Что такое Private DNS? Как работает и как настроить

Что такое Private DNS?

Private DNS — это настройка Android для зашифрованного DNS: имена сайтов, которые запрашивает ваше устройство, уходят по зашифрованному соединению, поэтому ваша Wi-Fi-сеть и провайдер не могут их прочитать или подменить. Чтобы включить её, откройте Настройки → Сеть и интернет → Частный DNS-сервер, выберите режим Вручную и введите имя хоста, например dns.google или one.one.one.one. (В Android 9–11 пункт называется «Персональный DNS-сервер», а режим — «Имя хоста поставщика персонального DNS-сервера».)

Эта функция есть в Android с версии 9 (2018) и работает по DNS over TLS. После обновления системы Google Play в 2022 году Android 11 и новее переходят на DNS over HTTP/3 для провайдеров, которых Android распознаёт: это dns.google от Google и Cloudflare под именем cloudflare-dns.com (с one.one.one.one остаётся DNS over TLS). На iPhone, в Windows, на Mac и в браузерах та же защита называется зашифрованным DNS.

В корпоративных и облачных сетях «private DNS» означает другое: внутренние DNS-зоны, которые существуют только внутри такой сети. Об этом значении рассказано ниже.

Как работает обычный DNS (и почему это проблема)

Обычный DNS отправляет запросы в открытом виде с момента появления первых стандартов в 1983 году. Когда вы вводите доменное имя в браузере, устройство отправляет DNS-запрос по UDP-порту 53 на DNS-резолвер (обычно сервер вашего провайдера). Резолвер отвечает IP-адресом — и всё это без какого-либо шифрования.

Это значит, что любой на пути вашего трафика видит каждый домен, который вы посещаете. Провайдер может составить полный профиль вашего браузинга. Злоумышленники в публичном Wi-Fi могут перехватывать запросы. Некоторые провайдеры даже подменяли DNS-ответы, чтобы направлять неверно набранные адреса на собственные страницы поиска и рекламы.

DNS уязвим и для отравления кэша и спуфинга: злоумышленник присылает поддельные ответы и незаметно перенаправляет вас на вредоносные сайты. В обычном DNS нет встроенного способа проверить, что ответ действительно пришёл от настоящего DNS-сервера.

Как работает Private DNS

Private DNS оборачивает ваши DNS-запросы в зашифрованное соединение. Вместо открытого запроса на UDP-порт 53 устройство сначала устанавливает с DNS-резолвером зашифрованный сеанс и только потом отправляет запрос через этот защищённый туннель.

Резолвер расшифровывает запрос, определяет IP-адрес домена, шифрует ответ и отправляет его обратно. Весь обмен невидим для того, кто наблюдает за сетью: он видит, что вы общаетесь с DNS-сервером, но не видит, какие домены вы запрашиваете.

Сегодня используются три зашифрованных DNS-протокола, стандартизированных IETF: DNS over TLS (DoT), DNS over HTTPS (DoH) и DNS over QUIC (DoQ). Каждый по-своему шифрует один и тот же DNS-запрос (есть ещё Oblivious DoH и DNSCrypt, но они встречаются реже).

DNS over TLS vs DNS over HTTPS vs DNS over QUIC

DoT (RFC 7858) запускает DNS внутри TLS на отдельном порту 853. Private DNS в Android использует его с Android 9, а так как порт выделенный, сеть легко его блокирует.

DoH (RFC 8484) отправляет DNS-запросы как HTTPS-запросы на порт 443, поэтому он похож на обычный веб-трафик, и заблокировать его можно, только заблокировав известные DoH-серверы. Chrome, Firefox и Edge поддерживают его из коробки, а Windows 11 может использовать его для всей системы. В Android с версии 11 включается DNS over HTTP/3 для провайдеров, которых Android распознаёт: dns.google от Google и Cloudflare под именем cloudflare-dns.com (с one.one.one.one остаётся DNS over TLS).

DoQ (RFC 9250, 2022) запускает DNS прямо поверх QUIC на UDP-порту 853: это снимает блокировку очереди и быстро возобновляет соединения. Его предлагают немногие резолверы: AdGuard DNS и Quad9 (Quad9 указывает его в ответе DDR, проверено 26 октября 2026 года), тогда как 1.1.1.1 от Cloudflare поддерживает DoT, DoH и Oblivious DoH, но не DoQ, а Android DoQ не использует.

