Что такое CIRA Canadian Shield?
CIRA Canadian Shield — бесплатный публичный DNS, его оператор — CIRA (Канада). Обычный DNS отвечает на 149.112.121.10, 149.112.122.10 (IPv6: 2620:10a:80bb::10, 2620:10a:80bc::10), есть и шифрованный DNS: DoT, DoH. Работает в основном в регионе: Канада. Рядом может быть самым быстрым, издалека обычно медленнее крупных глобальных сетей.
Проверяет DNSSEC: ответы с неверной подписью отбрасываются. Ничего не фильтрует: все имена разрешаются как есть. Работает как некоммерческий проект.
Адреса DNS-серверов CIRA Canadian Shield
Что вписать, чтобы пользоваться CIRA Canadian Shield:
DNS (IPv4) 149.112.121.10, 149.112.122.10
DNS (IPv6) 2620:10a:80bb::10, 2620:10a:80bc::10
DoT / Частный DNS private.canadianshield.cira.ca
DoH https://private.canadianshield.cira.ca/dns-query
Как настроить CIRA Canadian Shield
Windows 11
Параметры → Сеть и Интернет → Wi‑Fi или Ethernet → Свойства оборудования → Назначение DNS-сервера → Изменить → Вручную. Включите IPv4 и введите 149.112.121.10, 149.112.122.10. Для шифрования включите DNS через HTTPS (шаблон вручную) с шаблоном https://private.canadianshield.cira.ca/dns-query.
macOS
Системные настройки → Сеть → Wi‑Fi (или Ethernet) → Подробнее → DNS: нажмите + и добавьте 149.112.121.10, 149.112.122.10. Для шифрованного DNS (https://private.canadianshield.cira.ca/dns-query) нужен профиль конфигурации.
iPhone и iPad
Настройки → Wi‑Fi → ⓘ рядом с сетью → Настройка DNS → Вручную, добавьте 149.112.121.10, 149.112.122.10. Это только для этой сети Wi‑Fi; для шифрованного DNS везде установите DNS-профиль для https://private.canadianshield.cira.ca/dns-query.
Android
Настройки → Сеть и интернет → Персональный DNS-сервер → Имя хоста поставщика: private.canadianshield.cira.ca. Работает в любой сети и шифруется (DoT). Меню немного отличается у разных производителей: найдите в настройках «Персональный DNS».
Роутер
В веб-интерфейсе роутера (настройки WAN или DHCP) укажите DNS-серверы 149.112.121.10, 149.112.122.10: тогда им пользуются все устройства в сети.
Браузер
Chrome: Настройки → Конфиденциальность и безопасность → Безопасность → Использовать безопасный DNS → Другой: https://private.canadianshield.cira.ca/dns-query. В Edge то же самое в разделе «Конфиденциальность, поиск и службы». Firefox: Настройки → Приватность и защита → DNS через HTTPS → Максимальная защита → Другой: https://private.canadianshield.cira.ca/dns-query.
Linux
С systemd-resolved: впишите DNS=149.112.121.10 149.112.122.10 в /etc/systemd/resolved.conf и выполните systemctl restart systemd-resolved. Для DoT запишите адрес как 149.112.121.10#private.canadianshield.cira.ca и добавьте DNSOverTLS=yes.
Работает ли CIRA Canadian Shield в материковом Китае?
Обычный DNS как правило отвечает, но медленнее, потому что серверы за пределами материкового Китая, а ответы для заблокированных сайтов могут подделываться по пути. Шифрованный DNS (DoH, DoT) к нему часто блокируется или работает нестабильно. Проверьте на этой странице: строка без ответа значит, что из вашей сети он недоступен.
CIRA Canadian Shield или Quad9 DNS: что быстрее?
Ни один не быстрее везде: важно, насколько далеко ближайший сервер каждого и каким маршрутом туда идёт ваш провайдер. Эта страница примерно за 20 секунд замеряет оба и все остальные DNS из списка из вашей сети; вверху видно, какое место занял CIRA Canadian Shield и насколько он отстаёт от самого быстрого.
