же имена хостов на порту 853; такие клиенты, как Chrome, переходят на HTTP/3 сами. Quad9 также поддерживает DNSCrypt.

# Which protocol did Quad9 receive your query on? (do53-udp, do53-tcp, dot, doh…)
dig +short txt proto.on.quad9.net

# Windows PowerShell
Resolve-DnsName -Type txt proto.on.quad9.net

В тесте DNS Robot DoT подключился по TLS 1.3 на порту 853 ко всем четырём сервисам и по IPv6, с сертификатом для dns.quad9.net, а proto.on.quad9.net ответил dot по TLS и doh по HTTPS. DoH по HTTP/1.1 получил HTTP 505 («requires HTTP/2»), а формат JSON ?name=, который есть у Cloudflare и Google, вернул HTTP 400: Quad9 понимает только двоичный формат RFC 8484.

Шифрование в основном стоит времени на первом запросе. Новое соединение DoH с Quad9 заняло в среднем (медиана) 260 мс целиком (Cloudflare 87 мс, Google 150 мс); на уже открытом соединении DoT запросы к 9.9.9.9 заняли медиану 48 мс, почти как обычный DNS.

Скорость и DNSSEC Quad9: тест DNS Robot

Мы измерили каждый адрес Quad9 с домашнего подключения Jio в Индии 26 октября 2026 года, рядом с Cloudflare и Google: пять чередующихся раундов на сервер, каждый с кэшированным именем (example.com) и совершенно новым именем в нашей тестовой зоне. В таблице медиана из пяти.

Cloudflare оказался быстрее по обоим показателям, его кэшированные запросы укладывались в 26–31 мс. Медианы Quad9 были нормальными, но разброс большой: отдельные кэшированные запросы к 9.9.9.9 и 149.112.112.112 заняли 316 и 563 мс, а один IPv6-запрос завершился по тайм-ауту. Google был самым медленным на новых именах. Ваши числа будут другими, так что перед сменой запустите тест скорости DNS со своего устройства.

DNSSEC: все адреса Quad9 проверяют подпись. Все они, включая 9.9.9.10 без фильтра и 9.9.9.12, вернули SERVFAIL для намеренно сломанных dnssec-failed.org и brokendnssec.net и выставили флаг ad для правильно подписанного домена. Это совпадает со страницей сервиса Quad9; FAQ («two out of three» сервисов) и профили Apple («No DNSSEC» для 9.9.9.10) не совпадают с тем, что мы измерили.

Кто ведёт Quad9 и насколько он приватен

Quad9 ведёт Quad9 Foundation, некоммерческий фонд общественной пользы в Цюрихе, финансируемый спонсорами и пожертвованиями. Его политика конфиденциальности гласит:

• IP-адреса считаются персональными данными по самому строгому из определений: швейцарского (FADP), американского и европейского (GDPR), для всех пользователей, где бы они ни жили.
• Ваш IP-адрес никогда не сохраняется. Он остаётся в памяти только на микросекунды или миллисекунды, нужные для ответа, и никогда не связывается с именами, которые вы запрашиваете.
• Сохраняются только счётчики: площадка, сетевой префикс (не точнее /24 для IPv4 или /56 для IPv6) и номер AS, регион, тип запроса, протокол и число запросов по каждому доменному имени. Их могут архивировать, но, по политике, личной информации в них нет.
• Ничего не продаётся и не передаётся маркетологам. Партнёры по анализу угроз получают счётчики по доменам, которые сами предоставили, но никогда не получают исходные IP.
• Швейцарская юрисдикция: Quad9 выполняет только запросы, одобренные швейцарскими властями, а швейцарская служба надзора подтвердила, что закон о слежке (SPTA) на резолвер не распространяется, так что обязанности хранить метаданные пользователей нет.

Анонимных резолверов не бывает: Quad9 всё же видит каждый запрос, а обычный DNS остаётся читаемым на пути, пока вы не включите DoT или DoH.

Quad9, Cloudflare и Google DNS: сравнение

Все три бесплатны и проверяют DNSSEC. Настоящие различия — блокировка, приватность и закон, которому подчиняется оператор:

Выбирайте Quad9, если нужна защита от вредоносных сайтов на каждом устройстве и самые строгие условия приватности. Выбирайте Cloudflare, если важнее всего скорость (с нашей линии он был самым быстрым) или нужен фильтр для взрослых. Выбирайте Google ради ответов, точных для CDN, так как он передаёт ECS. Наши руководства по DNS Cloudflare и Google DNS разбирают их так же подробно.

Как настроить DNS Quad9

Укажите Quad9 на роутере, чтобы охватить сразу все устройства в вашей сети Wi-Fi, или на самом устройстве, если телефоны и ноутбуки уходят из дома.

На Android (частный DNS-сервер)

• Откройте Настройки и найдите Частный DNS-сервер (на Pixel он в разделе Сеть и интернет; на Samsung — Подключения → Другие настройки).
• Выберите Вручную (в Android 9–11 этот пункт называется Имя хоста поставщика персонального DNS-сервера).
• Введите dns.quad9.net (или dns10.quad9.net / dns11.quad9.net для других сервисов) и нажмите Сохранить.
• Откройте в браузере on.quad9.net, чтобы убедиться, что всё сработало.

Частный DNS-сервер шифрует каждый запрос по DoT, в том числе в мобильной сети; наше руководство по частному DNS объясняет, что он скрывает.

