🔨 Что будет если РКН убьёт чужие DNS полностью (спойлер — это будет весело и сломает часть рунета)

🔥 Это гипотетический сценарий, но давайте сегодня его рассмотрим в свете последних новостей. Сегодня была горячая неделя.

Пока что нет никаких намёков на это, а те перехваты которые выполняются с DNS сейчас слишком точечны и раскатаны не у всех.

🇷🇺 Уже сейчас существует «суверенный» государственный DNS — НСДИ. Настроен он очень подло. Для НЕроссийских адресов он отвечает как нужно, американец подмены не заметит. Как только к такому DNS подключается россиянин — тот просто говорит «такого сайта не знаем».

👀 Мы это проверили сами. Спросили у сервера НСДИ 195.208.5.1 адрес youtube.com из 12 точек в России и с сервера в Германии. Все 12 российских точек получили «сайта нет», Германия получила настоящий адрес Google. В августе тот же сервер отказывал всем подряд, то есть настройка «кому что отвечать» появилась недавно.

👀 Хорошая новость: зарубежные зоны пока открыты, github.com те же российские точки получили без проблем. Закрыт список конкретных сайтов, с него всё и началось, когда YouTube и WhatsApp убрали из НСДИ. Плохая новость: чтобы закрыть всё, что не кончается на .ru, хватит одного правила вместо сотен.

📢 Дальше начались ЭЭЭЭЭЭксперименты. Мы взяли браузер, запретили ему узнавать адреса всего, кроме зон .ru, .su и .рф, и открыли 27 популярных российских сайтов. Пять не открылись совсем: Дзен, Хабр, «Чемпионат», Okko и Иви. Ещё три открылись сломанными.

🤣 Почему ломаются сайты с адресом в .ru? Потому что dzen.ru при открытии отправляет на login.vk.com. «Кинопоиск» и «Яндекс Маркет» берут оформление и картинки с yastatic.net, без него остаётся голый текст. 2ГИС открывается, а карты нет: она лежит на 2gis.com.

🤔 Есть и другие проблемы которые не позволяют всё вырубить быстро. У 183 из 990 самых популярных доменов .ru серверы имён записаны в зарубежных зонах: cloudflare.com, timeweb.org, beget.com. Сайт российский, а дорога к его адресу идёт через .com.

😰 Что делать уже сейчас? Переезжать Включить шифрованный DNS: в Android это «Частный DNS» с именем dns.quad9.net, в браузере пункт «безопасный DNS», а лучше всего настроить его на роутере. В нашем замере 9.9.9.9 и NextDNS отвечали честно, а запросы к Google и Cloudflare у части точек перехватывали. Как это устроено, мы разбирали в статье про подмену DNS. Если отвалится и он, перебирайте другие DNS в интернете. Скоро явно начнётся ещё один новый рынок — платных DNS.

🥳 Про совет «поставьте DNSCrypt и не мучайтесь». Совет дельный: подсунуть свой ответ в такой канал нельзя. Но сам сервер можно закрыть по адресу, а первый запуск программы идёт через обычный DNS. То есть работает, пока до него не дошли руки.

🔓 Надёжнее всего пустить DNS через VPN: запрос уходит внутри туннеля, и фильтр не видит ни сервера, ни имени сайта. И сделайте запас, пока всё работает: скачайте установщики и запишите цифровые адреса 9.9.9.9 и 149.112.112.112. Кстати, Mullvad закрывает свой публичный DNS 2 ноября.

🔐 Полный разбор: что будет, если НСДИ оставит только .ru