DNS-over-HTTPS

Если совсем просто.

VPN направляет системный DNS на свой резолвер, но браузер отдельно настроен на публичный DoH. DNS-тест показывает стороннего оператора. Это не обязательно означает, что запрос прошёл вне туннеля: HTTPS-соединение с DoH могло идти через VPN. Нужно отдельно установить выбранного резолвера и сетевой маршрут к нему. Название компании в результатах теста отвечает только на часть вопроса.

Как это работает.

DNS-сообщение помещается в HTTPS-обмен с сервером DoH. TLS защищает содержимое на пути к этому серверу, а резолвер обрабатывает запрос обычным для DNS способом. Он всё равно узнаёт запрошенное имя и должен оцениваться как сторона доверия. Защищённый канал не делает достоверным любой полученный адрес и не заменяет проверку сертификата сайта, к которому затем подключается браузер.

Для диагностики запишите настройки браузера, системный DNS и состояние VPN. Затем сравните разрешение одного тестового имени в браузере и системном инструменте. Не отправляйте в случайный публичный резолвер внутренние имена компании без необходимости. Выбирайте DoH осознанно: это перенос доверия и защита отдельного канала, а не кнопка полной анонимности.

Почему это важно.

DoH полезен, когда требуется защитить DNS на участке недоверенной локальной сети и есть доверенный резолвер. В рабочей сети учитывайте внутренние домены: внешний сервер их может не разрешить. Перед включением узнайте, как браузер ведёт себя при недоступности DoH — останавливает запросы или возвращается к другому способу. Режимы и названия зависят от приложения и версии. При выборе режима смотрите, что произойдёт при отказе защищённого резолвера. Возможный возврат к другому способу — отдельная характеристика клиента. Её нельзя вывести из слова HTTPS. Запишите ожидаемое поведение и проверьте документацию браузера, особенно если для задачи требуется остановить запрос, а не искать любой доступный путь.

Узнать больше.

Продолжи с соседних понятий или загляни в документацию.