DNS провайдера или публичный DNS: задержка, фильтрация и политика хранения запросов

DNS переводит имена сайтов в адреса. Когда вы открываете страницу, устройство спрашивает резолвер, и тот либо отдаёт ответ из кеша, либо сам опрашивает иерархию серверов. По умолчанию резолвер выдаёт провайдер через DHCP: вы ничего не настраивали, и он уже работает.

Публичный DNS ведёт компания или организация, доступная из любой сети. Вы указываете его адрес вручную в устройстве или на роутере. Технически и те, и другие выполняют одну работу, различаются условия: расположение, надёжность, правила и политика логов.

У большинства пользователей DNS вообще не настроен вручную, поэтому вопрос возникает лишь тогда, когда сайты открываются медленно или появляются странные ошибки.

Резолвер провайдера обычно расположен близко к вам в сети, и поэтому первый запрос может быть быстрым. Публичные службы используют множество узлов по миру и большие кеши, что тоже даёт хорошие результаты. Заранее сказать, кто быстрее, нельзя: зависит от вашего провайдера и региона.

Проверьте на практике: измерьте время ответа на набор разных доменов с помощью утилиты вроде dig или с помощью специальных тестов. Смотрите на медиану и на редкие долгие ответы, а не на лучший случай. Кеш влияет очень сильно, поэтому тестируйте домены, которых нет в кеше, и повторяйте измерения в разное время.

Хороший способ сравнения: составить список из двадцати-тридцати реально посещаемых доменов и запросить их у каждого кандидата несколько раз. Так вы учтёте и кеш, и особенности вашего провайдера.

Сбои у провайдера бывают: резолвер может быть перегружен или отвечать с ошибками, хотя сеть в целом работает. Публичные службы, как правило, имеют избыточную инфраструктуру. Но и они могут стать недоступными в конкретной сети, поэтому полезно указать второй резолвер другого оператора.

Фильтрация зависит от выбора. Провайдерский DNS может подменять ответы для несуществующих доменов, показывать рекламные страницы или применять собственные политики. Некоторые публичные службы предлагают варианты с фильтрацией вредоносных доменов, с семейными фильтрами или без какого-либо фильтра. Выбирайте вариант, соответствующий вашей цели, и читайте описание.

Обратите внимание на поведение при недоступности: некоторые устройства долго ждут ответа от первого сервера, прежде чем перейти ко второму, что выглядит как зависание при открытии страницы.

Список посещаемых имён многое говорит о человеке. Любой резолвер видит их: и провайдерский, и публичный. Разница в том, кому вы доверяете и что заявлено в политике хранения журналов. Провайдер и так знает ваш IP-адрес и видит трафик, публичная служба видит только запросы, но получает их от многих людей.

Обращайте внимание на срок хранения логов, использование данных для рекламы, наличие независимых проверок и поддержку шифрования запросов. Шифрование DoH и DoT защищает канал от посторонних, но не скрывает запросы от самого резолвера.

Для самых чувствительных сценариев можно поднять собственный резолвер, хотя он потребует обслуживания.

Оставайтесь на DNS провайдера, если он работает стабильно, быстро отвечает и вы не нуждаетесь в фильтрации. Это самый простой вариант без настройки.

Переходите на публичный DNS, если замечаете частые сбои и медленные ответы, если нужна семейная или защитная фильтрация, если хотите шифрованные запросы. Меняйте настройку на роутере, чтобы затронуть всю сеть, и не забывайте про второй адрес.

Если после смены что-то перестало открываться, вернитесь к прежним значениям и сравните: иногда проблема связана с географической привязкой ответов у сервисов, а не с ошибкой самого DNS.

Для семьи с детьми имеет смысл вариант с фильтрацией нежелательных категорий на уровне DNS, хотя он не заменяет родительский контроль на устройствах. Для небольшого офиса важнее предсказуемость и отсутствие подмены ответов. Для владельцев домашних серверов ключевую роль играет возможность обращаться к локальным именам, и здесь удобнее собственный резолвер в сети.

Отдельный случай сети с неполадками у провайдера. Если резолвер провайдера периодически перестаёт отвечать, смена на публичный обычно устраняет симптом. Но если сам канал нестабилен, DNS проблему не решит, и стоит искать причину глубже: на роутере, в кабеле, на линии.

И последнее: не меняйте настройки массово без записи прежних значений. Это позволит быстро вернуться к рабочему состоянию.