Функции DNS-резольверов не ограничиваются кэшированием: они могут блокировать вредоносные ресурсы. Из-за санкций и действий регуляторов часть популярных сервисов стала недоступна. В подборке — те, что продолжают стабильно работать в России.
- 1. Введение
- 2. Как работает DNS-резольвер
- 3. Как понять, что нужен DNS-резольвер
- 4. Несколько советов по выбору нужного сервиса
- 5. Сервисы, доступные в России
- 6. Выводы
Введение
Не нужно напоминать, как жизнь современных людей зависит от интернета. С другой стороны, публичная сеть является крайне агрессивной средой, где пользователи постоянно рискуют утечкой личных данных или кражей вполне реальных денег.
Атакуют не только обычных людей, но и компании. Как показали результаты 2025 года, основным методом первичного проникновения стал всё тот же фишинг. На него приходится почти две трети эпизодов успешных атак на российские компании. На втором месте — эксплуатация уязвимостей, опять же через публичный интернет.
Причём инструменты атак на людей становятся все более изощрёнными. За счёт использования искусственного интеллекта эффективность массовых фишинговых атак приблизилась к эффективности целевых. В итоге на манипулятивные технологии поддаются в том числе умные высокообразованные люди.
Отдельная тема — сетевая жизнь детей и подростков. Не секрет, что в интернете огромное количество информации, от которой любые родители и педагоги хотели бы их оградить, причём так, чтобы это не создавало проблем и препятствий для подготовки домашних заданий. Особую опасность представляют также взрослые «друзья», многие из которых стремятся вынести «общение» в офлайн. Таких случаев было немало, в том числе и в России, иногда с очень печальными последствиями.
Соответственно, инструменты, позволяющие оградить интернет-пользователей от угроз, начали появляться практически сразу после того, как интернет принял нынешний вид. Сначала это были различные прокси и фильтры, а в нулевые появились DNS-резольверы. Они показывают высокую эффективность, требуют минимальных усилий по установке и настройке. Большинство из них бесплатны. Поэтому они быстро набрали популярность.
Как работает DNS-резольвер
Система доменных имён (Domain Name System, DNS) служит для преобразования IP-адресов в более понятную для людей форму — доменные имена. Она появилась на заре развития интернета, ещё в 1987 году. Соответствующие процедуры выполняются на специальном DNS-сервере.
Рисунок 1. Принцип работы DNS
Основой инфраструктуры DNS являются 13 корневых серверов. Они распределены по всему миру. От их надёжного функционирования зависит работа всего глобального интернета.
DNS-резольверы позволяют разгрузить корневые DNS-серверы, беря на себя часть их функций по преобразованию интернет-адресов. Они могут быть публичными, как сервисы, которые мы рассмотрим ниже, а также размещаться в инфраструктуре операторов, компаний или на локальном компьютере или устройстве. Всего во всём мире работает около 15 млн резольверов.
Также многие резольверы обладают дополнительными функциями, среди которых фильтрация опасного или нежелательного контента. Причём все эти процедуры происходят быстро и незаметно для конечного пользователя. Запросы к таким ресурсам отправляются просто в никуда, а не на DNS-сервер.
С другой стороны, корректность работы и эффективность таких фильтров сильно зависят от формирования баз данных нежелательных и опасных ресурсов. Это требует наличия команды квалифицированных специалистов в сфере киберразведки (Threat Intelligence, TI). Также не исключены ложные срабатывания — как ложноположительные, так и ложноотрицательные.
Как понять, что нужен DNS-резольвер
Прежде всего, использовать публичный DNS-резольвер нужно тем, у кого DNS-сервер провайдера работает плохо. Симптомом этого является низкая или нестабильная скорость открытия сайтов, хотя скорость соединения, казалось бы, высокая. Сайты могут вообще не открываться, если сервер перестал нормально работать или сильно перегружен. Сейчас такое происходит значительно реже, чем в старые недобрые времена коммутируемого доступа или DSL, но всё же случается.
