Как включить DNS over HTTPS в Windows 11

Что меняет DNS over HTTPS — и чего не меняет

Каждый раз, когда вы открываете сайт, Windows просит DNS-сервер превратить имя в IP-адрес — и классический DNS летит в открытом виде по UDP-порту 53. Любой, кто сидит между вашим ПК и резолвером, — гостиничный Wi-Fi, офисный роутер, провайдер — может записать каждый запрошенный домен, а это на удивление полная картина вашего дня. DoH заворачивает тот же вопрос в соединение HTTPS, и сам запрос по дороге становится нечитаемым.

Чего DoH не делает — так это анонимности. Резолвер, который вы выбрали — Cloudflare, Google, Quad9 — теперь видит ваши запросы вместо провайдера: вы переносите доверие, а не отменяете его. Сайты по-прежнему видят ваш IP-адрес, а VPN по-прежнему шифрует гораздо больше, чем DNS вообще мог бы. Считайте DoH заколачиванием одного конкретного почтового люка, который стоял распахнутым, а не маскировкой.

Включаем DoH с известным резолвером

Откройте «Параметры» → «Сеть и Интернет», нажмите на активное подключение (Wi-Fi или Ethernet), чтобы открыть его свойства, найдите «Назначение DNS-сервера» и нажмите «Изменить». В диалоге смените режим с «Автоматически (DHCP)» на «Вручную», включите IPv4, впишите адрес резолвера в «Предпочитаемый DNS», затем раскройте «Шифрование DNS» и выберите «Только зашифрованные». Сохраните — на странице свойств напротив сервера появится пометка о шифровании. Если сеть работает на IPv6, повторите то же для переключателя IPv6, с IPv6-адресом резолвера.

В Windows 11 уже зашаблонены крупные публичные резолверы, так что выбор одного из них — путь без усилий. Практическая разница между ними невелика: на исправной линии скорость почти одинаковая, отличаются политика логирования и приятные дополнения. Quad9, например, поверх резолвинга отсекает известные вредоносные домены, а Cloudflare обещает стирать логи в течение 24 часов.

• Cloudflare — 1.1.1.1 и 1.0.0.1, IPv6 2606:4700:4700::1111 — логи удаляются в течение 24 часов
• Google Public DNS — 8.8.8.8 и 8.8.4.4, IPv6 2001:4860:4860::8888
• Quad9 — 9.9.9.9 и 149.112.112.112 — бонусом блокирует вредоносные домены
• Серверы провайдера — шаблона DoH обычно нет, и варианты шифрования остаются серыми

Свои резолверы, проверки и честные оговорки

Если нужен резолвер, которого Windows не знает, — сервер компании или фильтрующий сервис, — выпадающий список шифрования останется на «Только незашифрованные», пока вы не покажете системе шаблон. Запустите терминал от администратора и добавьте его: netsh dns add encryption server=1.2.3.4 dohtemplate=https://dns.example.com/dns-query autoupgrade=yes udpfallback=no — после этого для адреса появятся и зашифрованные варианты. Проверить, что реально активно, можно командой Get-DnsClientDohServerAddress в PowerShell: она выводит каждый сервер с шаблоном и состоянием, а страница проверки Cloudflare one.one.one.one/help честно напишет «Using DNS over HTTPS: Yes».

Две честные оговорки, прежде чем праздновать. В корпоративных сетях и через VPN DNS лучше не трогать: туннель или доменная политика обычно выдают свои резолверы, и их подмена способна поломать внутренние имена. А ещё некоторые антивирусы сами перехватывают DNS для фильтрации трафика — это может конфликтовать с DoH; если интернет умер сразу после переключателя, вернитесь в диалог «Изменить» адаптера и поставьте режим «Автоматически (DHCP)». Ничего не потеряно — вы в одном переключателе от прежнего поведения.

Вопросы и ответы

Читайте также

Все статьи · Вопросы