Отдельные программы и устройства способны частично обходить DNS, выбранный в роутере. XDA Developers описало 14 ноября четыре механизма: защищённые запросы браузера, сервер из прошивки гаджета, отдельный DNS для IPv6 и перенаправление обычных запросов внутри сети. DNS переводит адреса сайтов в IP-адреса; его меняют, в частности, для фильтрации рекламы через Pi-hole или AdGuard Home.
Обычно роутер сообщает подключившемуся устройству, какой DNS использовать, а приложения передают запросы через операционную систему.
Браузер может выбрать защищённый DNS самостоятельно
Современные браузеры поддерживают DNS over HTTPS, или DoH: запросы к DNS передаются внутри зашифрованного HTTPS-соединения. Если браузер использует собственного провайдера DoH, системный DNS и локальный фильтр могут не увидеть такие обращения.
Читайте также
Телевизор или приставка могут иметь запасной сервер
Некоторые телевизоры, стриминговые приставки и устройства интернета вещей получают адрес DNS из прошивки. Он может использоваться постоянно или включаться как запасной, если основной сервер не отвечает либо блокирует нужный устройству домен.
XDA приводит сообщения пользователей Chromecast, Pi-hole и pfSense о запросах напрямую к Google Public DNS по адресу 8.8.8.8 независимо от параметров DHCP. Это не означает, что так работают все модели Chromecast или все устройства умного дома. Более того, попытка полностью заблокировать такой адрес у части владельцев нарушала работу устройства.
Для сетевого блокировщика результат может выглядеть как неполная фильтрация: обычные запросы проходят через Pi-hole или AdGuard Home, а после заблокированного рекламного домена гаджет повторяет обращение через встроенный резервный DNS.
IPv4 и IPv6 могут получить разные настройки
Поле DNS в панели роутера иногда относится только к IPv4. В сети с IPv6 устройство может параллельно получить другой DNS через DHCPv6 или объявления роутера. Поэтому корректная настройка IPv4 ещё не означает, что запросы IPv6 направляются туда же.
Публичные DNS-сервисы обычно указывают отдельные адреса для двух протоколов. Например, в инструкции Cloudflare для 1.1.1.1 приведены как IPv4-, так и IPv6-адреса. Проверять их нужно в соответствующих разделах панели роутера, если оборудование поддерживает IPv6.
Запросы могут перенаправляться внутри сети
Есть и менее заметный сценарий: незашифрованный DNS-трафик на порту 53 может быть прозрачно перенаправлен на другой сервер. Ответ при этом выглядит так, словно пришёл от адреса, который выбрал пользователь.
Исследователи Калифорнийского университета в Сан-Диего описали такое поведение ещё в 2021 году. В изученных ими случаях источником перенаправления нередко оказывался домашний роутер, в том числе оборудование, выданное провайдером. Учёные отдельно предупреждали, что их выборка не отражает все страны, провайдеров и типы подключений, поэтому по исследованию нельзя оценить распространённость перехвата в России или в мире.
Как понять, какой DNS используется на самом деле
Откройте тест утечки DNS в важных браузерах и сравните показанного провайдера с выбранным в роутере. Затем сверьте DNS-адреса для IPv4 и IPv6 и проверьте, появляются ли запросы ключевых устройств в журнале Pi-hole, AdGuard Home или другого локального DNS.
Блокировать обнаруженный сторонний DNS нужно осторожно: жёсткая блокировка встроенного сервера способна нарушить работу гаджета.
