Тест DNS
185.228.168.9 185.228.169.92a0d:2a00:1::2 2a0d:2a00:2::2security-filter-dns.cleanbrowsing.orghttps://doh.cleanbrowsing.org/doh/security-filter/Браузер может только оценить UDP и DoT. На VPS, Linux-машине или роутере эта команда измеряет все пять протоколов и сравнивает с вашим текущим DNS.
curl -fsSL https://dns.1ms.dog/i | sh -s -- run -r cleanbrowsing,opendns
CloudflareUDPDoTDoH✓1.1.1.1 1.0.0.12606:4700:4700::1111 2606:4700:4700::1001one.one.one.onehttps://cloudflare-dns.com/dns-query
GoogleUDPDoTDoH✓8.8.8.8 8.8.4.42001:4860:4860::8888 2001:4860:4860::8844dns.googlehttps://dns.google/dns-query
Quad9UDPDoTDoH✓9.9.9.9 149.112.112.1122620:fe::fe 2620:fe::9dns.quad9.nethttps://dns.quad9.net/dns-query
OpenDNSUDPDoTDoH✓208.67.222.222 208.67.220.2202620:119:35::35 2620:119:53::53dns.opendns.comhttps://doh.opendns.com/dns-query
AdGuard DNSUDPDoTDoHDoQ✓94.140.14.14 94.140.15.152a10:50c0::ad1:ff 2a10:50c0::ad2:ffdns.adguard-dns.comhttps://dns.adguard-dns.com/dns-queryquic://dns.adguard-dns.com
AdGuard UnfilteredUDPDoTDoHDoQ✓94.140.14.140 94.140.14.1412a10:50c0::1:ff 2a10:50c0::2:ffunfiltered.adguard-dns.comhttps://unfiltered.adguard-dns.com/dns-queryquic://unfiltered.adguard-dns.com
NextDNSUDPDoTDoHDoQ✓45.90.28.0 45.90.30.02a07:a8c0:: 2a07:a8c1::dns.nextdns.iohttps://dns.nextdns.io/quic://dns.nextdns.io
Control DUDPDoTDoHDoQ✓76.76.2.0 76.76.10.02606:1a40:: 2606:1a40:1::p0.freedns.controld.comhttps://freedns.controld.com/p0quic://p0.freedns.controld.com
MullvadDoTDoH✓dns.mullvad.nethttps://dns.mullvad.net/dns-query
DNS.SBUDPDoTDoH✓185.222.222.222 45.11.45.112a09:: 2a11::dot.sbhttps://doh.dns.sb/dns-query
Hurricane ElectricUDPDoTDoH✓74.82.42.422001:470:20::2ordns.he.nethttps://ordns.he.net/dns-query
Wikimedia DNSDoTDoH✓wikimedia-dns.orghttps://wikimedia-dns.org/dns-query
CleanBrowsingUDPDoTDoH–185.228.168.9 185.228.169.92a0d:2a00:1::2 2a0d:2a00:2::2security-filter-dns.cleanbrowsing.orghttps://doh.cleanbrowsing.org/doh/security-filter/
Rethink DNSDoTDoH✓max.rethinkdns.comhttps://sky.rethinkdns.com/dns-query
AliDNSUDPDoTDoHDoQ–223.5.5.5 223.6.6.62400:3200::1 2400:3200:baba::1dns.alidns.comhttps://dns.alidns.com/dns-queryquic://dns.alidns.com
DNSPodUDPDoTDoH–119.29.29.292402:4e00::dot.pubhttps://doh.pub/dns-query
360 DNSUDPDoTDoH–101.226.4.6 218.30.118.6dot.360.cnhttps://doh.360.cn/dns-query
Yandex DNSUDPDoTDoH–77.88.8.8 77.88.8.12a02:6b8::feed:0ff 2a02:6b8:0:1::feed:0ffcommon.dot.dns.yandex.nethttps://common.dot.dns.yandex.net/dns-query
DNS4EUUDPDoTDoH✓86.54.11.100 86.54.11.2002a13:1001::86:54:11:100 2a13:1001::86:54:11:200unfiltered.joindns4.euhttps://unfiltered.joindns4.eu/dns-query
CIRA Canadian ShieldUDPDoTDoH✓149.112.121.10 149.112.122.102620:10a:80bb::10 2620:10a:80bc::10private.canadianshield.cira.cahttps://private.canadianshield.cira.ca/dns-query
CZ.NIC ODVRUDPDoTDoH✓193.17.47.1 185.43.135.12001:148f:ffff::1 2001:148f:fffe::1odvr.nic.czhttps://odvr.nic.cz/doh