Quad9 DNS: страница, адреса, настройка →
Почему CIRA Canadian Shield у меня медленный?
Обычно дело в расстоянии: ближайший сервер далеко или провайдер ведёт трафик в обход. Прокси или VPN тоже пропускают через себя запросы, и тогда тест меряет маршрут прокси (это исправляют прямые правила). Некоторые сети замедляют или блокируют шифрованный DNS. А имя, о котором его ещё никто не спрашивал, всегда разрешается дольше (столбец «Без кеша»). Если другой DNS в списке заметно быстрее, переходите на него.
Как работает тест?
Ваш браузер обращается к каждому резолверу напрямую; через этот сайт ничего не идёт. Сначала он открывает соединение с каждым и один раз запрашивает три популярных имени, чтобы они попали в кеш резолвера; это не учитывается. Затем идут 10 раундов: в каждом все резолверы опрашиваются ещё раз, в новом случайном порядке, по несколько одновременно, так что сбой в вашей сети задевает всех одинаково. Через раунд запрашивается и случайное имя, которого нигде нет.
Числа — медианы: один медленный запрос их не сдвигает. Время берётся из сетевых замеров, которые браузер сам записывает для каждого запроса, и скрипты страницы не могут их исказить. Каждый URL новый и запрашивается в обход кеша, поэтому ответить может только сам резолвер.
Почему UDP и DoT — оценка?
Браузеры умеют только HTTPS-запросы. Они не могут отправить UDP-запрос на порт 53, открыть TLS на порт 853 (DoT) или работать по DoQ, и ни один сайт не может сделать это из вашей сети. Сайты, показывающие такие цифры, меряют со своего сервера или угадывают.
Что может страница: отправить DNS over HTTPS тому самому серверу, который отвечает по UDP и DoT (например, https://1.1.1.1/dns-query). По открытому соединению запрос стоит одного пути туда и обратно до этого сервера плюс работу резолвера — ровно столько же, сколько запрос по UDP или DoT; HTTP добавляет заметно меньше миллисекунды. Отсюда ≈. Если у обычного DNS-сервера нет HTTPS, вместо числа стоит –.
Чего оценка не видит: сети, которая блокирует, замедляет или подменяет порты 53 или 853, но не трогает HTTPS.
Чтобы по-настоящему измерить UDP, DoT и DoQ, запустите утилиту командной строки (команда под таблицей) на сервере, Linux-машине или роутере: она поддерживает все протоколы и использует тот же список.
Насколько надёжны результаты?
Метод измерения описан в первом вопросе. Кроме того, список проверяется скриптом scripts/verify.mjs (в репозитории) с нескольких континентов: каждый адрес должен давать настоящий DNS-ответ на такой запрос, а проверка DNSSEC тестируется, а не берётся со слов провайдеров.
Где резолвер это разрешает (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), страница ещё и читает каждый ответ и учитывает только настоящие. У остальных браузер может засечь время ответа, но не прочитать его.
Повторите тест пару раз, по возможности в разное время: самый быстрый ночью не обязательно самый быстрый в час пик.
У меня прокси. Результаты всё ещё мои?
По умолчанию нет: с включённым прокси или VPN браузер обращается к резолверам через него, и тест измеряет маршрут прокси (все зарубежные резолверы выглядят примерно такими же быстрыми, как ваш прокси-сервер). DNS, заданный на устройстве или роутере, обычно опрашивается напрямую, так что это не то, что вы получите.
Чтобы измерить свою сеть, добавьте прямые правила (кнопка рядом с прогрессом): они отправляют напрямую ровно адреса этого теста, по точному имени хоста и одиночному IP, и ничего больше. Поддерживаются Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box и Xray; большинство может загружать правила с этого сайта и держать их актуальными.
Что значит «без кеша»?
Популярные имена уже лежат в кеше любого загруженного резолвера, поэтому везде отвечают быстро. Для имени, которое давно никто не запрашивал, резолвер сначала спрашивает DNS-серверы самого сайта. Тест использует случайные имена в зоне на DNS Cloudflare, у которого серверы почти везде, кроме материкового Китая.