Как включить Private DNS на Android

Private DNS есть в Android с версии 9 (2018). Он работает для всех приложений, в Wi-Fi и в мобильной сети, и имеет три режима: Отключен; Автоматически (по умолчанию) — DNS шифруется, если DNS-сервер сети это поддерживает, иначе используется обычный DNS; и Вручную — всегда используется введённый вами провайдер.

• Шаг 1: Откройте Настройки > Сеть и интернет (на Samsung — «Подключения»)
• Шаг 2: Нажмите Частный DNS-сервер (на некоторых телефонах сначала нужно открыть «Дополнительно» или «Другие настройки»)
• Шаг 3: Выберите Вручную: появится поле для имени хоста
• Шаг 4: Введите имя хоста вашего провайдера. Примеры: 1dot1dot1dot1.cloudflare-dns.com (Cloudflare), dns.google (Google), dns.quad9.net (Quad9), dns.adguard-dns.com (AdGuard)
• Шаг 5: Нажмите Сохранить. Если Android не может связаться с провайдером, он предупреждает: «Доступа к частному DNS-серверу нет»

Как включить Private DNS на iPhone и iPad

iPhone и iPad (iOS 14 и новее) поддерживают DNS over HTTPS и DNS over TLS, но единого переключателя, как в Android, нет: нужно добавить приложение с зашифрованным DNS или профиль конфигурации.

• Способ 1: DNS-приложение — Установите из App Store приложение вашего провайдера (например, 1.1.1.1 от Cloudflare, NextDNS или AdGuard) и включите его. Его настройка DNS появится в Настройки > Основные > VPN и управление устройством.
• Способ 2: профиль конфигурации — Скачайте в Safari файл .mobileconfig у вашего DNS-провайдера (или из надёжной подборки, например из репозитория paulmillr/encrypted-dns на GitHub), откройте Настройки > Основные > VPN и управление устройством, выберите загруженный профиль и нажмите Установить.
• Способ 3: DNS для отдельной сети — Перейдите в Настройки > Wi-Fi, нажмите (i) рядом с вашей сетью, нажмите Настройка DNS, выберите Вручную и добавьте IP-адреса DNS-серверов (например, 1.1.1.1, 1.0.0.1). На iOS 16 и новее сервер с поддержкой Discovery of Designated Resolvers (её поддерживают 1.1.1.1, 8.8.8.8 и 9.9.9.9) заставляет iPhone самостоятельно перейти на зашифрованный DNS; остальные серверы остаются без шифрования.

Как включить DNS over HTTPS в Windows 11

Windows 11 поддерживает DNS over HTTPS «из коробки». В ней есть список распознаваемых DoH-провайдеров, включая Cloudflare, Google и Quad9.

• Шаг 1: Откройте «Параметры > Сеть и Интернет > Wi-Fi > Управление известными сетями» и выберите свою сеть (для кабеля: «Ethernet» → ваша сеть)
• Шаг 2: Найдите на этой странице «Назначение DNS-сервера»
• Шаг 3: Нажмите «Изменить» рядом с «Назначение DNS-сервера»
• Шаг 4: Выберите «Вручную» и включите «IPv4»
• Шаг 5: Введите основной DNS-сервер (например, 1.1.1.1) и установите «DNS через HTTPS» в «Включено (автоматический шаблон)»
• Шаг 6: Введите дополнительный DNS-сервер (например, 1.0.0.1) и тоже установите DoH в «Включено»
• Шаг 7: Нажмите «Сохранить». У записи DNS теперь должна появиться метка «Encrypted»

# View the DoH providers Windows 11 already knows (Cloudflare, Google, Quad9…)
netsh dns show encryption

# Add a provider that isn't on that list, via PowerShell (AdGuard shown)
Add-DnsClientDohServerAddress -ServerAddress '94.140.14.14' -DohTemplate 'https://dns.adguard-dns.com/dns-query' -AllowFallbackToUdp $False -AutoUpgrade $True

Как включить Private DNS на macOS

macOS (Big Sur 11 и новее) поддерживает зашифрованный DNS через профили конфигурации, как и iOS, или через DNS-приложения.

• Способ 1: DNS-приложение — Установите приложение Cloudflare 1.1.1.1 (или подобное) и включите его. Приложение настраивает DoH или DoT на уровне системы.
• Способ 2: профиль конфигурации — Скачайте файл .mobileconfig, дважды щёлкните его и подтвердите установку в Системные настройки → Основные → Управление устройством (в старых версиях macOS: найдите в Системных настройках «Профили»).
• Способ 3: Терминал (для опытных) — networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1 меняет DNS-серверы. В macOS Ventura и новее сервер с поддержкой DDR (1.1.1.1, 8.8.8.8, 9.9.9.9) автоматически переводится на зашифрованный DNS; остальные остаются без шифрования.

