До сегодняшнего дня в сравнении было 14 провайдеров. С сегодняшнего дня их 21. В этой статье мы рассказываем, откуда взялись семь новых, как мы их проверяли и, главное, какие из имён, гуляющих по спискам «лучших DNS», мы оставили за бортом и почему. Есть и изменение у xdp.es, которое касается тех, кто уже его настроил.
Как мы выбирали
Мы взяли шесть часто цитируемых списков (два испанских техносайта, один производитель средств безопасности, gist на GitHub, сайт DNS4EU и блог одного VPN) и выписали все сервисы, которых у нас не было: 21 кандидат. Каждому IP задали три вопроса через dig: отвечает ли он, проверяет ли DNSSEC (запрос к dnssec-failed.org, домену, намеренно подписанному неправильно) и блокирует ли рекламу (запрос к pagead2.googlesyndication.com). Затем проверили порт 853 через openssl на DoT и DoH через curl. У тех, кто устоял, мы прочитали на официальном сайте, что они обещают насчёт логов, юрисдикции и фильтрации.
Именно последний шаг отсеивает больше всего кандидатов. Списки переписывают друг друга и тянут за собой адреса сервисов, закрывшихся много лет назад.
Семь новых
UncensoredDNS (Дания). С 2009 года его содержит один человек, Томас Стин Расмуссен, на собственные деньги. Ничего не логирует и ничего не фильтрует. В 2022 году отключил порт 53, поэтому отвечает только на шифрованные запросы: DoT, DoH, а с октября 2025 года ещё DoQ и DoH3. Один anycast-узел (91.239.100.100) и один в Копенгагене (89.233.43.71). Второй после Mullvad провайдер в сравнении, работающий только по шифрованным протоколам.
LibreDNS (Греция). Активистский проект LibreOps. Без логов, только DoH и DoT, плюс второй эндпоинт (noads.libredns.gr), блокирующий рекламу и трекеры по краудсорсинговому списку. Одна оговорка: DNSSEC он не проверяет. Запросы он пересылает в OpenNIC, который этого тоже не делает.
Digitale Gesellschaft (Швейцария). Резолвер одноимённой ассоциации из Базеля. Без логов, без списков блокировки, с проверкой DNSSEC, только DoT и DoH. Интересна юрисдикция: швейцарская, вне ЕС. Поддерживают его волонтёры, и они говорят прямо: best effort, доступность не гарантируется.
DNS.SB (Германия). Оператор — xTom GmbH из Дюссельдорфа, anycast-сеть из 30 узлов на шести континентах. Его политика конфиденциальности одна из самых ясных, что мы читали: не записывает запрошенные домены и IP-адреса и не передаёт вашу подсеть авторитативным серверам (без ECS). Проверяет DNSSEC и отвечает на порту 53, по DoT и по DoH. Именно его мы бы поставили на роутер, если цель — приватность. Адреса: 185.222.222.222 и 45.11.45.11.
Hurricane Electric (США). Публичный резолвер одной из крупнейших магистральных сетей мира и крупнейшей по IPv6. Единственный anycast-адрес, 74.82.42.42 (и 2001:470:20::2), который из Мадрида отвечает с узла в Лиссабоне. Без фильтрации, с проверкой DNSSEC и с DoT, DoH, DoQ и DoH3 на ordns.he.net. Чего у него нет, так это опубликованной политики логирования для этого сервиса, и на странице так и написано: «не опубликована».
AliDNS и DNSPod (Китай). Два самых используемых публичных DNS в Китае, от Alibaba Cloud (223.5.5.5 и 223.6.6.6) и Tencent Cloud (119.29.29.29, DoH и DoT на doh.pub и dot.pub). Они здесь ради читателей китайской версии сайта: оттуда это быстрый вариант, с ECS, чтобы CDN отдавали контент поближе. Из Европы преимуществ у них нет. Ни один не проверяет DNSSEC, оба хранят логи.
Кто остался за бортом
Это полезная часть, если вы только что прочитали список «15 лучших DNS-серверов».
- dns0.eu закрылся 15 января 2026 года из-за нехватки ресурсов. Сам проект порекомендовал перейти на DNS4EU или NextDNS.
