В России системно блокируют зашифрованный DNS Google и Cloudflare

С середины августа 2026 года у абонентов «Ростелекома», «Дом.ру», «Таттелекома», SkyNet и «Билайна» перестал отвечать зашифрованный DNS от Google и Cloudflare. Первые замеры 21 августа опубликовал Telegram-канал bypassblock на примере сети «Билайна». 2 сентября на Хабре вышел технический разбор с командами для самостоятельной диагностики, он собрал 34 тысячи просмотров.

Протоколы ложатся по-разному. DoT живёт на выделенном TCP-порту 853: рукопожатие проходит штатно, затем приходит RST с ошибкой ECONNRESET. Фильтру хватает правила dst_port == 853, глубокий разбор пакетов не нужен. DoH делит порт 443 с остальным HTTPS, поэтому DPI разбирает ClientHello: SNI dns.google или cloudflare-dns.com, набор шифров, ALPN и JA3-фингерпринт выдают DoH-сессию, дальше пакеты молча дропаются. Клиент ждёт и отваливается по таймауту через 5 секунд. Обычный UDP-запрос на 8.8.8.8:53 у многих при этом работает, IP-адреса резолверов не блокируются.

Параллельно перехватывается открытый DNS. На ТСПУ UDP-запрос переадресуется резолверу НСДИ, и на заблокированные домены приходит NXDOMAIN: youtube.com выглядит несуществующим при живом интернете. Эксперимент с TTL показывает, что пакет разворачивается на 195.208.5.1, узле b.res-nsdi.ru, а не доходит до Google. DNSSEC подмену не замечает: youtube.com, rutracker.org и facebook.com не подписаны, а на подписанном torproject.org валидатор сразу отдаёт SERVFAIL.

В начале июля 2026-го у нескольких операторов уже ломали TCP к Google Public DNS, но UDP оставался жив, и через время ограничение сняли. Сейчас бьёт одновременно по двум независимым поставщикам DNS и разным операторам, разрыв происходит на уровне TLS-хендшейка. В опросе на Хабре из 85 проголосовавших перехват открытых DNS-запросов заметили у себя 49 человек, блокировку DoT 31, DoH 34. При включённом перехвате на госрезолвер уходят все DNS-запросы абонента, в том числе к сайтам без блокировок.