Что такое 1.1.1.1? Понятный гид по публичным DNS-резолверам

Спросите на форуме о домашних сетях, почему сайт грузится медленно, и кто-нибудь скажет это в пределах пяти ответов: просто переключите DNS на 1.1.1.1. Его предлагают так, как предлагают изоленту, — как средство от всего. Я сам вбивал эти цифры в свой роутер. Иногда страницы после этого действительно открывались быстрее. Однажды у родственника это «исправило» проблему, которая оказалась умирающим роутером: неделю спустя он умер окончательно, прихватив с собой мою репутацию.

Давайте же точно разберём, что это за четыре цифры, что меняется, когда вы ими пользуетесь, а что не меняется совершенно.

Сначала — работа, которую резолвер делает за вас

Каждый раз, когда что-то в вашей сети запрашивает сайт по имени, что-то должно перевести это имя в адрес. Это что-то — рекурсивный резолвер, и он у вас уже есть: его эксплуатирует ваш интернет-провайдер, а ваш роутер автоматически раздаёт его адрес каждому устройству. Вы его никогда не выбирали, вы, вероятно, не знаете его адреса, а он отвечает на тысячи ваших вопросов в день. Основы того, что такое DNS-сервер представляют всех участников; резолвер — тот, кто делает за вас всю беготню.

Он ещё и свидетель. Ваш резолвер видит каждое имя, которое вы запрашиваете, — не сами страницы, а имена, а это уже неплохой набросок ваших привычек. Тот, кто эксплуатирует ваш резолвер, хранит этот журнал. Смена резолвера не убирает свидетеля. Она лишь меняет, кто этот свидетель.

Итак, что же такое 1.1.1.1?

1.1.1.1 — публичный рекурсивный резолвер, которым управляет Cloudflare и который открыт для всех, бесплатно, по адресу, достаточно короткому, чтобы его запомнить, — что, честно говоря, и есть половина причины его распространения. Есть второй адрес, 1.0.0.1, по обычной причине: чтобы один мёртвый адрес не утащил ваши запросы за собой. Публичные резолверы других компаний существуют по другим знаменитым адресам; идее уже десятилетия. 1.1.1.1 — просто тот, что стал именем нарицательным.

«Публичный» — в этом весь смысл. Резолвер вашего провайдера существует, чтобы обслуживать его клиентов. Публичный резолвер существует, чтобы обслуживать любого, кто спросит, и получает инструкции от вас, а не из настроек вашего провайдера по умолчанию.

Чем он отличается от резолвера, который у вас уже есть

Остальная семья

У знаменитого адреса есть братья и сёстры, и знание о них предотвращает обычную путаницу. Тот же оператор публикует варианты по соседним адресам: один отказывает именам, известным распространением вредоносного ПО, а другой отказывает им плюс контенту для взрослых и нацелен на домашние хозяйства. Иногда люди попадают на фильтрующий вариант, сами того не понимая, — через руководство, предустановку роутера или доброжелательного родственника — а потом недоумённо сообщают, что некоторые сайты «не существуют». Они существуют. Резолвер просто отказывается вас знакомить — это функция, которую кто-то выбрал от вашего имени.

Существуют и формы IPv6 — длинные шестнадцатеричные строки вроде 2606:4700:4700::1111, поэтому их никто и не цитирует за ужином. Если ваше соединение работает по IPv6, а вы указали только адреса IPv4, некоторые устройства будут тихо продолжать пользоваться тем резолвером IPv6, который им выдали, и ваши запросы разделятся между двумя службами, запутывая каждый ваш последующий тест. Устройство, у которого есть экран для одного семейства, обычно имеет экран и для другого. Заполните оба.

Посмотрите на эту таблицу ещё раз и заметьте, чего в ней нет: строки, обещающей скорость. Скорость — отдельный вопрос, и ниже он заслуживает собственного честного раздела.

Что обещают про конфиденциальность, со всеми ограничениями

Смена меняет того, кто может журналировать ваши запросы. Оператор 1.1.1.1 всё равно видит ваши запросы — должен видеть, чтобы отвечать на них, — так что на деле вы выбираете, чью политику конфиденциальности предпочитаете. Сочетайте его с зашифрованным DNS, и вы выигрываете нечто реальное: с DNS over HTTPS или его TLS-собратом отрезок между вами и резолвером зашифрован, поэтому ваш провайдер и Wi-Fi кофейни больше не могут читать вопросы на лету.

Теперь ограничения. Сайты, которые вы посещаете, по-прежнему видят, что ваше соединение приходит с вашего собственного адреса. Ваш провайдер по-прежнему видит, к каким адресам вы подключаетесь, даже если больше не видит имена, о которых вы спрашивали. 1.1.1.1 — не VPN, не претендует на это, а любой гид, после которого вы уходите с другим впечатлением, пытается вам что-то продать.