- UltraDNS Public, который списки называют тремя именами (Verisign, Neustar и UltraDNS), по-прежнему отвечает на
64.6.64.6, но DigiCert убрал его официальную страницу, аpublicdns.neustarне открывается. Без живой документации он не проходит: пометка «адреса сверены с официальной документацией» на каждой странице провайдера была бы ложью. - FreeDNS, Freenom World, puntCAT, GreenTeamDNS, Fourth Estate и SmartViper: ни один их адрес не отвечает. Freenom рухнул вместе с потерей .tk в 2023 году; puntCAT нам бы пригодился для каталонской версии сайта, но
109.69.8.51мёртв. - Alternate DNS больше не живёт на адресах из списков (
76.76.19.19); сегодня это один адрес в Amazon без DoH, без DoT и без опубликованной политики. Слишком хрупко. - Dyn (Oracle) и Level3 (
4.2.2.2): отвечают, но Oracle закрыл продукт, а сервис Level3 никогда не был официальным публичным. Публиковать бесхозные адреса — именно то, что случилось у нас с DNS.WATCH. - CyberGhost, Unlocator и ExpressVPN: платные VPN или Smart DNS, а не публичные резолверы.
- SafeDNS и FlashStart: коммерческие; бесплатное там только пробный период.
- OpenNIC: сеть волонтёров с меняющимися адресами; три из четырёх адресов в списках мертвы. Фиксированного IP для публикации нет.
А в трёх из шести списков были ошибки в адресах провайдеров, которые у нас есть: у Quad9 в запасном адресе не хватало цифры, AdGuard значился с IP, отключёнными в 2020 году, а OpenDNS FamilyShield — с неполным адресом. Если копируете DNS из статьи, сверьте IP с сайтом провайдера.
Трое без проверки DNSSEC
Тест простой, и его можно повторить: dig @IP dnssec-failed.org A. Этот домен намеренно подписан недействительной подписью. Резолвер с проверкой DNSSEC отвечает SERVFAIL; без проверки — возвращает адрес, как будто всё в порядке. LibreDNS, AliDNS и DNSPod его вернули, и на порту 53, и по DoH. Некоторые списки приписывают им DNSSEC; мы публикуем то, что отвечает сервер. Проверка DNSSEC на сайте делает то же самое для любого домена.
У xdp.es появились запасные адреса
xdp.es, испанский публичный резолвер, до сих пор публиковал по одному IP на профиль. С сегодняшнего дня у каждого профиля пара: основной остаётся в Мадриде (85.208.114.51 с блокировкой рекламы, 85.208.114.52 без фильтрации), а запасной находится в сети Oracle (51.170.52.10 и 51.170.54.40, с IPv6 2603:c027:8703:d400::10 и ::40). Мы проверили, что каждый запасной фильтрует точно так же, как его основной, поэтому профили смешивать нельзя. Если у вас был настроен один и тот же IP дважды, теперь можно вписать настоящую пару.
Задержка: в следующем измерении
Четверо новых, отвечающих на порту 53 (DNS.SB, Hurricane Electric, AliDNS и DNSPod), пока не попали в таблицу задержек сравнения. Мы пытались измерить их сегодня с привычной линии, но соединение было перегружено: пинг до 1.1.1.1 колебался от 5 до 577 мс. В такой сети все резолверы выходили в четыре раза медленнее, чем в августе, и публиковать это было бы обманом. Таблицу дополним, как только будет чистое измерение, с датой. А пока тест скорости измеряет с вашего собственного соединения, а оно в итоге и важно.
Что происходит, когда DNS закрывается
При 21 провайдере закрытие одного из них — вопрос времени; dns0.eu продержался три года. С сегодняшнего дня правило такое: опубликованная страница не удаляется. Она помечается как закрытая с датой, опускается в конец сравнения и перестаёт появляться среди похожих провайдеров. Её адреса есть в тысячах инструкций и конфигураций; тот, кто придёт их искать, должен найти уведомление, а не ошибку 404. DNS.WATCH, который с августа отвечает через раз, скорее всего, станет первым.
Источники
- UncensoredDNS, «DNS servers» и FAQ.
- LibreDNS, документация.
- Digitale Gesellschaft, «DNS».
- DNS.SB, главная страница и политика конфиденциальности.
- Hurricane Electric, «Public Recursor Enhancements» на официальном форуме.
- Alibaba Cloud, AliDNS; DNSPod, Public DNS+.
- xdp.es, главная страница.
- BleepingComputer, «DNS0.EU private DNS service shuts down over sustainability issues».
- Ответы, DNSSEC, фильтрация, DoT и DoH: наши собственные запросы через
dig,opensslиcurlиз Мадрида 21 сентября 2026 года.