DNS (RU)

Что такое DNS-пресет, как работает раздельный DNS (сплит), какой пресет действует у человека, какой DNS человек выбирает для приложений по ссылке и по серверам, как его получает каждое приложение и когда изменения доходят до людей.

DNS-пресет решает, какие DNS-серверы спрашивает приложение человека и каким способом. Запросы идут внутри туннеля, поэтому провайдер человека их не видит. В панели есть готовые пресеты (один из них — по умолчанию для всех), можно сделать свои и выдать пресет пользователю или группе. Пресеты находятся на вкладке DNS раздела Подписки.

Это DNS приложений. У ноды есть свои настройки DNS: см. «DNS ноды — это другое» ниже.

Из чего состоит пресет

Часть	Что это
Название и Описание	Одна короткая строка описания видна на карточке.
Серверы	Основные резолверы, их спрашивают по порядку: выигрывает первый, кто ответил. Каждый — сервер Из каталога или Свой сервер.
Как спрашивать	Предпочтительный транспорт: Обычный, DoT или DoH.
Правила сплита	Домены с заданными окончаниями спрашиваются на своих серверах, а не на основных.
Параметры	Сайты из сплита — напрямую, мимо VPN и Только IPv4.

Серверы

Сервер из каталога — это вариант провайдера («Cloudflare», «AdGuard Family», «Яндекс безопасный»): панель знает его обычный адрес, адрес DoT и адрес DoH и для каждого приложения выбирает один. У своего сервера тип и адрес заданы раз и навсегда:

Тип	Адрес
Обычный	IP-адрес, при необходимости с портом: 1.1.1.1 или 1.1.1.1:53.
DoH	Адрес с https://: https://dns.example.com/dns-query.
DoT	Имя хоста или IP, при необходимости с портом: dns.example.com или 94.140.14.14:853.

Как спрашивать

Каждое приложение получает предпочтительный транспорт, если умеет его и у сервера есть такой адрес; иначе — следующий по цепочке DoH → DoT → обычный. Свои серверы остаются какие есть: приложение, которое не умеет их тип, такой сервер пропускает. DoH и DoT нужны в основном для сайтов, которые идут напрямую (сплит «напрямую»): внутри туннеля запросы и так зашифрованы.

Редактор показывает результат в строке Что получит каждое приложение, например «Happ: DoH ✓ · Mihomo: DoH ✓ · Amnezia: Обычный — в ключ можно только IP». Строки для Xray JSON и sing-box там тоже есть: если предпочтителен DoT, у Xray JSON написано «в Xray JSON нет DoT», а у sing-box — «только первый резолвер, без запасных», когда в пресете их больше одного.

Правила сплита

Правило сплита — список окончаний (впишите окончание и нажмите Enter: .ru, gosuslugi.ru, .рф) и серверы для них. Окончание совпадает по границе метки, а международные имена хранятся в punycode.

Сайты из сплита — напрямую, мимо VPN решает, что значит сплит:

• Включено: сайты из правил сплита разрешаются серверами сплита и открываются без VPN. Это для тех, кто в России: местные сайты у них работают лучше или работают только с местного адреса.
• Выключено: всё идёт через туннель. Приложения, которые не умеют держать сплит внутри туннеля (Happ, Mihomo), тогда пропускают сплит и для всех доменов спрашивают основные серверы.

Только IPv4

Запрашивать только A-записи — для туннелей, где IPv6 не работает. Happ этот параметр не учитывает.

Встроенные пресеты

Встроенные пресеты есть в каждой установке. Их можно менять, нельзя удалить.

Категория	Пресет	Что делает
Россия	Россия: .ru напрямую (встроенный по умолчанию)	Домены .ru, .su, .рф, Яндекса, VK и банков спрашиваются у Яндекс DNS и открываются напрямую, мимо VPN; всё остальное идёт через VPN к Cloudflare и Google. Для тех, кто в России.
Россия	Россия: всё через VPN	Всё через VPN, Cloudflare и Google для всех доменов. Для тех, кто за границей.
Россия	Яндекс DNS	Яндекс DNS для всего.
Обычные	Cloudflare + Google	Cloudflare и Google для всего.
Обычные	Cloudflare: без фильтров, Google: без фильтров, DNS.SB: без фильтров	Один провайдер, без фильтров.
Без рекламы	AdGuard: без рекламы	Блокирует рекламу и трекеры.
Для детей	AdGuard Family: без рекламы и 18+, Cloudflare Family: без вредоносных и 18+, Яндекс семейный: без 18+, OpenDNS FamilyShield: без 18+	Блокирует контент для взрослых (и рекламу или вредоносное — как сказано в названии).
Безопасность	Quad9: защита от вредоносных, Cloudflare Security: защита от вредоносных, Яндекс безопасный: защита от вредоносных	Блокирует известные вредоносные и фишинговые домены.