Почему он может казаться быстрее — и почему может не казаться

В его пользу работают два настоящих механизма. Первый — anycast: один и тот же адрес анонсируется из точек по всему миру, поэтому ваш запрос попадает в ближайший экземпляр, а не пересекает океан. Второй — кэш. Резолвер, отвечающий на вопросы огромной толпы, вероятно, уже получал популярные имена, и ответ из кэша возвращается сразу, а не после полной цепочки запросов. Попадайте в тёплый кэш весь день — и просмотр действительно ощущается живее.

Но кэш режет в обе стороны. Малоизвестное имя, о котором ещё никто не спрашивал, по-прежнему нуждается в полной цепочке запросов, где бы ни жил ваш резолвер. А география — дело личное: резолвер вашего провайдера может сидеть в одном коротком прыжке от вашего дома, а ближайший экземпляр anycast может странно маршрутизироваться именно из вашей сети. Я видел победы обоих. Меряйте по собственному просмотру за несколько дней, а не верой.

Пара слов о рейтингах скорости резолверов, потому что вы их найдёте, если поищете. Бенчмарки замеряют, как быстро резолверы отвечают на список имён с вашего соединения, и результаты реальны — для этих имён, в этот час, на этом соединении. Чего они не могут уловить, так это вашей смеси. Малоизвестные имена, о которых домохозяйство спрашивает на самом деле, везде начинают без кэша, и резолвер, выигрывающий бенчмарк на миллисекунды, может проиграть ваш вечер вторника причуде маршрутизации, которую никто не измерял. Используйте рейтинги, чтобы разрешить ничью, а не чтобы принимать решение.

Ещё одна граница применимости, которую стоит держать в голове: резолвер помогает только на первом шаге — при запросе. Как только ваше устройство получило адрес и начало разговаривать с сайтом, резолвер полностью покидает историю — к нему не обращаются снова, пока не истечёт кэшированный ответ. Так что медленный стрим, запинающийся звонок, ползущая загрузка: ничто из этого не является замаскированной проблемой DNS, и никакой резолвер, каким бы быстрым или знаменитым он ни был, их не тронет. Вина — это бюджет. Тратьте его на тот слой, который действительно медленный.

Когда я бы не стал менять

• Рабочий или школьный ноутбук. Его настройки резолвера могут быть сознательной политикой, а внутренние имена — принтер, файловый сервер, интранет — часто разрешаются только через резолвер офиса. Направьте его в другое место, и всё начнёт загадочно ломаться.
• Сеть за порталом авторизации. Танец входа в отелях и аэропортах и так достаточно хрупок; отправка ваших запросов в необычное место до входа может сделать его ещё страннее.
• Если вы тихо полагаетесь на семейную или вредоносную фильтрацию вашего провайдера. Обычный публичный резолвер не фильтрует. Смена может убрать защиту, о наличии которой вы забыли.
• Посреди неисправности, которую вы хотите, чтобы исправил ваш провайдер. Его поддержка справедливо обвинит единственную вещь, которую вы изменили, и вам нечего будет ответить.

Если ничего из этого к вам не относится и вы хотите попробовать, смена вашего DNS-сервера занимает несколько минут: сделайте это сначала на одном устройстве, поживите с этим несколько дней, а роутер оставьте напоследок.

Один тёзка, которого стоит держать отдельно: приложение

Поищите эти цифры в магазине приложений, и вы найдёте приложение того же оператора, построенное на сопутствующей технологии, которая делает то, чего простой резолвер не делает: она направляет трафик телефона через сеть оператора, что гораздо ближе к тому, что делает VPN, чем к смене резолвера. Объединение обоих под одним брендом создаёт настоящую путаницу. Одни устанавливают приложение, ожидая «просто DNS», и получают туннель; другие вводят цифры на экране настроек, ожидая туннель, и получают просто DNS. Это разные инструменты, которым случилось делить знаменитое имя, поэтому решите, какой из двух вам на самом деле нужен, прежде чем что-либо устанавливать или вводить. Моё практическое правило: если вы ввели цифры на экране настроек, вы сменили резолвер. Если вы установили нечто, запросившее разрешения VPN, вы установили туннель.

Моя собственная настройка сегодня — компромисс: домашний роутер указывает на публичный резолвер, ноутбук принимает то, что раздаёт каждая сеть. Не идеология, а просто устройство, которое ломалось реже всего. Это честная рамка для 1.1.1.1 в целом. Цифры — не магия, но и не обман. Это выбор того, кто отвечает на ваши вопросы, сделанный вами, а не по умолчанию.