DNS over HTTPS (DoH)

DNS over HTTPS (DoH) защищает DNS-сообщения между клиентом и аутентифицированным HTTPS-резолвером. Резолвер по-прежнему видит запросы, а сетевые метаданные могут оставаться видимыми. Анонимность и устойчивость к блокировке не гарантируются. DNS over TLS — родственный зашифрованный транспорт. Границы безопасности и приватности описаны в RFC 8484.

DoH защищает конфиденциальность и целостность запросов, что является настоящим выигрышем для приватности, но это не то же самое, что направление DNS через туннель. Если вы используете VPN, именно отправка DNS через туннель предотвращает утечку DNS; DoH дополняет это, шифруя сами запросы, что особенно полезно, когда вы не под VPN. Обратите внимание, что резолвер DoH всё равно видит ваши запросы, поэтому выбор надёжного имеет значение. Сочетайте зашифрованный DNS с направлением через туннель для эшелонированной защиты, а не воспринимайте каждый по отдельности как полноценное решение.

Выберите резолвер, которому вы доверяете, поскольку он всё равно видит ваши запросы, и помните, что DoH защищает запрос, а не ваш IP-адрес. На VPN главная защита от утечки DNS — это направление DNS через туннель; добавьте DoH сверху для конфиденциальности и сочетайте его с зашифрованным SNI, чтобы убрать сигнал имени хоста в рукопожатии. Воспринимайте зашифрованный DNS как один слой в стеке, а не как самостоятельное решение для приватности.