Лучшие провайдеры Private DNS (2026)

Cloudflare 1.1.1.1 поддерживает DoT и DoH (а также Oblivious DoH) и предлагает фильтрующие варианты: security.cloudflare-dns.com (вредоносные сайты) и family.cloudflare-dns.com (вредоносные сайты и контент для взрослых). Компания не записывает исходный IP-адрес на диск, удаляет логи в течение 25 часов, а выполнение этих обязательств проверяет внешний аудитор.

Google Public DNS поддерживает DoT и DoH. Во временных логах хранится ваш полный IP-адрес, их удаляют через 24–48 часов; постоянная выборка сохраняет лишь местоположение с точностью до города. Если для вас главное — минимум логов, лучше подойдут Cloudflare или Quad9.

Quad9 управляется швейцарским некоммерческим фондом, не хранит IP-адреса и блокирует известные вредоносные домены по данным об угрозах от партнёров по безопасности: хороший выбор, если для вас важна безопасность.

AdGuard DNS блокирует рекламу и трекеры на уровне DNS, поэтому реклама пропадает на всём устройстве без отдельного блокировщика. Он также предлагает DNS over QUIC.

NextDNS даёт больше всего контроля: собственное имя хоста, настраиваемые списки блокировки, аналитика по устройствам, родительский контроль и панель, где видно, что именно блокируется. В бесплатный тариф входит 300 000 запросов в месяц.

Скорость зависит от местоположения, поэтому не выбирайте вслепую: запустите бесплатный тест скорости DNS, чтобы сравнить Cloudflare, Google и Quad9 по зашифрованному DNS-over-HTTPS из вашей сети, а затем включите Private DNS у того провайдера, который реально выигрывает у вас.

Все адреса и шаги настройки для двух крупнейших — в наших руководствах по DNS-серверам Cloudflare и DNS-серверам Google.

Имя хоста Private DNS (код): что вводить в поле Android

Имя хоста частного DNS, которое иногда называют кодом Private DNS, — это адрес, который вы вводите в Android в Настройки → Сеть и интернет → Частный DNS-сервер, выбрав режим «Вручную».

Скопируйте любой из этих вариантов в поле. Это официальные имена хостов крупных провайдеров:

После сохранения проверьте, что настройка сработала: тест утечки DNS от DNS Robot должен показать серверы вашего провайдера DNS, а не вашего интернет-провайдера. Если на какой-то сети настройка не работает, причину объясняет раздел о блокировке зашифрованного DNS ниже.

Публичный и частный DNS: значение в корпоративных сетях

К сожалению, у «private DNS» в корпоративной и облачной среде есть второе значение, не имеющее отношения к настройке зашифрованного DNS на вашем телефоне.

Там private DNS означает частные DNS-зоны: внутренние записи имён вроде intranet.corp.local или db1.internal, которые размещены на серверах, доступных только внутри сети компании или облачной VPC. В AWS это private hosted zones в Route 53, в Azure — Azure Private DNS, у Oracle и Google Cloud есть аналоги. Эти записи никогда не публикуются в интернете: публичные резолверы их просто не видят.

Быстрая проверка: если вы вводите имя хоста в настройках телефона или ноутбука, речь о зашифрованном DNS (эта статья). Если о private DNS говорит ваш ИТ-отдел или облачная консоль, это внутренние зоны. Что видит публичный интернет для любого имени, можно проверить через DNS-запрос: записей из частной зоны там не будет.

Преимущества использования Private DNS

Включение Private DNS на ваших устройствах сразу повышает безопасность и приватность.

• Останавливает слежку провайдера — Провайдер больше не видит, какие домены вы запрашиваете, и не может составить профиль вашего браузинга по DNS-трафику
• Защищает от подмены DNS по пути — TLS-сертификат подтверждает, что вы общаетесь с настоящим DNS-провайдером, поэтому никто между вами не сможет подделать ответы
• Защищает в публичном Wi-Fi — Другие пользователи той же сети не могут перехватить ваши DNS-запросы
• Блокирует перехват DNS — Ваши запросы нельзя незаметно перенаправить через взломанный роутер или вредоносную сеть
• Обходит прозрачные DNS-прокси — Некоторые провайдеры перехватывают DNS на порту 53, даже если вы используете сторонние серверы. Зашифрованный DNS работает на других портах и обходит такие прокси
• Дополнительная блокировка рекламы и вредоносных сайтов — Провайдеры вроде AdGuard, NextDNS и Quad9 могут блокировать рекламу, трекеры и вредоносные домены на уровне DNS
• Работает во всей системе — После включения Private DNS защищает все приложения на устройстве, а не только браузер

Возможные недостатки Private DNS

Private DNS не идеален. Вот компромиссы, о которых стоит знать.