SWITCHDoTDoH✓dns.switch.chhttps://dns.switch.ch/dns-query
Digitale GesellschaftDoTDoH✓dns.digitale-gesellschaft.chhttps://dns.digitale-gesellschaft.ch/dns-query
DNSForgeUDPDoTDoH✓176.9.93.198 176.9.1.1172a01:4f8:151:34aa::198 2a01:4f8:141:316d::117dnsforge.dehttps://dnsforge.de/dns-query
UncensoredDNSUDPDoTDoH✓91.239.100.100 89.233.43.712001:67c:28a4:: 2a01:3a0:53:53::anycast.uncensoreddns.orghttps://anycast.uncensoreddns.org/dns-query
Applied PrivacyDoTDoH✓dot1.applied-privacy.nethttps://doh.applied-privacy.net/query
NjallaUDPDoTDoH✓95.215.19.532001:67c:2354:2::53dns.njal.lahttps://dns.njal.la/dns-query
DNS4ALLUDPDoTDoH✓194.0.5.32001:678:8::3dot.dns4all.euhttps://doh.dns4all.eu/dns-query
LibreDNSDoTDoH–dot.libredns.grhttps://doh.libredns.gr/dns-query
Comss.one DNSDoTDoH–dns.comss.onehttps://dns.comss.one/dns-query
XfinityDoH✓https://doh.xfinity.com/dns-query
TiarapUDPDoTDoH✓174.138.21.128dot.tiar.apphttps://doh.tiar.app/dns-query
IIJ Public DNSDoTDoH✓public.dns.iij.jphttps://public.dns.iij.jp/dns-queryКартинка и ссылка создаются здесь, в вашем браузере; ничего не загружается. В ссылке только цифры.
curl -fsSL https://dns.1ms.dog/i | shcurl -fsSL https://dns.1ms.dog/i | sh -s -- runwget -qO- https://dns.1ms.dog/i | shdnstest -p udp,dot,doqdnstest -r cloudflare,google,alidnsdnstest -6dnstest --json > dns.jsonirm https://dns.1ms.dog/i.ps1 | iexС включённым прокси браузер обращается к резолверам через него, и тест измеряет маршрут прокси. Эти правила отправляют DIRECT только адреса теста; остальное не меняется.
Затем перезагрузите конфигурацию прокси и проверьте снова.
CleanBrowsing DNS — бесплатный публичный DNS, его оператор — CleanBrowsing (Соединенные Штаты). Обычный DNS отвечает на 185.228.168.9, 185.228.169.9 (IPv6: 2a0d:2a00:1::2, 2a0d:2a00:2::2), есть и шифрованный DNS: DoT, DoH. Серверы стоят во многих местах мира, и запросы уходят на ближайший.
DNSSEC не проверяет. По умолчанию блокирует домены вредоносных программ и фишинга.
Что вписать, чтобы пользоваться CleanBrowsing DNS:
DNS (IPv4) 185.228.168.9, 185.228.169.9
DNS (IPv6) 2a0d:2a00:1::2, 2a0d:2a00:2::2
DoT / Частный DNS security-filter-dns.cleanbrowsing.org
DoH https://doh.cleanbrowsing.org/doh/security-filter/
Параметры → Сеть и Интернет → Wi‑Fi или Ethernet → Свойства оборудования → Назначение DNS-сервера → Изменить → Вручную. Включите IPv4 и введите 185.228.168.9, 185.228.169.9. Для шифрования включите DNS через HTTPS (шаблон вручную) с шаблоном https://doh.cleanbrowsing.org/doh/security-filter/.
Системные настройки → Сеть → Wi‑Fi (или Ethernet) → Подробнее → DNS: нажмите + и добавьте 185.228.168.9, 185.228.169.9. Для шифрованного DNS (https://doh.cleanbrowsing.org/doh/security-filter/) нужен профиль конфигурации.
Настройки → Wi‑Fi → ⓘ рядом с сетью → Настройка DNS → Вручную, добавьте 185.228.168.9, 185.228.169.9. Это только для этой сети Wi‑Fi; для шифрованного DNS везде установите DNS-профиль для https://doh.cleanbrowsing.org/doh/security-filter/.
