Если при включённом DNS over HTTPS сайт не открывается, сначала проверьте выбранного DNS-провайдера и поведение браузера при его отказе. В одном режиме браузер может перейти на системное разрешение имён, в другом — остановить загрузку с предупреждением.
Работающий сайт после переключения ещё не доказывает исправность DoH: возможно, сработал fallback — резервный способ получить IP-адрес. Чтобы различить эти случаи, сравните один публичный адрес в одинаковых условиях и меняйте только настройку защищённого DNS.
Что именно может отказать
DNS over HTTPS, или DoH, передаёт DNS-запросы через HTTPS к резолверу — серверу, который ищет адрес домена. Соединение с ним и соединение с самим сайтом — разные этапы. Недоступность резолвера не означает, что упал хостинг.
Разделяйте два результата: «не удалось связаться с DoH-сервисом» и «сервис ответил, но не нашёл адрес домена». Во втором случае нужно разбирать DNS-ответ, а не только доступность провайдера. Если ошибка касается одного имени во всех проверках, пригодится общая диагностика DNS.
Сначала зафиксируйте режим браузера
Chrome: автоматический режим и выбранный провайдер
Найдите «Использовать безопасный DNS» в настройках безопасности. Запишите, используется ли автоматический режим или явно выбран другой провайдер.
По документации Chrome, автоматический режим допускает переход к незашифрованному DNS при проблемах разрешения имени. При выборе пользовательского провайдера такого автоматического перехода нет. Поэтому одинаковая надпись «безопасный DNS включён» ещё не описывает поведение при сбое.
Firefox: проверьте предупреждения и текущий статус
В разделе приватности найдите DNS over HTTPS и, если доступно, расширенные настройки. В зависимости от версии интерфейса могут отображаться уровни защиты либо пользовательский режим с настройкой предупреждения при недоступности защищённого DNS.
Mozilla описывает резервное разрешение для стандартной защиты и предупреждение для максимальной защиты либо включённого «Always warn me if secure DNS isn’t available». На странице предупреждения возможно исключение для домена с использованием системного DNS; это отдельное решение, а не подтверждение восстановления DoH.
Если интерфейс показывает статус Active, Not active или Off, запишите его вместе с выбранным провайдером. Одного включённого переключателя недостаточно: политики организации и условия сети могут влиять на фактическую работу функции.
Как провести сравнение без случайных выводов
- Сохраните исходные данные. Нужны точное публичное имя, текст ошибки, время с часовым поясом, версия браузера, провайдер DoH, сеть и наличие VPN или прокси. Не начинайте с очистки всех настроек.
- Проверьте масштаб. Откройте проблемный адрес и другой известный публичный сайт. Если не работает только один домен, это слабое основание объявлять весь DoH-сервис недоступным.
- Сравните с системным DNS. На Windows можно выполнить
nslookup example.com, заменив пример своим публичным доменом. На Linux с systemd-resolved —resolvectl query example.com. Такой результат не доказывает, что браузер использовал тот же путь. - Измените одну настройку. На личном устройстве временно сравните исходный режим с системным DNS либо разрешённым альтернативным DoH-провайдером. Сохраните результат, затем верните исходную настройку. На управляемом устройстве согласуйте тест с администратором.
- Проверьте влияние сети отдельно. Повторите исходный режим через другую сеть. Не меняйте одновременно провайдера DNS, VPN и подключение: иначе неясно, какое действие повлияло на результат.
Кэш и уже открытые соединения могут скрыть отказ. Зафиксировав исходный результат, повторите опыт после полного закрытия и запуска браузера; это не гарантирует очистку системного DNS-кэша. При необходимости отдельно проверьте его по инструкции вашей ОС. Приватное окно само по себе не доказывает отсутствие всех сетевых кэшей.
Как читать результаты
- С выбранным DoH ошибка, с системным DNS сайт работает. Проверяйте доступ к DoH-провайдеру, его настройки и различия DNS-ответов. Это ещё не доказательство блокировки: причиной могут быть маршрут, TLS, фильтрация или сам сервис.
- В автоматическом режиме сайт работает, но DoH не активен. Результат совместим с резервным разрешением. Для уверенного вывода нужен статус или диагностический журнал браузера, а не только открывшаяся страница.
- Тот же DoH работает через другую сеть. Сбой зависит от исходной сети или её настроек. Передайте администратору сравнение, не отключая защиту для всех сотрудников.
- Публичные сайты работают, внутренний портал — нет. Публичный резолвер может не знать корпоративную зону. Продолжите проверкой split DNS, а не сменой публичных записей наугад.
Открытие URL резолвера как обычной страницы тоже не является полноценной проверкой DoH: сервис ожидает DNS-запрос определённого формата. И наоборот, ответ HTTP 400 на произвольный запрос не доказывает, что сервис не способен разрешать имена.
Что считать восстановлением
Верните согласованный рабочий режим и повторите проверку проблемного имени и контрольного сайта. Убедитесь, что защищённый DNS действительно используется, если это требование вашей схемы. Если доступ появился только через fallback, зафиксируйте обходной путь отдельно от устранения причины.
Web-Puls помогает наблюдать публичную доступность сайта, но внешний мониторинг не подтверждает работу выбранного DoH-провайдера из сети конкретного посетителя. Если локальная настройка исправлена и повторная проверка проходит, отдельные работы на хостинге могут не понадобиться.
Если причина остаётся неясной, отправьте заявку на диагностику: укажите публичный URL, время, режим браузера и результаты сравнения двух сетей. Поддержка оценит задачу и предложит формат работ; пароли, cookies и необработанные сетевые журналы прикладывать не нужно.