DNS over HTTPS і TLS: налаштування в кожному браузері та ОС

Перш ніж браузер завантажить сайт, він просить DNS-резолвер перетворити домен на кшталт example.com на IP-адресу. Традиційно цей запит іде відкритим текстом, тож ваш провайдер, оператор мережі чи будь-хто, хто слухає канал, бачить кожен домен, куди ви заходите, — навіть якщо сама сторінка по HTTPS. DNS — один із найбільших витоків приватності, які лишилися у звичайному серфінгу.

DNS over HTTPS (DoH) і DNS over TLS (DoT) закривають цю дірку, шифруючи запит між вами й резолвером. Практична різниця така: DoH відправляє DNS усередині звичайного HTTPS на порту 443, тому зливається з вебтрафіком і його важко заблокувати чи навіть відрізнити; DoT працює на окремому порту (853) — архітектурно чистіше, але мережі значно легше його помітити й перекрити. Браузери тяжіють до DoH; операційні системи підтримують обидва. Перевірити, що бачить ваш резолвер, можна інструментом DNS.

Шифрований DNS ховає які домени ви запитуєте від провайдера й від тих, хто сидить на шляху трафіку, і не дає підміняти DNS-відповіді. Це справжній виграш у приватності та цілісності. Але межі варто розуміти чітко: обраний резолвер ваші запити все одно бачить, тобто ви переносите довіру з провайдера на нього — беріть того, у кого серйозна політика приватності. Ще це не ховає IP-адресу, до якої ви потім під'єднуєтеся, а SNI в TLS усе ще може видати ім'я хоста, якщо не працює Encrypted Client Hello.

Як це співвідноситься з VPN: правильно налаштований VPN і так веде ваш DNS через власний резолвер усередині шифрованого тунелю, тож провайдер не бачить ані ваших запитів, ані трафіку. Саме тому важливо перевіряти витік DNS: якщо запити тікають повз тунель до резолвера провайдера, шифрування решти трафіку знецінюється. DoH/DoT і VPN доповнюють одне одного: шифрований DNS захищає запити в будь-якій мережі, а VPN захищає все з'єднання разом із його DNS.