Почему в России перестали работать защищенные протоколы DNS-over-HTTPS и DNS-over-TLS

По данным Хабра, у абонентов крупнейших российских провайдеров перестали работать защищённые DNS-протоколы DNS-over-HTTPS и DNS-over-TLS от Google и Cloudflare: фильтрация на ТСПУ режет зашифрованный DNS-трафик, а приложения и браузеры, завязанные на приватное разрешение доменных имён, послушно складывают лапки. Для тех, кто когда-то заморочился и выкатил себе «правильный» DNS, сценарий до боли знакомый: сеть вроде есть, индикатор полный, а половина приложений делает вид, что интернета не существует. Под раздачу попадает и тот софт, который включал шифрованный DNS по умолчанию, — пользователю даже не пришлось ничего настраивать, чтобы потерять рабочий интернет.

Что именно сломали

Картина на экране максимально глумливая: адресная строка браузера висит в бесконечном спиннере, мобильные клиенты уходят в таймаут, при этом Wi-Fi и мобильная передача данных исправно светят полной шкалой. Сбои, по данным источника, затрагивают именно софт, который годами рекламировал приватный DNS как киллер-фичу. ТСПУ, по сути, научились распознавать и давить DNS-трафик к публичным резолверам Google и Cloudflare по защищённым каналам — то есть вырубается ровно тот слой, на который осознанные пользователи пересели ради шифрования.

Кого это задевает

Под раздачу попадают все, кто сознательно выбрал приватный резолвер: устройства с ручными настройками DNS, браузеры со включённым Secure DNS, любые клиенты, которые в фоне используют DoH/DoT. Для тех, кто никогда не трогал DNS, ничего не изменится — провайдерский канал как работал, так и работает, потому что он не шифрованный и фильтру он не интересен. А вот тех, кто ради «анонимности» полез в расширенные настройки, теперь ждёт обратное путешествие: либо отключай приватность и возвращайся на незащищённый канал, либо сиди с регулярными отвалами приложений.

Что делать

Безальтернативных рецептов нет — есть только компромиссы, и все они одинаково невесёлые. Самый быстрый: временно отключить DoH/DoT в настройках устройства и браузера, вернуться к провайдерскому DNS. Работать будет, но без шифрования — и это, в общем, ровно то, от чего изначально уходили. Разумнее сначала проверить, какие приложения в телефоне реально используют приватный DNS (пункт обычно прячется в системных настройках отдельным переключателем — у одних вендоров в разделе «Сеть», у других рядом с VPN), и держать в голове простую вещь: любая «приватная» функция в этом сегменте живёт ровно до тех пор, пока её не замечает фильтрация. Отслеживать стоит, не появятся ли альтернативные резолверы и нестандартные порты, до которых ТСПУ пока не добрался, — но в ближайшие недели рассчитывать на это не стоит.