Настройки → Сеть и интернет → Персональный DNS-сервер → Имя хоста поставщика: security-filter-dns.cleanbrowsing.org. Работает в любой сети и шифруется (DoT). Меню немного отличается у разных производителей: найдите в настройках «Персональный DNS».
В веб-интерфейсе роутера (настройки WAN или DHCP) укажите DNS-серверы 185.228.168.9, 185.228.169.9: тогда им пользуются все устройства в сети.
Chrome: Настройки → Конфиденциальность и безопасность → Безопасность → Использовать безопасный DNS → Другой: https://doh.cleanbrowsing.org/doh/security-filter/. В Edge то же самое в разделе «Конфиденциальность, поиск и службы». Firefox: Настройки → Приватность и защита → DNS через HTTPS → Максимальная защита → Другой: https://doh.cleanbrowsing.org/doh/security-filter/.
С systemd-resolved: впишите DNS=185.228.168.9 185.228.169.9 в /etc/systemd/resolved.conf и выполните systemctl restart systemd-resolved. Для DoT запишите адрес как 185.228.168.9#security-filter-dns.cleanbrowsing.org и добавьте DNSOverTLS=yes.
Обычный DNS как правило отвечает, но медленнее, потому что серверы за пределами материкового Китая, а ответы для заблокированных сайтов могут подделываться по пути. Шифрованный DNS (DoH, DoT) к нему часто блокируется или работает нестабильно. Проверьте на этой странице: строка без ответа значит, что из вашей сети он недоступен.
Ни один не быстрее везде: важно, насколько далеко ближайший сервер каждого и каким маршрутом туда идёт ваш провайдер. Эта страница примерно за 20 секунд замеряет оба и все остальные DNS из списка из вашей сети; вверху видно, какое место занял CleanBrowsing DNS и насколько он отстаёт от самого быстрого.
Обычно дело в расстоянии: ближайший сервер далеко или провайдер ведёт трафик в обход. Прокси или VPN тоже пропускают через себя запросы, и тогда тест меряет маршрут прокси (это исправляют прямые правила). Некоторые сети замедляют или блокируют шифрованный DNS. А имя, о котором его ещё никто не спрашивал, всегда разрешается дольше (столбец «Без кеша»). Если другой DNS в списке заметно быстрее, переходите на него.
Ваш браузер обращается к каждому резолверу напрямую; через этот сайт ничего не идёт. Сначала он открывает соединение с каждым и один раз запрашивает три популярных имени, чтобы они попали в кеш резолвера; это не учитывается. Затем идут 10 раундов: в каждом все резолверы опрашиваются ещё раз, в новом случайном порядке, по несколько одновременно, так что сбой в вашей сети задевает всех одинаково. Через раунд запрашивается и случайное имя, которого нигде нет.
Числа — медианы: один медленный запрос их не сдвигает. Время берётся из сетевых замеров, которые браузер сам записывает для каждого запроса, и скрипты страницы не могут их исказить. Каждый URL новый и запрашивается в обход кеша, поэтому ответить может только сам резолвер.
Браузеры умеют только HTTPS-запросы. Они не могут отправить UDP-запрос на порт 53, открыть TLS на порт 853 (DoT) или работать по DoQ, и ни один сайт не может сделать это из вашей сети. Сайты, показывающие такие цифры, меряют со своего сервера или угадывают.
Что может страница: отправить DNS over HTTPS тому самому серверу, который отвечает по UDP и DoT (например, https://1.1.1.1/dns-query). По открытому соединению запрос стоит одного пути туда и обратно до этого сервера плюс работу резолвера — ровно столько же, сколько запрос по UDP или DoT; HTTP добавляет заметно меньше миллисекунды. Отсюда ≈. Если у обычного DNS-сервера нет HTTPS, вместо числа стоит –.
Чего оценка не видит: сети, которая блокирует, замедляет или подменяет порты 53 или 853, но не трогает HTTPS.
Чтобы по-настоящему измерить UDP, DoT и DoQ, запустите утилиту командной строки (команда под таблицей) на сервере, Linux-машине или роутере: она поддерживает все протоколы и использует тот же список.
Метод измерения описан в первом вопросе. Кроме того, список проверяется скриптом scripts/verify.mjs (в репозитории) с нескольких континентов: каждый адрес должен давать настоящий DNS-ответ на такой запрос, а проверка DNSSEC тестируется, а не берётся со слов провайдеров.