Это время зависит от того, где стоят DNS-серверы каждого сайта, а это у всех по-разному, поэтому оно показано, но в рейтинг не входит. Резолверы материкового Китая выглядят здесь медленными, потому что серверы зоны за границей; для китайских сайтов с DNS в Китае они быстрые.
Какой выбрать?
Первый в списке — хороший выбор. Если разница в несколько мс, выбирайте по тому, что ещё важно: Quad9 и OpenDNS блокируют известные вредоносные и фишинговые сайты; Mullvad, Quad9 и Wikimedia не хранят журналы, кто что запрашивал; резолверы с проверкой DNSSEC отклоняют поддельные ответы для подписанных доменов.
Если устройство принимает только адреса обычных DNS-серверов (большинство роутеров, старые системы), смотрите столбец UDP: строка под победителем называет самый быстрый обычный DNS, если это другой резолвер.
Чтобы сеть и провайдер не видели ваши запросы, используйте адрес DoT или DoH: обычный DNS передаётся без шифрования.
Как сменить DNS?
Android 9+: Настройки → Сеть → Частный DNS → введите имя хоста DoT (например, one.one.one.one).
iPhone и Mac: для каждой сети Wi-Fi укажите DNS-серверы; для шифрованного DNS установите профиль конфигурации с сайта резолвера.
Windows 11: Параметры → Сеть → ваше подключение → Назначение DNS-сервера → Вручную, введите серверы и включите DNS over HTTPS.
Роутер: укажите DNS-серверы в настройках DHCP или WAN, и их будут использовать все устройства в сети.
Только браузер: в Chrome, Edge и Firefox есть настройка «Безопасный DNS», где можно выбрать провайдера или вставить адрес DoH.
Нажмите на любой адрес на этой странице, чтобы скопировать его.
Что такое DNSSEC?
DNSSEC позволяет домену подписывать свои DNS-записи. Проверяющий резолвер сверяет подписи и отклоняет несовпадающие ответы, так что никто по пути не сможет подсунуть поддельный адрес подписанного домена. Страница ставит ✓ тем, кто это делает (проверка на намеренно сломанном домене dnssec-failed.org, который они должны отклонить). Помогает только для подписанных доменов, но ничего не стоит.
Почему не тестируются 114DNS и Baidu DNS?
Они предлагают только обычный DNS, а их серверы вообще не отвечают по HTTPS, поэтому браузер не может до них достучаться никаким способом. Quad101 (Тайвань) не включён: при наших проверках его DoH не отвечал из-за рубежа.
Что такое ECS и почему он не показан?
EDNS Client Subnet: некоторые резолверы сообщают DNS-серверам сайта часть вашего адреса, чтобы CDN выбрала сервер рядом с вами, а не с резолвером. Это может ускорить загрузки и видео ценой небольшой потери приватности.
В таблице его нет, потому что это не постоянное свойство: при наших проверках один и тот же резолвер передавал подсеть из одних мест и по одним протоколам и не передавал из других, так что любое «да» или «нет» вводило бы в заблуждение.
Собираются ли мои данные?
Нет. Запросы идут из вашего браузера напрямую к каждому резолверу, и запрашиваются популярные публичные сайты и случайные имена; ничего о вас в них нет. Этот сайт не получает результатов. Каждый резолвер видит ваш адрес, как при любом DNS-запросе; действуют их собственные политики конфиденциальности. Код открыт и лежит на GitHub.
Cloudflare
Google
Quad9
OpenDNS
AdGuard DNS
AdGuard Unfiltered
NextDNS
Control D
Mullvad
DNS.SB
Hurricane Electric
Wikimedia DNS
CleanBrowsing
Rethink DNS
AliDNS
DNSPod
360 DNS
Yandex DNS
DNS4EU
CIRA Canadian Shield
CZ.NIC ODVR
SWITCH
Digitale Gesellschaft
DNSForge
UncensoredDNS
Applied Privacy
Njalla
DNS4ALL
LibreDNS
Comss.one DNS
Xfinity
Tiarap
IIJ Public DNS