DNS over HTTPS в Windows 11: как включить и что это даёт

DNS over HTTPS в Windows 11: как включить и что это даёт

Коротко. DNS переводит имена сайтов в IP-адреса, и по умолчанию эти запросы идут открытым текстом. DNS over HTTPS (DoH) упаковывает их в защищённое соединение. Windows 11 поддерживает DoH на уровне системы, но только для DNS-серверов из известного списка. Включение занимает пару минут, однако не делает вас анонимным и не защищает от всех видов слежки.

Зачем шифровать DNS

Обычный DNS-запрос виден всем, кто находится на пути к серверу: провайдеру, администратору сети, владельцу точки доступа. По этим запросам можно понять, какие сайты вы посещаете, даже если сами страницы защищены HTTPS.

DoH закрывает эту часть трафика: запрос и ответ передаются внутри TLS-соединения с DNS-сервером.

Как это работает в Windows

Начиная с Windows Server 2022 клиент DNS умеет DoH. В Windows 11 та же настройка доступна через параметры сети. Логика такая:

• вы задаёте DNS-сервер вручную;
• если его адрес есть в списке известных DoH-серверов, появляется выбор режима шифрования;
• клиент отправляет запросы по HTTPS вместо обычного UDP.

Список известных серверов по умолчанию включает адреса Cloudflare, Google и Quad9.

Что понадобится

• подключение к сети;
• права администратора, если ноутбук управляется политиками;
• адрес DNS-сервера, поддерживающего DoH.

Популярные варианты из списка:

Выбирать «самый быстрый» по советам из интернета не стоит: скорость зависит от вашего провайдера и маршрута.

Пошаговая настройка

1. Откройте «Параметры» → «Сеть и интернет».
2. Выберите «Wi-Fi» или «Ethernet» в зависимости от подключения.
3. Откройте свойства активной сети.
4. Найдите назначение DNS-сервера и нажмите «Изменить».
5. Переключите на «Вручную».
6. Включите IPv4.
7. Введите предпочитаемый DNS, например 1.1.1.1.
8. В поле шифрования выберите режим.
9. Сохраните.

Если поля шифрования нет, значит, введённый адрес не входит в список известных серверов.

Режимы шифрования

Microsoft описывает три варианта:

• Только шифрование (DNS over HTTPS) — максимальная защита, но при сбое DoH имя не разрешится.
• Шифрование предпочтительно, незашифрованное разрешено — компромисс: при проблемах клиент вернётся к обычному DNS.
• Только незашифрованное — обычное поведение.

Для дома чаще выбирают второй вариант: он устойчивее к сбоям.

Что это не решает

• Провайдер всё равно видит IP-адреса сайтов, к которым вы подключаетесь.
• Владелец сайта видит ваш адрес.
• DoH не скрывает содержимое незашифрованных сайтов.
• Он не заменяет VPN и не делает трафик невидимым.

Шифрование DNS закрывает конкретную брешь, а не всю приватность.

Возможные проблемы

• Сайты не открываются — выбран режим «только шифрование», а сервер не отвечает. Переключитесь на совместимый режим или другой сервер.
• Медленно — далёкий DNS-сервер. Верните автоматические настройки.
• Локальные имена не работают — корпоративные ресурсы могут требовать DNS организации.
• Родительский контроль перестал фильтровать — фильтрация была на уровне DNS провайдера.

В каждом случае решение — вернуть автоматическое получение DNS.

Как откатить настройку

1. «Параметры» → «Сеть и интернет».
2. Свойства сети → «Изменить» рядом с DNS.
3. Выберите «Автоматически (DHCP)».
4. Сохраните.

После отката стоит очистить кэш: ipconfig /flushdns в командной строке от администратора.

Когда включать не нужно

• В корпоративной сети, где DNS настроен администратором.
• Если провайдер предоставляет фильтрацию, которая вам важна.
• На устройстве, где уже настроен VPN с собственным DNS.
• Если вы не готовы разбираться при сбоях.

Что запомнить

• DoH шифрует DNS-запросы, но не весь трафик.
• Нужен DNS-сервер из списка известных.
• Есть три режима: только шифрование, предпочтительно, без шифрования.
• При проблемах возвращайте автоматические настройки.
• После изменений помогает ipconfig /flushdns.

Как убедиться, что настройка применилась

Windows не показывает отдельный индикатор «DNS зашифрован». Косвенные признаки:

• в свойствах подключения выбран ручной DNS и режим шифрования;
• сайты открываются, локальные имена при необходимости работают;
• после смены сервера скорость разрешения имён изменилась предсказуемо.

Если при режиме «только шифрование» перестали открываться сайты, значит, выбранный сервер не отвечает по DoH. Верните совместимый режим и проверьте подключение.

DoH в корпоративной сети

В организациях DNS часто настроен централизованно, а фильтрация и внутренние имена зависят от корпоративного сервера. Включение стороннего DoH может:

• сломать доступ к внутренним ресурсам;
• обойти фильтры, которые установил администратор;
• вызвать предупреждения системы безопасности.

Если ноутбук управляется политиками, настройка может быть заблокирована. В таком случае не стоит искать обходные пути: последствия затронут рабочую сеть.

Влияние на скорость и задержку

Шифрование добавляет накладные расходы, но на практике задержка зависит в первую очередь от расстояния до DNS-сервера. Ближайший сервер провайдера может отвечать быстрее защищённого, но передавать запросы открыто.

Компромисс — режим «шифрование предпочтительно»: система использует DoH, когда сервер доступен, и возвращается к обычному DNS при проблемах. Это снижает риск полностью потерять доступ к сети.

Если после включения страницы открываются заметно медленнее, вернитесь к автоматическим настройкам: возможно, выбранный сервер далёк или перегружен.

Короткий вывод

DoH в Windows 11 — встроенная функция, которой достаточно пары минут. Включайте её осознанно, проверяйте режим шифрования и держите под рукой путь отката к автоматическим настройкам.

FAQ

DoH скроет мои посещения от провайдера?

Частично: он не увидит имена доменов, но увидит IP-адреса.

Нужны ли программы?

Нет, настройка встроена в Windows 11.

Какой сервер выбрать?

Любой из списка, который стабильно отвечает у вас.

Почему нет выбора шифрования?

Адрес DNS не входит в список известных DoH-серверов.

Это замедлит интернет?

Обычно нет, но далёкий сервер может добавить задержку.

Можно ли включить DoH для всех сетей сразу?

Настройка задаётся для конкретного подключения.

Работает ли DoH с IPv6?

Да, если сервер и подключение поддерживают IPv6.

Нужно ли менять DNS на роутере?

Не обязательно: настройка применяется к конкретному устройству.

Влияет ли DoH на родительский контроль?

Фильтрация на уровне DNS провайдера может перестать действовать.

Можно ли использовать свой сервер?

Да, если добавить его в список известных через PowerShell.

Сбрасывается ли настройка при обновлении?

Обычно сохраняется, но проверять стоит.

Связанные материалы

• Частный или публичный сетевой профиль.
• Файл hosts в Windows 11.
• После установки Windows нет интернета.