Где резолвер это разрешает (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), страница ещё и читает каждый ответ и учитывает только настоящие. У остальных браузер может засечь время ответа, но не прочитать его.
Повторите тест пару раз, по возможности в разное время: самый быстрый ночью не обязательно самый быстрый в час пик.
По умолчанию нет: с включённым прокси или VPN браузер обращается к резолверам через него, и тест измеряет маршрут прокси (все зарубежные резолверы выглядят примерно такими же быстрыми, как ваш прокси-сервер). DNS, заданный на устройстве или роутере, обычно опрашивается напрямую, так что это не то, что вы получите.
Чтобы измерить свою сеть, добавьте прямые правила (кнопка рядом с прогрессом): они отправляют напрямую ровно адреса этого теста, по точному имени хоста и одиночному IP, и ничего больше. Поддерживаются Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box и Xray; большинство может загружать правила с этого сайта и держать их актуальными.
Популярные имена уже лежат в кеше любого загруженного резолвера, поэтому везде отвечают быстро. Для имени, которое давно никто не запрашивал, резолвер сначала спрашивает DNS-серверы самого сайта. Тест использует случайные имена в зоне на DNS Cloudflare, у которого серверы почти везде, кроме материкового Китая.
Это время зависит от того, где стоят DNS-серверы каждого сайта, а это у всех по-разному, поэтому оно показано, но в рейтинг не входит. Резолверы материкового Китая выглядят здесь медленными, потому что серверы зоны за границей; для китайских сайтов с DNS в Китае они быстрые.
Первый в списке — хороший выбор. Если разница в несколько мс, выбирайте по тому, что ещё важно: Quad9 и OpenDNS блокируют известные вредоносные и фишинговые сайты; Mullvad, Quad9 и Wikimedia не хранят журналы, кто что запрашивал; резолверы с проверкой DNSSEC отклоняют поддельные ответы для подписанных доменов.
Если устройство принимает только адреса обычных DNS-серверов (большинство роутеров, старые системы), смотрите столбец UDP: строка под победителем называет самый быстрый обычный DNS, если это другой резолвер.
Чтобы сеть и провайдер не видели ваши запросы, используйте адрес DoT или DoH: обычный DNS передаётся без шифрования.
Android 9+: Настройки → Сеть → Частный DNS → введите имя хоста DoT (например, one.one.one.one).
iPhone и Mac: для каждой сети Wi-Fi укажите DNS-серверы; для шифрованного DNS установите профиль конфигурации с сайта резолвера.
Windows 11: Параметры → Сеть → ваше подключение → Назначение DNS-сервера → Вручную, введите серверы и включите DNS over HTTPS.
Роутер: укажите DNS-серверы в настройках DHCP или WAN, и их будут использовать все устройства в сети.
Только браузер: в Chrome, Edge и Firefox есть настройка «Безопасный DNS», где можно выбрать провайдера или вставить адрес DoH.
Нажмите на любой адрес на этой странице, чтобы скопировать его.
DNSSEC позволяет домену подписывать свои DNS-записи. Проверяющий резолвер сверяет подписи и отклоняет несовпадающие ответы, так что никто по пути не сможет подсунуть поддельный адрес подписанного домена. Страница ставит ✓ тем, кто это делает (проверка на намеренно сломанном домене dnssec-failed.org, который они должны отклонить). Помогает только для подписанных доменов, но ничего не стоит.
Они предлагают только обычный DNS, а их серверы вообще не отвечают по HTTPS, поэтому браузер не может до них достучаться никаким способом. Quad101 (Тайвань) не включён: при наших проверках его DoH не отвечал из-за рубежа.
EDNS Client Subnet: некоторые резолверы сообщают DNS-серверам сайта часть вашего адреса, чтобы CDN выбрала сервер рядом с вами, а не с резолвером. Это может ускорить загрузки и видео ценой небольшой потери приватности.
В таблице его нет, потому что это не постоянное свойство: при наших проверках один и тот же резолвер передавал подсеть из одних мест и по одним протоколам и не передавал из других, так что любое «да» или «нет» вводило бы в заблуждение.
Нет. Запросы идут из вашего браузера напрямую к каждому резолверу, и запрашиваются популярные публичные сайты и случайные имена; ничего о вас в них нет. Этот сайт не получает результатов. Каждый резолвер видит ваш адрес, как при любом DNS-запросе; действуют их собственные политики конфиденциальности. Код открыт и лежит на GitHub.