Secure DNS: как настроить защищённый DNS на сервере — DNSSEC, DoH и DoT

Что такое Secure DNS и почему обычный DNS небезопасен

Каждый раз, когда вы открываете сайт, устройство отправляет DNS-запрос — просьбу превратить имя домена в IP-адрес. Обычный DNS работает по протоколу UDP через порт 53 без шифрования, поэтому запрос идёт открытым текстом. Любой узел на пути от вашего роутера до сервера может прочитать, какие сайты вы посещаете, а при желании и подменить ответ.

Отсутствие шифрования открывает дорогу двум типовым атакам. DNS-спуфинг подменяет ответ резолвера поддельным адресом, а кэш-отравление внедряет ложную запись в кэш DNS-сервера, из-за чего пострадать могут сразу тысячи пользователей. Классический пример — атака man-in-the-middle в общественном Wi-Fi: злоумышленник перехватывает DNS-запрос между вашим ноутбуком и точкой доступа и перенаправляет вас на фишинговую копию банковского сайта вместо настоящего.

Решить эту проблему помогают три технологии — каждая закрывает свою часть уязвимости. Разберитесь в них перед тем, как выбирать протокол для своего сервера, — этому посвящён следующий раздел статьи.

Технологии и сервисы для защиты DNS-запросов:

• DNSSEC (Domain Name System Security Extensions) добавляет к каждой записи цифровую подпись RRSIG, подтверждающую подлинность ответа, но не шифрует сам запрос
• DNS over TLS (DoT) шифрует трафик через порт 853, закрывая запрос от перехвата на сетевом уровне
• DNS over HTTPS (DoH) маскирует DNS-запросы под обычный HTTPS-трафик на порту 443, что затрудняет их блокировку
• Публичные защищённые резолверы уже поддерживают эти протоколы: Cloudflare 1.1.1.1, Google 8.8.8.8 и Quad9 9.9.9.9

Если вы администрируете собственный сервер и хотите настроить защищённый DNS-резолвер самостоятельно, для этого нужен сервер с полным доступом к сетевым настройкам — подходящие варианты собраны в рейтинге VPS.

Как работает защищённый DNS: DNSSEC, DoH и DoT

Обычный DNS отправляет запросы открытым текстом по UDP-порту 53. Провайдер, администратор сети или злоумышленник видит каждый запрос и может подменить ответ. Защищённые протоколы решают разные части этой проблемы: одни шифруют канал, другие проверяют подлинность самой записи.

DNSSEC (Domain Name System Security Extensions) не шифрует трафик, а подписывает записи цифровой подписью. К каждой записи добавляется подпись RRSIG, а сервер публикует открытый ключ DNSKEY. Резолвер проверяет подпись и отклоняет ответ, если запись подделали в пути — так блокируется подмена DNS (DNS-спуфинг) и атаки через кэш.

DoT (DNS over TLS) заворачивает запрос в шифрованное TLS-соединение на порту 853. Провайдер видит только факт обращения к DNS-серверу, но не содержимое запроса. DoH (DNS over HTTPS) действует похоже, но маскирует запрос под обычный HTTPS-трафик на порту 443, из-за чего его сложнее отличить от обычного веб-сёрфинга и заблокировать по порту.

Что стоит запомнить о защищённом DNS:

• DNSSEC — защита от подмены ответа, работает без шифрования
• DoT — шифрование на отдельном порту 853, легко отличить в трафике
• DoH — шифрование на порту 443, маскировка под HTTPS
• Публичные защищённые резолверы: Cloudflare 1.1.1.1, Google 8.8.8.8, Quad9 9.9.9.9
• DoH может добавить 10–20 мс задержки к первому запросу

На практике эти технологии дополняют друг друга: DNSSEC гарантирует подлинность записи, а DoT или DoH — конфиденциальность самого запроса. Прежде чем настраивать защищённый резолвер, стоит понимать, что вообще происходит на уровне сети при обращении к серверу — это подробно разобрано в статье про сетевые протоколы.

Как настроить Secure DNS на своём сервере: пошаговая инструкция

Проще всего включить защищённый DNS через встроенный сервис systemd-resolved на Ubuntu — он поддерживает DNS over TLS (DoT) без установки сторонних программ. Настройка занимает 5–10 минут и не требует перезагрузки сервера. Ниже — последовательность шагов для перехода с незашифрованного DNS на порту 53 на защищённое соединение через порт 853.