Другая насущная проблема, о которой, впрочем, было сказано выше, — безопасность. Точнее, проблемы с ней. Так, далеко не всегда провайдеры используют безопасные версии ПО для DNS-серверов. Некоторые из них уязвимы, причём уязвимости эти могут быть весьма неприятного свойства, и их используют для реальных атак.
Также не стоит забывать о том, что многие атаки базируются на подмене ресурсов. Такие, например, как схема «Мамонт», ориентированная на продажу несуществующих товаров через двойники сайтов интернет-магазинов, маркетплейсов, классифайдов, агентств недвижимости, билетных агрегаторов. По итогам 2025 года ущерб от таких афер в России превысил 1 млрд рублей. Больший ущерб нанесли только телефонные мошенники.
Также резольверы довольно эффективны против фишинговых атак. А они очень распространены и не всегда легко обнаруживаются. Признаюсь честно, сам недавно провалил такой тест в рамках программы повышения осведомлённости.
Другая категория пользователей, которым нужны такие сервисы, — те, кто хочет оградить детей от нежелательного контента. Да, есть системы родительского контроля и инструментарий на уровне провайдера, но то, как их обойти, — из разряда секретов Полишинеля. Выключение резольвера — не такая простая задача.
Несколько советов по выбору нужного сервиса
Поможет подобрать оптимальный резольвер с учётом местоположения утилита NameBench для Windows и Linux. Надо иметь в виду, что она разработана Google и явно «подсуживает» сервису от этой корпорации. Для macOS также есть утилиты со схожими функциями, но далеко не все они знают о существовании российских сервисов, особенно тех, что появились недавно.
Основным параметром быстродействия является сетевая задержка. Чем она меньше, тем лучше. NameBench и подобные утилиты подбирают сервис исходя из того, какой из них имеет лучший показатель для данного конкретного пользователя.
Некоторые сервисы привлекают дополнительными функциями, например блокировкой рекламы. Однако как эффективность, так и аккуратность её реализации, скажем так, под большим вопросом. Так что лучше для этого применять специализированные инструменты.
Надо иметь в виду, что включение дополнительных опций, особенно фильтрации контента, может снизить быстродействие, причём иногда в десятки раз. Этот момент надо учитывать. Тут стоит ориентироваться на отзывы пользователей с поправкой на их местоположение, которое может оказывать очень сильное влияние на скорость работы сервисов.
А вот о качестве и удобстве работы сервисов отзывы пользователей позволяют судить. Так что информация на ресурсах вроде «Отзовик», в соцсетях или на форумах является довольно ценным источником информации.
Единственным параметром, который можно измерить, является уровень качества сервиса (Service Level Agreement, SLA). Он измеряет уровень его доступности в процентах. Достаточным является 98 %, что на практике означает 4 часа допустимых простоев в год.
Важным параметром является то, насколько быстро авторы смогут добавлять потенциально вредоносные ресурсы в базу сервиса. Его, однако, найти не так просто. Однако стоит иметь в виду, что если за резольвером стоит крупная ИБ- или интернет-компания с сильной командой специалистов по киберразведке (Threat Intelligence, TI), то это явное преимущество.
Впрочем, удобство — вещь довольно субъективная. Так что тут стоит внимательно ознакомиться с документацией на официальном сайте сервиса. Многие выкладывают подробные, хорошо иллюстрированные интерактивные руководства. Впрочем, для того чтобы начать работу, обычно достаточно просто прописать адреса резольверов в сетевых настройках.
Стоит отметить, что лишь два сервиса, из них только один бесплатный (причём интерфейс там английский), позволяют самим выбирать тот контент, который будет блокироваться. В остальных каким-либо образом вмешаться в политику сервисов нельзя.
Сервисы, доступные в России
Требование к сервисам для обзора было по большому счёту одно: корректная работа в России по состоянию на конец июня 2026 года. После известных событий в 2022 году с российского рынка ушёл целый ряд поставщиков, в частности Cisco, которая предоставляла сервис Umbrella для корпоративных сетей. Также резко осложнилась оплата услуг многих поставщиков.
