DNS over HTTPS и TLS: настройка в каждом браузере и ОС

Прежде чем браузер загрузит сайт, он просит DNS-резолвер превратить домен вроде example.com в IP-адрес. Традиционно этот запрос идёт открытым текстом, поэтому ваш провайдер, оператор сети или любой, кто слушает канал, видит каждый домен, куда вы заходите, — даже если сама страница по HTTPS. DNS — одна из крупнейших утечек приватности, оставшихся в обычном сёрфинге.

DNS over HTTPS (DoH) и DNS over TLS (DoT) закрывают эту дыру, шифруя запрос между вами и резолвером. Практическая разница такая: DoH отправляет DNS внутри обычного HTTPS на порту 443, поэтому сливается с веб-трафиком и его трудно заблокировать и даже отличить; DoT работает на отдельном порту (853) — архитектурно чище, но сети заметно проще его увидеть и перекрыть. Браузеры тяготеют к DoH; операционные системы поддерживают оба. Проверить, что видит ваш резолвер, можно инструментом DNS.

Шифрованный DNS прячет какие домены вы запрашиваете от провайдера и от тех, кто сидит на пути трафика, и не даёт подменять DNS-ответы. Это настоящий выигрыш в приватности и целостности. Но границы стоит понимать чётко: выбранный резолвер ваши запросы всё равно видит, то есть вы переносите доверие с провайдера на него — берите того, у кого серьёзная политика приватности. Ещё это не прячет IP-адрес, к которому вы потом подключаетесь, а SNI в TLS всё ещё может выдать имя хоста, если не работает Encrypted Client Hello.

Как это соотносится с VPN: правильно настроенный VPN и так ведёт ваш DNS через собственный резолвер внутри шифрованного туннеля, поэтому провайдер не видит ни ваших запросов, ни трафика. Именно поэтому важно проверять утечку DNS: если запросы убегают мимо туннеля к резолверу провайдера, шифрование остального трафика обесценивается. DoH/DoT и VPN дополняют друг друга: шифрованный DNS защищает запросы в любой сети, а VPN защищает всё соединение вместе с его DNS.