Перед началом убедитесь, что у вас есть доступ по SSH с правами root или sudo. Если сервера ещё нет, арендуйте VPS с Ubuntu 22.04 или новее — в этой версии systemd-resolved уже включён по умолчанию.

Как включить DoT и проверить DNSSEC по шагам:

1. Обновите список пакетов командой sudo apt update && sudo apt upgrade -y.
2. Проверьте, что служба активна: systemctl status systemd-resolved.
3. Откройте файл конфигурации: sudo nano /etc/systemd/resolved.conf.
4. В секции [Resolve] добавьте строку DNS=1.1.1.1#cloudflare-dns.com — это публичный secure DNS от Cloudflare.
5. Ниже добавьте строку DNSOverTLS=yes, чтобы включить шифрование запросов.
6. Сохраните файл и перезапустите службу: sudo systemctl restart systemd-resolved.
7. Проверьте статус подключения командой resolvectl status — в выводе должен появиться протокол DoT и указанный сервер.
8. Убедитесь, что подписи DNSSEC (DNS Security Extensions) проверяются: выполните dig +dnssec example.com и найдите в ответе флаг ad и запись RRSIG.

Если вместо Cloudflare нужен другой сервер, замените адрес на 9.9.9.9#dns.quad9.net или 8.8.8.8#dns.google — оба поддерживают DoT по тому же принципу.

Какой протокол и DNS-сервер выбрать: сравнение вариантов

Протокол выбирайте под задачу. DNS over TLS (DoT, DNS поверх TLS) работает на порту 853 и легко настраивается на сервере через systemd-resolved. DNS over HTTPS (DoH, DNS поверх HTTPS) использует порт 443, поэтому его трафик не отличить от обычных сайтов. Зато первый запрос через DoH может занять на 10–20 мс больше.

Для VPS (виртуального выделенного сервера) берите DoT и резолвер с проверкой DNSSEC (расширений безопасности DNS): Cloudflare или Quad9. Дома удобнее DoH: его поддерживают браузеры и роутеры, и он работает даже там, где провайдер закрыл порт 853. Если серверы или пользователи находятся в России, проверьте Яндекс DNS. Он отвечает быстрее всех, потому что его узлы стоят ближе. Как подключить его, читайте в статье настроить Яндекс DNS.

В таблице указана средняя задержка из Москвы. Перед выбором замерьте её со своего сервера командой dig @1.1.1.1 example.com и посмотрите на поле Query time.

Сколько стоит настройка защищённого DNS и что влияет на цену

Настройка защищённого DNS на собственном сервере ничего не стоит сама по себе. Протоколы DoT (DNS over TLS) и DNSSEC — открытые стандарты, за их включение никто не берёт денег. Вы платите только за аренду VPS, на котором развернёте резолвер, и за время, которое уйдёт на настройку.

Managed secure DNS от коммерческих провайдеров обойдётся дороже: тарифы с фильтрацией, аналитикой и поддержкой SLA стоят от 5 до 20 $/мес на домен или сеть. Такой вариант подходит, если не хочется тратить 5-10 минут на настройку systemd-resolved и следить за сервером самостоятельно. Self-hosted резолвер выгоднее по деньгам, но требует минимальных навыков администрирования Linux.

Итого, из чего складываются расходы на защищённый DNS:

• Self-hosted DoT + DNSSEC: 0 $ за настройку, только аренда VPS
• Managed secure DNS: ежемесячная подписка за домен
• Минимальные требования к серверу: root-доступ и статический IP

Для своего резолвера нужен VPS с root-доступом и статическим IP-адресом — без этого нельзя открыть порт 853 для DoT наружу и привязать TLS-сертификат к конкретному адресу. Выбирайте тариф с запасом по трафику, если резолвер будет обслуживать несколько устройств или доменов.

Ошибки при переходе на Secure DNS и как их избежать

Чаще всего защищённый DNS ломается не из-за протокола, а из-за окружения сервера — закрытого в файрволе порта или конфликта за порт 53. Резолвер настроен верно, но сайты перестают открываться, а причину сразу не видно. Ниже разберём каждую ошибку по отдельности.

Первая ошибка: порт DoT закрыт в файрволе

Включён DNSOverTLS=yes, а порт в файрволе закрыт: DoT работает через TCP-порт 853, DoH (DNS over HTTPS) — через порт 443. Симптом: ping 1.1.1.1 проходит, а ping example.com несколько секунд висит и падает с ошибкой «Temporary failure in name resolution».