На рубеже 2025–2026 гг. появился дополнительный фактор — действия Роскомнадзора. На волне борьбы со средствами обхода блокировок перестали нормально работать сервисы AdGuard, Cloudflare, Control D, DNS.Watch и NextDNS. Их DNS-резольверы действительно были частью инфраструктуры VPN-сервисов или других средств, позволяющих обходить ограничения.
Всего работающих DNS-резольверов в России оказалось 9. Причём только треть из них — российские.
Яндекс.DNS
Публичный сервис от Яндекса. Был запущен в апреле 2013 года. Спустя полгода работы в тестовом режиме состоялся полноценный релиз со всеми изначально задуманными функциями.
Как OpenDNS и Neustar UltraDNS Public, может работать в трёх режимах:
- Базовый. Только кэширование запросов.
- Безопасный. Блокировка опасных ресурсов (фишинговые, мошеннические, распространяющие вредоносный код).
- Семейный. Блокировка потенциально неприемлемого контента, прежде всего сексуально ориентированного.
Обеспечивает шифрование запросов с помощью DNS over TLS и DNS over HTTPS. Эта мера призвана защитить конфиденциальность пользователей. Предустанавливается на целый ряд моделей сетевого оборудования для конечных пользователей.
Рисунок 2. Настройка Яндекс.DNS в устройстве D-Link
Наиболее часто DNS от Яндекса критикуют за не слишком высокую скорость работы, особенно при включении Безопасного и Семейного режимов работы. Она может достигать 600 мс.
BI.ZONE Public DNS
Самый молодой сервис из списка. Был открыт в конце 2025 года. Однако для его создания использовалось ядро BI.ZONE Secure DNS, которое направлено на защиту корпоративных клиентов от атак, использующих DNS. Их обычно не могут купировать другие средства защиты, включая межсетевые экраны, системы обнаружения и предотвращения вторжений или анализа сетевого трафика (NTA).
Сервис, ориентированный на конечных пользователей, не требует сложной настройки. На официальном сайте размещены детальные иллюстрированные инструкции, как прописать адреса на разных видах устройств, включая компьютеры на основных ОС (Windows, macOS, Linux), смартфоны, планшеты, маршрутизаторы и точки доступа. Но в целом всё сводится к тому, чтобы указать адреса 185.191.32.7 и 185.191.32.8 в соответствующих настройках. Никакого стороннего ПО для этого не требуется.
Рисунок 3. Инструкции по настройке сервиса на сайте BI.ZONE
Помимо базовой функции ускорения запросов, сервис обеспечивает защиту от различных потенциально опасных ресурсов. Среди них фишинговые, мошеннические, центры управления ботнетами и шпионским ПО, а также ресурсы, распространяющие вредоносный код. Данные регулярно пополняются командой киберразведки BI.ZONE. Также сервис защищает от подмены ответов, нарушения цепочек DNSSEC, спуфинга и отравления DNS-кеша.
Заявленная сетевая задержка при использовании сервиса не превышает 11 мс. Это обеспечивается за счёт резервирования мощностей и развёрнутой защиты от DDoS и других сетевых атак.
Cisco OpenDNS
Один из старейших, если не самый долго существующий публичный DNS-резольвер. Запущен в 2006 году. Первоначально обеспечивал лишь базовую защиту и кэширование запросов. В 2009 году начал предоставлять функции контентной фильтрации, причём довольно гибкие. Сайты делились на категории. В каждой можно было разрешать и запрещать отдельные подкатегории или платформы. Например, разрешить доступ к игре Genshin Impact, но запретить GTA. Для того чтобы воспользоваться такими функциями, требуется бесплатная регистрация на сайте.