Как выбрать? на вкладке даёт короткий ответ: людям в России — Россия: .ru напрямую; людям за границей — Россия: всё через VPN; без рекламы — AdGuard: без рекламы.

Вкладка DNS

• По умолчанию для всех — пресет всех, у кого нет своего пресета: ни у человека, ни у его группы.
• Пресеты — карточка на каждый пресет со значками (встроенный, по умолчанию, напрямую, если сплит идёт напрямую) и числом людей, у которых он действует. Фильтры Все, Россия, Обычные, Без рекламы, Для детей, Безопасность и Свои сужают список.
• Новый пресет открывает редактор; карточка открывает свой пресет.

В редакторе Сделать пресетом по умолчанию → Сделать основным делает пресет основным. Опасная зона → Удалить пресет удаляет его: те, у кого он действовал, перейдут на пресет по умолчанию при следующем обновлении подписки. Основной пресет и встроенные удалить нельзя. Если уйти с несохранёнными изменениями, редактор переспросит.

Какой пресет действует

Побеждает первый заданный:

1. свой пресет пользователя (карточка пользователя → Доступ → DNS или Дополнительно → DNS при создании пользователя);
2. пресет группы (форма группы → Ещё → DNS);
3. пресет по умолчанию для всех (вкладка DNS);
4. встроенный пресет по умолчанию, Россия: .ru напрямую.

Карточка пользователя говорит, какой пресет действует и откуда он: «задан у пользователя», «из группы» или «пресет по умолчанию». В списках выбора пустой вариант называет то, что наследуется: «По умолчанию — Россия: .ru напрямую», «Как у группы — AdGuard: без рекламы».

Это правило для человека, который ничего не выбрал. Владелец может разрешить людям выбирать на своей странице, в двух местах, которые не смешиваются: один DNS для приложений по ссылке (см. «DNS для приложений по ссылке» ниже) и DNS для ключей AmneziaWG каждого сервера (см. «DNS по серверам»).

DNS для приложений по ссылке

У Happ, приложений на ядре mihomo, Xray JSON и sing-box один резолвер на всю подписку. Владелец может разрешить человеку выбрать его на своей странице из списка пресетов: один DNS на все серверы во всех этих приложениях. Типичный список: Cloudflare + Google по умолчанию, AdGuard: без рекламы, Россия: .ru напрямую.

Как включить

Подписки → Страница пользователя: включите Выбор DNS на странице, затем прямо под ним, в DNS для приложений по ссылке, отметьте пресеты, которые человек может выбрать (их порядок — порядок на странице), и один назначьте по умолчанию или оставьте Без выбора по умолчанию. Они сохраняются вместе с настройками страницы (link_dns в настройках подписки); настоящее изменение пишется в журнал аудита как link_dns_options (сколько пресетов и какой по умолчанию). Менять это могут владелец и помощники, как и любые настройки подписки. Если ничего не отмечено, страница не предлагает выбор для приложений по ссылке, как раньше.

Какой DNS у приложений по ссылке

Побеждает первый подходящий:

1. выбор самого человека, пока он есть в списке;
2. свой пресет пользователя;
3. пресет группы;
4. пресет списка «по умолчанию»;
5. пресет по умолчанию для всех, затем встроенный.

Пресет, который вы задали пользователю или группе, важнее умолчания списка: человек остаётся на вашем назначении, пока не выберет сам. Если убрать пресет из списка, выбравшие его вернутся к правилам 2–5; сами выборы сохраняются и снова заработают, если пресет снова предложить. Удалённый пресет пропадает и из списка, и из выборов.

На странице

Вверху раздела Серверы человек видит карточку, названную по его приложениям: DNS в Happ и других приложениях по ссылке (приложение — то, которое страница рекомендует на этом устройстве). В ней то, что действует, и Изменить: открывается тот же список, что и для DNS сервера, первым идёт вариант по умолчанию с его названием. Приложения получат новый DNS при следующем обновлении подписки, в пределах интервала обновления (12 часов по умолчанию); страница так и пишет. Тот, кто пользуется ещё и ключами AmneziaVPN, читает под карточкой одну строку: ключи это не затрагивает, их DNS — в карточке каждого сервера.

Выбор пишется в журнал аудита как page_link_dns_choice: имя человека и пресет, без ссылки и адреса. Он считается в общем лимите действий на странице: 20 изменений в час на ссылку. Выключение Выбора DNS на странице прячет карточку и сохраняет сделанные выборы.