На iPhone и iPad

• Быстро, для одной сети Wi-Fi (без шифрования): откройте Настройки → Wi-Fi, нажмите (i) рядом со своей сетью, затем Настройка DNS → Вручную. Удалите старые серверы, добавьте 9.9.9.9, 149.112.112.112, 2620:fe::fe и 2620:fe::9 и нажмите Сохранить.
• С шифрованием, в любых сетях: откройте руководство Quad9 по настройке iOS в Safari (другие браузеры не подойдут) и скачайте профиль (Quad9 рекомендует HTTPS). Затем откройте Настройки → Профиль загружен → Установить и введите код-пароль.
• Проверьте результат на on.quad9.net.

В Windows 11 и 10

• Windows 11: откройте Параметры → Сеть и Интернет, выберите Wi-Fi или Ethernet, нажмите Изменить рядом с Назначение DNS-сервера и выберите Вручную.
• Включите IPv4: предпочтительный 9.9.9.9, дополнительный 149.112.112.112, для каждого DNS через HTTPS установите Включено (автоматический шаблон); Windows уже знает адрес DoH Quad9.
• Включите IPv6, если он у вас есть (2620:fe::fe и 2620:fe::9, DoH включён), затем нажмите Сохранить. Во встроенном списке DoH в Windows вместо 2620:fe::9 указан 2620:fe::fe:9, так что берите его как дополнительный, если Включено (автоматический шаблон) не предлагается. Ноутбукам, которые попадают в сети с блокировкой DoH, может понадобиться «Fallback to plaintext».
• Windows 10: нажмите Win + R, выполните ncpa.cpl, щёлкните адаптер правой кнопкой мыши и откройте Свойства → IP версии 4 (TCP/IPv4) → Свойства → Использовать следующие адреса DNS-серверов. То же повторите для IPv6.

# PowerShell (as administrator): set Quad9 on the active adapter
$if = (Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object -First 1).Name
Set-DnsClientServerAddress -InterfaceAlias $if -ServerAddresses 9.9.9.9,149.112.112.112,2620:fe::fe,2620:fe::9
ipconfig /flushdns

# "doh" means encrypted, "do53-udp" means plain DNS
Resolve-DnsName -Type txt proto.on.quad9.net

В macOS

• Откройте Системные настройки → Сеть, выберите Wi-Fi (или Ethernet) и нажмите Подробнее.
• Откройте DNS, нажмите + и добавьте 9.9.9.9, 149.112.112.112, 2620:fe::fe и 2620:fe::9. Удалите старые записи кнопкой –, затем нажмите OK.
• Для шифрованного DNS в macOS Big Sur и новее вместо этого установите профиль Quad9: скачайте его в Safari, затем подтвердите в Системных настройках.

# Terminal alternative (use "Ethernet" if wired)
networksetup -setdnsservers Wi-Fi 9.9.9.9 149.112.112.112 2620:fe::fe 2620:fe::9

# Flush the macOS DNS cache
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

На роутере

• Откройте админ-панель роутера (часто 192.168.0.1 или 192.168.1.1) и войдите.
• Найдите настройки DNS, обычно в разделе Интернет, WAN или DHCP, и переключите их с автоматических на ручные.
• Введите 9.9.9.9 и 149.112.112.112, а также 2620:fe::fe и 2620:fe::9 в разделе IPv6, если он есть. Сохраните, затем переподключите устройства.
• Если ваш роутер поддерживает шифрованный DNS для запросов вовне (например, pfSense и OPNsense), укажите ему dns.quad9.net; в документации Quad9 есть руководства для них.

Как проверить, что вы используете Quad9

Откройте в браузере on.quad9.net: он отвечает простым «Да» или «Нет». Две проверки в терминале дают больше:

# 1. Did Quad9 get the query, and over which protocol?
dig +short txt proto.on.quad9.net
# "do53-udp" (plain DNS), "dot" or "doh"; no answer = not Quad9

# 2. Is your ISP intercepting queries to 9.9.9.9?
dig +short ch txt id.server @9.9.9.9
# "res700.bom2": a Quad9 resolver name. Nothing, or something else = redirected

Quad9 сообщает, что некоторые провайдеры, чаще всего в Азии, Африке и на Ближнем Востоке, молча перенаправляют запросы к 9.9.9.9 на свои серверы. В документации Quad9 приведены имена, оканчивающиеся на .rrdns.pch.net; у нас имя было короче, res700.bom2, а proto.on.quad9.net подтвердил, что ответил Quad9. Если проверка 2 ничего не возвращает или возвращает постороннее имя, перейдите на DoT или DoH: так перенаправить нельзя. Затем запустите наш тест утечки DNS: каждый найденный резолвер должен принадлежать сети, которую использует Quad9, например PCH (WoodyNet), Equinix или i3D, и ни один — вашему провайдеру.

Quad9 не работает? Частые причины

• Нужный вам сайт заблокирован. Найдите домен на странице заблокированных доменов Quad9 и сообщите о ложном срабатывании в поддержку Quad9. А пока DNS Lookup покажет настоящие записи домена.
• VPN или браузер переопределяет настройку. VPN-приложения используют свой DNS, а Quad9 предупреждает, что Firefox в некоторых регионах по умолчанию использует DoH от Cloudflare. Укажите Quad9 в собственных настройках DNS у VPN или браузера.
• Ваш клиент DoH слишком старый. Теперь для DoH Quad9 нужен HTTP/2. Используйте DoT или промежуточный сервер, например dnscrypt-proxy, AdGuard Home или Unbound.
• Провайдер блокирует порт. Quad9 также отвечает на обычный DNS на порту 9953, и с нашей линии он работал. Если заблокирован и порт 853 для DoT, используйте DoH, который работает на порту 443.
• Видео или файлы приходят с далёкого сервера. Причиной может быть отсутствие ECS: попробуйте 9.9.9.11 или 9.9.9.12 без блокировки.
• Старые ответы после изменений. У Quad9 нет публичного инструмента для сброса собственного кэша, но кэш своего устройства очистить можно: см. как очистить кэш DNS.