Рисунок 4. Настройка веб-фильтра в OpenDNS
В 2015 году компания OpenDNS была куплена Cisco. Под руководством новых владельцев был запущен B2B-сервис Umbrella, который обеспечивал целый ряд дополнительных функций, включая полнофункциональный межсетевой экран, прокси и средства расследования инцидентов. Однако после ухода Cisco с российского рынка доступ российских пользователей ко всем облачным сервисам, в том числе и Umbrella, был сразу же прекращён.
На работе OpenDNS уход Cisco с российского рынка не сказался. Он продолжает работу. Сервис также предлагается как один из вариантов для пользователей различных моделей клиентского сетевого оборудования, часто наряду с российскими аналогами. Однако уход вендора из России сказался на быстродействии, на которое есть немало жалоб от пользователей. Хотя, по оценкам DNSPerf, сервис всегда был в числе лучших по производительности. Другой распространённой проблемой являются частые ложные срабатывания.
Comodo Secure DNS
Составная часть экосистемы интернет-безопасности компании Xcitium (до 2022 года — Comodo; прежний бренд сохранён для продуктов, ориентированных на конечных пользователей и СМБ). Входит в линейку решений, включая комплекс программных средств защиты от интернет-угроз Comodo Internet Security и защищённый браузер Comodo Dragon.
Показывает довольно высокую эффективность защиты от фишинга, шпионского ПО, основных видов веб-атак. Блокирует связь с центрами управления ботнетами. Важной особенностью, в отличие от программных продуктов, является отсутствие привязки к платформе Windows. Для обеспечения защиты достаточно прописать адреса 8.26.56.26 и 8.20.247.20 в сетевых настройках своей клиентской ОС, включая мобильные, или сетевого оборудования.
Рисунок 5. Comodo Secure DNS блокирует опасный ресурс
Однако в 2011 году пользователи столкнулись с последствиями атаки на этот сервис. Их перенаправляли на вредоносные ресурсы. По всей видимости, злоумышленники получили доступ к части инфраструктуры Comodo, размещённой в облаке Amazon Web Services (AWS). Однако после этого инцидента никаких серьёзных проблем у Comodo и её пользователей не было.
Comss.One DNS
Публичный резольвер от портала Comss. Наряду со стандартными функциями по кэшированию запросов и блокировке опасных ресурсов (фишинговые, центры управления ботнетами, веб-атаки) включает и дополнительные инструменты. Среди них, например, блокировка рекламы и разнообразных трекеров.
Также, как заявляют авторы, сервис позволяет получать доступ к различным зарубежным ресурсам, владельцы которых заблокировали доступ с российских IP-адресов. Прежде всего это различные модели искусственного интеллекта, включая ChatGPT и Gemini, в том числе для использования непосредственно на мобильных устройствах. Также позволяет загружать ПО с официальных ресурсов Microsoft, включая инсайдерские сборки.
Не требует установки клиентского ПО. Инструкции по подключению для разных платформ приведены на официальном сайте.
Рисунок 6. Рекомендации по настройке оборудования для использования Comss.One DNS
Google Public DNS
Бесплатный общедоступный сервис. Существует с 2009 года. Опирается на мощную технологическую инфраструктуру Google, развёрнутую по всему миру, за счёт чего гарантируются устойчивость работы и высокая скорость обработки запросов. Это делает сервис практически абсолютно устойчивым к любым DDoS-атакам. Поэтому данный сервис чаще остальных рекомендуют тем, у кого DNS провайдера работает неустойчиво.
Рисунок 7. Быстродействие Google Public DNS в сравнении с другими резольверами
Заявлена защита содержимого запросов с помощью технологий DNS over TLS и DNS over HTTPS. Также данные поисковых запросов автоматически удаляются через 48 часов. Как показывают тесты, сервис обеспечивает высокий уровень защиты от атак, связанных со спуфингом адресов, что наиболее актуально для владельцев смартфонов.
Вместе с тем Google неоднократно уличали в передаче данных пользователей. За это «империю добра» штрафовали в США, европейских странах и России, причём неоднократно. Впрочем, технологии сбора данных, используемые Google, связаны не с DNS-запросами, а анализом данных HTTP-заголовков и хранилищ браузеров.