DNS по серверам

DNS ключей AmneziaWG может отличаться по серверам (нодам): владелец разрешает людям выбирать его на своей странице — из пресетов, которые владелец выбрал для этой ноды. Пока владелец не включил выбор и не выбрал пресеты для ноды, ничего не меняется.

Как включить

1. Подписки → Страница пользователя → Выбор DNS на странице (allow_dns_choice): переключатель. По умолчанию выключен; панель, настройки которой сохранены до появления параметра, считается выключенной. См. Страница пользователя.
2. Нода → блок DNS на странице пользователя: отметьте пресеты, которые предлагаются людям на этой ноде (их порядок — порядок на странице), и один из них назначьте по умолчанию. Меняет только владелец; действие записывается в журнал аудита (node_dns_options). Нода без предложенных пресетов выбора не даёт: всё работает как раньше.

Блок DNS на странице пользователя — не то же самое, что DNS-серверы этой ноды: это собственный резолвер ноды (см. «DNS ноды — это другое» ниже), а не то, у кого спрашивают приложения людей.

Какой DNS у человека на ноде

Побеждает первый подходящий:

1. выбор самого человека, если нода всё ещё предлагает этот пресет;
2. пресет ноды «по умолчанию»;
3. прежнее правило: свой пресет пользователя, затем пресет группы, затем пресет инстанса, затем встроенный (см. «Какой пресет действует»).

Где это работает

Формат	По серверам?	Как приходит
Ключи AmneziaVPN и AmneziaWG (.conf, vpn://, QR-код)	Да	DNS записан внутри ключа, поэтому человеку нужно снова нажать Получить новый ключ на своей странице. Сам ключ при этом не меняется; страница помечает устройство «нужен новый ключ» с причиной DNS, когда DNS, который действует для человека на этом сервере, отличается от записанного в ключе (его выбор, предложенные владельцем пресеты или умолчание, правка или удаление пресета).
AmneziaWG-прокси в Mihomo-профиле (Clash Verge Rev, FlClash и т. п.)	Да	При очередном обновлении подписки.
Hysteria2 в Mihomo	Нет	Один резолвер на всю подписку: DNS приложений по ссылке (см. выше). Выбор по серверам до него не доходит.
Happ	Нет	То же: один резолвер на всю подписку.
Xray JSON и sing-box JSON	Нет	То же: DNS приложений по ссылке, один на все серверы.
Другие base64-приложения (v2rayNG, Hiddify, Streisand, Shadowrocket)	Нет	DNS от панели не получают вообще.

Блок ноды говорит об этом: «В Happ, Mihomo-приложениях, Xray JSON и sing-box DNS один на все ноды — его выбор настраивается в Подписки → Страница пользователя. По нодам DNS работает только для ключей AmneziaWG.»

Что делает человек и что видите вы

• На его странице строка называется DNS ключей, со значком ключа, и видна только тому, кто пользуется ключами AmneziaVPN (приложение у него включено или у него есть ключ), на сервере, где есть ключи. Тот, кто пользуется только приложениями по ссылке, её не видит.
• Человек выбирает пресет для каждого сервера. Выбор записывается в журнал аудита как page_dns_choice: имя человека, имя ноды и пресет, без ссылки и адреса. Он считается в общем лимите действий на странице: 20 изменений в час на ссылку.
• В карточке пользователя секция DNS, выбранный на странице показывает выбор человека для приложений по ссылке и его выборы по нодам (только чтение). Кнопка Сбросить удаляет их все (доступна владельцу и помощнику); в аудит это пишется как user_dns_choices_reset. См. Пользователи и группы.
• Выключение переключателя уже сделанные выборы не сбрасывает: они действуют, пока вы не сбросите их в карточке пользователя.

Как приложения получают DNS

Эта таблица — про пресет, который действует у человека: для приложений по ссылке это DNS приложений по ссылке. Выбор по серверам доходит только до части форматов: см. «DNS по серверам».