• Первый запрос медленнее — установка зашифрованного соединения добавляет одно-два обращения туда и обратно перед первым запросом. Дальше соединение используется повторно.
• Captive-порталы могут не открыться — Wi-Fi в отелях, аэропортах и кафе со страницей входа часто требует открытого DNS, чтобы перенаправить вас. Private DNS может мешать загрузке таких порталов.
• Корпоративные сети могут его блокировать — ИТ-отделам нужна видимость DNS для мониторинга безопасности. Многие корпоративные сети намеренно блокируют зашифрованный DNS к внешним резолверам.
• Риск централизации — Зашифрованный DNS подталкивает к использованию нескольких крупных резолверов (Cloudflare, Google), сосредоточивая DNS-трафик у меньшего числа компаний.
• Шифруется не всё — Private DNS шифрует ваши запросы, но провайдер по-прежнему видит IP-адреса, к которым вы подключаетесь, и обычно имя сайта в TLS-рукопожатии (SNI), если сайт не использует Encrypted Client Hello.
• Проблемы с split-horizon DNS — Организации, у которых внутренний и внешний DNS различаются, могут столкнуться с проблемами, когда устройства обходят внутренний резолвер.

«Эта сеть блокирует зашифрованный DNS-трафик» — что это значит

На iPhone, iPad и Mac в настройках Wi-Fi под названием сети может появиться надпись «Эта сеть блокирует зашифрованный DNS-трафик». Это значит, что устройство попыталось использовать зашифрованный DNS, а сеть этому помешала, поэтому имена, которые вы там запрашиваете, видны сети.

Это обычное дело для корпоративного и школьного Wi-Fi, сетей отелей и аэропортов со страницей входа и некоторых домашних роутеров. Наше полное руководство Эта сеть блокирует зашифрованный DNS-трафик разбирает каждую причину; вот быстрые решения:

• Отключите то, что включает зашифрованный DNS в этой сети — «Ограничение трекинга по IP-адресу» (Частный узел iCloud) для этой сети Wi-Fi, DNS-приложение или профиль, либо вручную заданный DNS-сервер (верните «Настройка DNS» в «Автоматически»)
• Забудьте сеть Wi-Fi и подключитесь заново — Откройте настройки Wi-Fi, забудьте сеть, затем подключитесь снова
• Используйте VPN — VPN шифрует весь трафик, включая DNS, и обходит любую блокировку DNS на уровне сети
• Смиритесь в управляемых сетях — В корпоративных или учебных сетях блокировка зашифрованного DNS часто сделана намеренно ради мониторинга безопасности. Обойти её может быть невозможно

Как проверить, что Private DNS работает

После включения Private DNS проверьте, что запросы действительно идут к выбранному провайдеру. Само устройство проверяйте в браузере; команды терминала ниже проверяют провайдера.

• Тест утечки DNS от DNS Robot — запустите тест утечки DNS на устройстве: он покажет, какие резолверы реально отвечают на ваши запросы. Вы должны увидеть выбранного провайдера, а не своего интернет-провайдера
• Страница проверки Cloudflare — если вы используете Cloudflare, 1.1.1.1/help покажет, идут ли ваши запросы по DoH, DoT или обычному DNS
• Android — если задано имя хоста, при невозможности подключиться Android предупреждает: «Доступа к частному DNS-серверу нет»; нет предупреждения — значит, работает
• Windows 11 — в свойствах подключения у каждого DNS-сервера стоит пометка (Encrypted), когда DoH включён

# Test DNS over TLS with kdig
kdig -d @1.1.1.1 +tls-ca +tls-host=cloudflare-dns.com example.com

# Which resolver does dig use? (DNS Robot's test nameserver replies with its IP; a DoH profile may not apply to dig)
dig +short TXT whoami.leak.dnsrobot.net

# Test DNS over HTTPS with curl
curl -s -H 'accept: application/dns-json' \
  'https://cloudflare-dns.com/dns-query?name=example.com&type=A'