Как решить: проверьте порт командой nc -zv 1.1.1.1 853 и разрешите исходящий трафик — sudo ufw allow out 853/tcp или iptables -A OUTPUT -p tcp --dport 853 -j ACCEPT. Затем убедитесь, что имена снова резолвятся: resolvectl query example.com.

Вторая ошибка: не проверена цепочка DNSSEC

Если ключ зоны не совпадает с записью DS (Delegation Signer) у родительской зоны, подпись DNSSEC (DNS Security Extensions) не проходит проверку и резолвер возвращает ошибку SERVFAIL. Выполните delv example.com: в ответе должно быть «fully validated».

Третья ошибка: конфликт за порт 53

systemd-resolved слушает адрес 127.0.0.53:53, поэтому другой сервис, например dnsmasq, не может занять порт и не запускается. Пропишите DNSStubListener=no в /etc/systemd/resolved.conf.

Четвёртая ошибка: Docker не видит DNS

Контейнеры получают адрес 127.0.0.53, который внутри них недоступен. Укажите DNS-серверы явно в /etc/docker/daemon.json.

Пятая ошибка: нет резервного сервера

С единственным адресом в настройках резолверу некуда переключиться. Добавьте второй: DNS=1.1.1.1#cloudflare-dns.com 9.9.9.9#dns.quad9.net.

Проверяйте каждое изменение сразу после применения: сама настройка DoT (DNS over TLS) через systemd-resolved занимает 5–10 минут, а поиск ошибки без проверок может растянуться на часы.

Secure DNS или обычный резолвер: что выбрать в 2026 году

Выбор зависит от роли устройства, а не от моды на технологии. Для сайта на VPS важна проверка подлинности ответов: здесь нужен DNSSEC (Domain Name System Security Extensions) на стороне регистратора домена и DoT (DNS over TLS, порт 853) на самом сервере. Для домашней сети или ноутбука этого избыточно — достаточно публичного DoH (DNS over HTTPS) прямо в браузере.

С 2020 года браузеры Chrome и Firefox включают DoH по умолчанию, направляя запросы на публичные адреса вроде 1.1.1.1 (Cloudflare), 8.8.8.8 (Google) или 9.9.9.9 (Quad9). Это закрывает базовую утечку запросов при работе из кафе или общественного Wi-Fi, но не защищает от подмены ответа на уровне сервера — для этого нужен именно DNSSEC с подписью RRSIG. Дополнительная задержка от DoH в 10–20 мс для обычного пользователя незаметна, а вот для VPS с высокой нагрузкой лучше настроить DoT локально через systemd-resolved, что занимает 5–10 минут.

Что выбрать в зависимости от сценария:

• Личный сайт или интернет-магазин на VPS: включить DNSSEC у регистратора и настроить DoT на сервере
• Домашний роутер или браузер: включённый по умолчанию DoH закрывает основные риски без дополнительной настройки
• Почтовый сервер или API на VPS: обязательны оба уровня — DNSSEC и DoT, обычного резолвера недостаточно

Если нужен полный контроль над шифрованием запросов и проверкой подписей, стоит арендовать VPS и настроить защищённый DNS с нуля, а не полагаться только на настройки браузера.

Кому Secure DNS не подходит и когда можно обойтись без него

Защищённый DNS не всегда нужен. Его можно не включать в трёх сценариях:

• Офисы с корпоративной фильтрацией Администраторы намеренно перехватывают DNS-запросы на порту 53, чтобы блокировать нежелательные сайты и вести журнал обращений. Если включить DoT или DoH в обход такой системы, фильтры перестанут видеть запросы, и сотрудник останется без защиты корпоративной сети.
• Старые роутеры и IoT-устройства Оборудование старше 5–7 лет часто не поддерживает TLS 1.2 и выше, а без него зашифрованный DNS не установит соединение. Прошивка на таких устройствах обычно не обновляется, поэтому единственный рабочий вариант — обычный DNS по UDP-порту 53.
• Системы реального времени DoH добавляет 10–20 мс к первому запросу за счёт установки HTTPS-соединения на порту 443. Для игровых серверов или систем видеонаблюдения с жёсткими лимитами по времени отклика эти миллисекунды могут быть критичны.

Если ваш сценарий похож на один из трёх — оставьте обычный резолвер и не усложняйте инфраструктуру ради безопасности, которая здесь не нужна. Когда нужен независимый сервер под конкретную задачу, проще развернуть отдельный VPS у надёжного провайдера, чем подстраивать существующую сеть под шифрование.