Приложение	Как приходит пресет	Что оно умеет
Happ	Профиль маршрутизации в заголовке routing подписки; применяется, когда приложение её обновляет.	Один резолвер для туннеля и один для прямого трафика; обычный DNS (только порт 53) и DoH, без DoT. Используется только первый основной сервер. Сплит работает только при включённом Сайты из сплита — напрямую, и то только правила с теми же серверами, что у первого (резолвер для прямого трафика у Happ один); их окончания становятся прямыми сайтами. Только IPv4 не учитывается.
Приложения на ядре mihomo	Раздел dns: в Mihomo YAML.	Обычный, DoT и DoH, в том числе IPv6-адреса. Основные серверы спрашиваются через туннель; при включённом Сайты из сплита — напрямую окончания сплита спрашиваются у своих серверов напрямую, и их трафик тоже идёт напрямую. Некоторые приложения на mihomo пропускают этот раздел и пользуются своим.
Xray JSON	Раздел dns в каждом конфиге и правило маршрутизации port 53 → dns-out, которое отдаёт ему DNS-запросы приложений устройства.	Обычный DNS (любой порт) и DoH, DoT нет. Все основные серверы по порядку: если запрос не прошёл, Xray спрашивает следующий. Основные серверы спрашиваются через туннель. При включённом Сайты из сплита — напрямую окончания сплита спрашиваются у своих серверов, и их трафик идёт напрямую. Используются только IPv4-адреса резолверов, и запрашиваются только IPv4-ответы, что бы ни говорил Только IPv4. Если нет пресета, который Xray может нести, в конфиге нет раздела dns, и приложение пользуется системным резолвером.
sing-box JSON	Раздел dns профиля и hijack-dns, который отдаёт ему DNS-запросы, дошедшие до туннеля.	Обычный DNS, DoT и DoH. Один основной резолвер: первый из пресета, без запасных; он спрашивается через туннель. При включённом Сайты из сплита — напрямую окончания сплита спрашиваются у своего резолвера напрямую, и их трафик идёт напрямую. Только IPv4. Если нет пресета, который sing-box может нести (или нет модуля DNS), профиль использует локальный запасной вариант: системный резолвер, который разрешает имена вне туннеля.
AmneziaVPN и приложения AmneziaWG	DNS = в .conf, два поля DNS в ключе vpn://.	Ровно два обычных IPv4-адреса: первые два из основных серверов. Без сплита. Если в пресете нет обычного IPv4-сервера, записываются 1.1.1.1 и 8.8.8.8, и окно ключа об этом предупредит.

Без сплита резолвер прямого трафика у Happ тоже ставится на основной, поэтому сайт, который собственные правила Happ у человека отправляют напрямую, всё равно разрешается по пресету (пресет без рекламы остаётся без рекламы).

Когда изменения доходят до людей

• Приложения по ссылке (Happ, приложения на ядре mihomo, приложения Xray JSON и sing-box) получают их при следующем обновлении подписки: в пределах интервала обновления, по умолчанию 12 часов. Человек может обновить подписку вручную.
• AmneziaVPN — только в новых ключах: DNS записан в ключ, поэтому человек получит новые серверы, когда снова импортирует свой ключ (или новый).

Под каждым выбором DNS (по умолчанию, у группы, у пользователя) написано то же: «Когда дойдёт: приложения по ссылке (Happ) — при следующем обновлении подписки; AmneziaVPN — только в новых ключах.» В скобках — приложения по ссылке с вкладки Страница пользователя.

DNS ноды — это другое

На стороне ноды с DNS связаны ещё две вещи, и ни одна из них не пресет (блок DNS на странице пользователя у ноды лишь выбирает, какие пресеты могут выбирать люди: см. «DNS по серверам»):

• DNS-серверы этой ноды в Настройках ноды — адреса, которыми нода и её VPN-движки разрешают имена, в том числе имена из трафика её пользователей. По умолчанию выбран Резолвер самого сервера, то есть пустой список: нода пользуется тем же, чем сам сервер (некоторые хостеры пропускают только свои резолверы). Яндекс DNS (77.88.8.8, 77.88.8.1), Cloudflare + Google (1.1.1.1, 8.8.8.8) и Свои DNS-серверы (ваши IP-адреса, до 8) вы выбираете сами; для ноды в России выберите Яндекс DNS, чтобы российские сервисы вроде госуслуг открывались надёжно. См. Ноды и Hysteria2.
• Системный резолвер сервера — DNS хоста для apt и продления сертификатов. Его проверяет доктор и при необходимости предлагает настроить адресами из списка ноды, а если список пуст — Яндекс DNS в России и Cloudflare + Google в остальных странах. См. Здоровье.

Пресет же уходит приложениям в подписке и одинаков на всех нодах, доступных человеку, если только человек не выбрал DNS для ключей сервера (см. «DNS по серверам»): при переключении сервера он не меняется. Например, Россия: .ru напрямую отправит российские домены к Яндекс DNS напрямую, а остальные — к Cloudflare и Google через VPN, на какой бы ноде человек ни был.

Кто что может

Создавать, менять и удалять пресеты может владелец: пресет решает, каким резолверам доверяет трафик людей. Владелец и помощники выбирают пресет по умолчанию для всех и пресеты, предложенные для приложений по ссылке (это настройки подписки), и пресет для пользователя или группы. Пресеты видит любой админ. Выбирать пресеты, которые предлагает нода, может только владелец; сбрасывать выборы человека на странице — владелец и помощник; читать их могут все админы. MCP-токенам всё это недоступно.

---

_{Редактировать страницу · Страница на mistgate.app}