DNS

DNS-пресет решает, какие DNS-серверы спрашивает приложение человека и каким способом. Запросы идут внутри туннеля, поэтому провайдер человека их не видит. В панели есть готовые пресеты (один из них — по умолчанию для всех), можно сделать свои и выдать пресет пользователю или группе. Пресеты находятся на вкладке DNS раздела Подписки.

Это DNS приложений. У ноды есть свои настройки DNS: см. «DNS ноды — это другое» ниже.

Из чего состоит пресет#

Серверы#

Сервер из каталога — это вариант провайдера («Cloudflare», «AdGuard Family», «Яндекс безопасный»): панель знает его обычный адрес, адрес DoT и адрес DoH и для каждого приложения выбирает один. У своего сервера тип и адрес заданы раз и навсегда:

Как спрашивать#

Каждое приложение получает предпочтительный транспорт, если умеет его и у сервера есть такой адрес; иначе — следующий по цепочке DoH → DoT → обычный. Свои серверы остаются какие есть: приложение, которое не умеет их тип, такой сервер пропускает. DoH и DoT нужны в основном для сайтов, которые идут напрямую (сплит «напрямую»): внутри туннеля запросы и так зашифрованы.

Редактор показывает результат в строке Что получит каждое приложение, например «Happ: DoH ✓ · Mihomo: DoH ✓ · Amnezia: Обычный — в ключ можно только IP».

Правила сплита#

Правило сплита — список окончаний (впишите окончание и нажмите Enter: .ru, gosuslugi.ru, .рф) и серверы для них. Окончание совпадает по границе метки, а международные имена хранятся в punycode.

Сайты из сплита — напрямую, мимо VPN решает, что значит сплит:

• Включено: сайты из правил сплита разрешаются серверами сплита и открываются без VPN. Это для тех, кто в России: местные сайты у них работают лучше или работают только с местного адреса.
• Выключено: всё идёт через туннель. Приложения, которые не умеют держать сплит внутри туннеля (Happ, Mihomo), тогда пропускают сплит и для всех доменов спрашивают основные серверы.

Только IPv4#

Запрашивать только A-записи — для туннелей, где IPv6 не работает. Happ этот параметр не учитывает.

Встроенные пресеты#

Встроенные пресеты есть в каждой установке. Их можно менять, нельзя удалить.

Как выбрать? на вкладке даёт короткий ответ: людям в России — Россия: .ru напрямую; людям за границей — Россия: всё через VPN; без рекламы — AdGuard: без рекламы.

Вкладка DNS#

• По умолчанию для всех — пресет всех, у кого нет своего пресета: ни у человека, ни у его группы.
• Пресеты — карточка на каждый пресет со значками (встроенный, по умолчанию, напрямую, если сплит идёт напрямую) и числом людей, у которых он действует. Фильтры Все, Россия, Обычные, Без рекламы, Для детей, Безопасность и Свои сужают список.
• Новый пресет открывает редактор; карточка открывает свой пресет.

В редакторе Сделать пресетом по умолчанию → Сделать основным делает пресет основным. Опасная зона → Удалить пресет удаляет его: те, у кого он действовал, перейдут на пресет по умолчанию при следующем обновлении подписки. Основной пресет и встроенные удалить нельзя. Если уйти с несохранёнными изменениями, редактор переспросит.

Какой пресет действует#

Побеждает первый заданный:

1. свой пресет пользователя (карточка пользователя → Доступ → DNS или Дополнительно → DNS при создании пользователя);
2. пресет группы (форма группы → Ещё → DNS);
3. пресет по умолчанию для всех (вкладка DNS);
4. встроенный пресет по умолчанию, Россия: .ru напрямую.

Карточка пользователя говорит, какой пресет действует и откуда он: «задан у пользователя», «из группы» или «пресет по умолчанию». В списках выбора пустой вариант называет то, что наследуется: «По умолчанию — Россия: .ru напрямую», «Как у группы — AdGuard: без рекламы».

Как приложения получают DNS#

Без сплита резолвер прямого трафика у Happ тоже ставится на основной, поэтому сайт, который собственные правила Happ у человека отправляют напрямую, всё равно разрешается по пресету (пресет без рекламы остаётся без рекламы).

Когда изменения доходят до людей#

• Приложения по ссылке (Happ, приложения на ядре mihomo) получают их при следующем обновлении подписки: в пределах интервала обновления, по умолчанию 12 часов. Человек может обновить подписку вручную.
• AmneziaVPN — только в новых ключах: DNS записан в ключ, поэтому человек получит новые серверы, когда снова импортирует свой ключ (или новый).

Редактор пишет то же под выбором DNS: «Когда дойдёт: приложения по ссылке — при следующем обновлении подписки; AmneziaVPN — только в новых ключах.»

DNS ноды — это другое#

У ноды есть ещё две настройки, связанные с DNS, и ни одна из них не пресет:

• DNS для трафика пользователей в Настройках ноды — резолверы, которыми нода разрешает имена в трафике своих пользователей. Нода Hysteria2 читает имя назначения из соединения и разрешает его сама, так что эта настройка решает, куда ведут сайты со стороны ноды. Пусто — резолвер самого сервера. См. Ноды и Hysteria2.
• Резолвер сервера — собственный резолвер хоста, которым пользуются apt, продление сертификатов и выход через WARP. Его проверяет доктор, а на нодах в России он проверяет госуслуги и предлагает Яндекс DNS. См. Здоровье.

Кто что может#

Создавать, менять и удалять пресеты может владелец: пресет решает, каким резолверам доверяет трафик людей. Владелец и помощники выбирают пресет по умолчанию для всех (это настройка подписки) и пресет для пользователя или группы. Пресеты видит любой админ.