Почти каждая форма настройки DNS просит два адреса, и почти никто не знает, что делает второй. Отсюда сочетания вроде «Cloudflare основным, Google дополнительным — возьму лучшее от обоих». Звучит разумно и делает не то, что кажется.
Что на самом деле делает дополнительный
Операционная система всегда спрашивает основной. Только если тот не ответил за отведённое время (одну-две секунды, в зависимости от системы), она повторяет запрос к дополнительному. Она не чередует их, не делит нагрузку и не сравнивает ответы. Пока основной отвечает, дополнительный не получает ни одного запроса.
Есть нюансы по системам: Windows через некоторое время возвращается к основному; некоторые резолверы Linux могут чередовать, если их так настроить; роутер выдаёт оба адреса каждому устройству, и каждое решает само. Но общая идея везде одна: дополнительный — это резерв на случай, когда основной лежит или недоступен, и ничего больше.
И деталь, которая сбивает с толку: если основной ответил «такого домена нет», это корректный ответ, и система не спрашивает дополнительный. Переход происходит только когда ответа нет вообще.
Что сочетать, а что нет
Отсюда три простых правила.
Оба от одного провайдера. Каждый провайдер публикует два адреса именно для этого: 1.1.1.1 и 1.0.0.1, 8.8.8.8 и 8.8.4.4, 9.9.9.9 и 149.112.112.112, 77.88.8.8 и 77.88.8.1. Они находятся в разных сетях одного оператора, так что если одна упадёт, другая продолжит, и обе применяют одну политику.
Не смешивайте фильтрующий с нефильтрующим. Если поставить AdGuard основным ради блокировки рекламы, а Google дополнительным «на всякий случай», то каждый раз, когда AdGuard чуть задержится, запрос уйдёт через Google без фильтра. Вы не заметите, но в блокировке будут дыры. То же с семейным фильтром: дополнительный должен быть того же уровня фильтрации или парным адресом из той же линейки (у CleanBrowsing, OpenDNS и Яндекс DNS для каждого фильтра есть пара).
Если уж смешивать, то два нефильтрующих. Cloudflare основным и Quad9 дополнительным — разумное сочетание: если у Cloudflare проблема, ответит Quad9, и ни один из них не меняет результат обычных запросов (Quad9 блокирует только вредоносные домены).
В каком порядке ставить
Основной — тот, что работает, поэтому первым ставьте самый быстрый из вашей сети, а не самый известный. Тест скорости покажет это за две минуты. Из Мадрида Cloudflare, Quad9, CleanBrowsing и DNS4EU ответили за 5–6 мс из кэша; у вашего провайдера порядок может быть другим, в России локальные резолверы часто выигрывают.
А если роутер позволяет вписать только один адрес, ничего страшного: крупные резолверы работают по anycast и несут резервирование внутри себя. Дополнительный защищает главным образом от сетевой проблемы между вами и этим провайдером.
IPv6 тоже парами
Если у вашего подключения есть IPv6, система будет делать запросы и по нему, и там действует IPv6-пара провайдера: 2606:4700:4700::1111 и ::1001 у Cloudflare, 2001:4860:4860::8888 и ::8844 у Google, 2620:fe::fe и 2620:fe::9 у Quad9. Поставьте IPv4 одного провайдера и IPv6 другого — и вы снова смешали политики. На каждой странице провайдера указаны все четыре адреса.
«Публичный DNS» против «частного DNS»
Эти два слова постоянно встречаются в запросах, приводящих на этот сайт, и означают разное в зависимости от того, кто их использует.
Публичный DNS — резолвер, открытый для всех в интернете. Cloudflare, Google, Quad9, DNS4EU, AdGuard или Яндекс DNS публичные: не нужно быть чьим-то абонентом. DNS вашего провайдера в этом смысле частный: он отвечает только подключениям своих абонентов. Когда говорят «поставь публичный DNS», имеют в виду «перестань пользоваться провайдерским».
Частный DNS может значить три вещи:
- Настройка «Частный DNS» в Android. Это зашифрованный DNS (DNS поверх TLS) к провайдеру, которого вы впишете, для Wi-Fi и мобильных данных. «Частный» здесь значит, что оператор не может читать и подменять ваши запросы. Заполняется именем (
one.one.one.one,dns.quad9.net), а не IP. Мы разбираем это в статье о телефоне. - Резолвер, который не ведёт логи. В этом смысле «частный» описывает политику провайдера: Quad9, Cloudflare или Mullvad заявляют, что не хранят идентифицируемые запросы; OpenDNS или Google кое-что хранят. В сравнении есть столбец о логах.
- Собственный резолвер. Pi-hole дома, AdGuard Home или DNS компании: сервер, обслуживающий только вашу сеть. Самое буквальное значение и самое редкое в запросах.
Так что «бесплатный публичный DNS» и «бесплатный частный DNS» — обычно один и тот же запрос от двух разных людей: оба хотят резолвер не от провайдера, быстрый и не следящий. Любой публичный без логов подходит.
Коротко
Основной: самый быстрый из вашей сети. Дополнительный: второй адрес того же провайдера. IPv6: пара того же провайдера. Фильтры не смешивать. А если колеблетесь между двумя, сравнение ставит их рядом, а инструкции показывают, куда вписывать каждый в Windows, macOS, Android, iOS и роутере.