Neustar UltraDNS Public
Публичный полностью бесплатный сервис. Предлагает три режима работы:
- Обычный. Обеспечивает только ускорение обработки запросов.
- Фильтрация только вредоносных ресурсов.
- Фильтрация не только вредоносных ресурсов, но и потенциально неприемлемого контента (сексуального и порнографического, азартных игр, связанного с насилием, оружием и т. д.).
Рисунок 8. Рекомендации по настройке Neustar UltraDNS Public
У данного сервиса относительно небольшое количество узлов (всего 5 — в США и Дании). Тем не менее по скорости обработки запросов он обходит резольвер от Google. Часто рекомендуется для использования не только конечными пользователями, но и компаниями малого и среднего бизнеса.
Quad9
Данный резольвер разработан и поддерживается организацией Global Cyber Alliance. Она как самостоятельно, так и в сотрудничестве с 18 другими организациями и компаниями, в том числе, например, IBM, собирает данные о проблемных доменах. Чёрный список обновляется два раза в день. Есть также список однозначно легитимных доменов, собранный по данным организации Majestic Million, и можно использовать доступ по белым спискам.
Рисунок 9. Сбор данных о проблемных доменах в Global Cyber Alliance
Сервис собирает минимум телеметрии. Этим выгодно отличается от Cisco и Google, репутация которых в этом плане серьёзно подмочена. И в целом Quad9 пока не был замечен ни в одном инциденте, связанном с безопасностью. Скорость и надёжность работы также на высоком уровне.
SkyDNS
Единственный платный сервис в обзоре. Однако он разработан в России, и его оплата не должна вызвать сложностей. Также предусмотрен период бесплатного тестового использования. Кроме того, SkyDNS могут использовать те, кто приобрёл сетевое оборудование распространённых марок.
Рисунок 10. Настройка черных и белых списков в SkyDNS
Сервис существует с 2011 года. Может работать как публичный резольвер, а также разворачиваться внутри локальной сети. Рассчитан не только на конечных пользователей, но и на использование в организациях, в том числе сферы образования и детского отдыха. При организации интернет-доступа в детских учреждениях необходимо обеспечить соответствие требованиям федерального закона № 436-ФЗ «О защите детей от информации, причиняющей вред их здоровью и развитию». Только SkyDNS является сервисом, который позволяет «из коробки» обеспечить соответствие требованиям закона № 436-ФЗ.
Помимо контента, который блокируют другие сервисы в режиме блокировки неприемлемых ресурсов, сервис позволяет пресекать доступ к развлекательным и прочим сайтам, посещение которых мешает сотрудникам выполнять свои прямые обязанности. Есть также опция блокировки ресурсов, интенсивно расходующих интернет-трафик, что важно для тех, кто использует лимитированное подключение (сотовое, спутниковое). Это позволяет снизить затраты на связь до 75 %.
Управление блокировками очень гибкое. Оно позволяет задавать не только перечень ресурсов, к которым будет запрещён доступ, но и устанавливать разные настройки для разных подразделений. Например, отделу маркетинга можно будет пользоваться соцсетями, а другим — нет. Также можно устанавливать запрет на определённое время.
В последних версиях сервиса наряду с данными TI для выявления вредоносных ресурсов используются средства продвинутой аналитики, в том числе с машинным обучением и искусственным интеллектом. Это повысило эффективность при отражении целого спектра атак.
Выводы
Несмотря на уход с российского рынка ряда вендоров и невозможность использования некоторых популярных и рекомендуемых зарубежных сервисов в результате действий российских регуляторов, вакуума на рынке не образовалось. Выбор у российских пользователей по-прежнему есть.
Однако стоит иметь в виду, что одни только продукты из нашей подборки не защитят от всех угроз. Это лишь один из элементов защиты, которая должна быть многоуровневой и включать целый комплекс средств, причём не только технических. Ведь конечной целью атак являются не устройства, а люди и их имущество.
