Как настроить DNS-фильтрацию через роутер и закрыть доступ к вредоносным доменам

Если коротко: DNS-фильтрация через роутер — это способ заставить все устройства в сети проверять адреса сайтов через фильтр, который заранее знает, какие домены связаны с вирусами, фишингом, майнерами, ботнетами и другими угрозами. Это не заменяет антивирус и обновления, но хорошо ловит часть проблем ещё до того, как устройство скачает вредоносный файл.

Самый практичный вариант для дома или небольшого офиса — настроить роутер так, чтобы он сам раздавал клиентам безопасный DNS или пересылал запросы на DNS-сервис с фильтрацией. Тогда фильтр работает для ноутбуков, телефонов, телевизоров, камер и другой техники без установки программ на каждое устройство.

Что именно блокирует DNS-фильтрация

Когда устройство открывает сайт, оно сначала спрашивает DNS: “какой IP-адрес у этого домена?”. Например, браузер хочет открыть example.com, а DNS отвечает конкретным IP-адресом. Если роутер использует обычный DNS провайдера, он просто пересылает запрос дальше. Если используется DNS с фильтрацией, запрос сначала проверяется по спискам известных опасных доменов.

Если домен есть в чёрном списке, устройство получает не настоящий адрес, а заглушку. В браузере это может выглядеть как страница блокировки, пустая страница или ошибка подключения. Для пользователя это выглядит просто: “сайт не открывается”. Для администратора сети — это сигнал, что кто-то в сети пытался попасть на подозрительный ресурс.

Но нужно понимать ограничение: DNS видит домен, а не весь путь внутри сайта. Она не видит конкретную ссылку, файл или страницу на HTTPS-сайте. Поэтому DNS-фильтрация хорошо блокирует обращения к известным вредоносным доменам, но не ловит всё подряд.

DNS-фильтр — это не замена антивирусу, обновлениям, резервным копиям и нормальной настройке безопасности. Он снижает риск, особенно для IoT-устройств, но не делает сеть неуязвимой.

Какие есть варианты настройки

На практике есть три рабочих схемы. Выбор зависит от того, насколько умный у вас роутер, нужны ли отчёты и готовы ли вы возиться с дополнительными настройками.

Схема	Как работает	Когда подходит	Плюсы	Ограничения
Роутер → внешний DNS с фильтрацией	В роутере прописываются DNS-адреса сервиса, который блокирует вредоносные домены.	Для дома, квартиры, небольшого офиса, если нужно быстро и без отдельного сервера.	Настраивается за 10–30 минут, работает на большинстве устройств.	Мало гибкости, нет детальных отчётов, зависит от выбранного DNS-сервиса.
Роутер → персональный DNS-фильтр	Используется сервис вроде NextDNS или Control D с личным профилем, списками и статистикой.	Если нужны отчёты, свои чёрные и белые списки, разделение устройств или семейных профилей.	Можно видеть, какие домены блокируются, тонко настраивать правила.	Нужно создавать профиль, следить за лимитами и корректно подключать устройства.
Роутер → локальный DNS-фильтр в сети	В сети стоит Pi-hole, AdGuard Home или похожий сервис, а роутер раздаёт его как DNS-сервер.	Если роутер слабый, нужны локальные логи, свои списки и полный контроль.	Много гибкости, можно блокировать рекламу и домены на уровне сети.	Нужен отдельный компьютер, мини-ПК, Raspberry Pi или виртуальная машина.

Для большинства людей я бы начинал с первого варианта: выбрать нормальный DNS-сервис с фильтрацией и прописать его в роутере. Если потом станет мало контроля — переходить к персональному DNS или локальному фильтру.

Какой DNS-сервис выбрать для блокировки вредоносных доменов

Не стоит собирать случайные чёрные списки из интернета и вручную добавлять тысячи доменов в роутер. Это часто заканчивается тормозами, ошибками и ложными блокировками. Надёжнее взять готовый сервис, который обновляет базы и отвечает за качество списков.

Для старта можно ориентироваться на такие варианты:

Вариант	Что даёт	Когда выбирать	На что обратить внимание
Quad9	Фокус на блокировке вредоносных и фишинговых доменов.	Если нужно именно защитное DNS без родительских категорий.	Проверить, есть ли в вашем регионе нормальная скорость ответа.
Cloudflare for Families	Есть профиль с блокировкой malware и отдельный профиль с malware + adult content.	Если нужен простой публичный DNS с минимальной настройкой.	Удобен для дома, но без гибких отчётов по устройствам.
AdGuard DNS Family Protection	Блокирует вредоносные домены и домены из некоторых категорий.	Если хочется совместить защиту и базовую фильтрацию контента.	Проверьте актуальные адреса на сайте сервиса перед настройкой.
NextDNS, Control D и похожие сервисы	Персональный профиль, статистика, свои списки, разные правила для устройств.	Если нужно видеть, что блокируется, и управлять фильтрацией точнее.	Подойдут, если вы готовы потратить время на профиль и настройки.

Если у вас дома обычные пользователи и нет задачи расследовать инциденты, достаточно Quad9, Cloudflare for Families или AdGuard DNS. Если нужен журнал обращений и возможность быстро понять, какой ноутбук полез на подозрительный сайт, лучше смотреть в сторону персонального DNS-фильтра.

Как настроить DNS-фильтрацию через роутер по шагам

Названия пунктов в разных роутерах отличаются, но логика почти всегда одинаковая. Ниже — порядок, который работает на большинстве домашних и офисных моделей.

1. Зайдите в панель управления роутером. Обычно это адрес вроде 192.168.0.1, 192.168.1.1 или 192.168.31.1. Адрес часто написан на наклейке снизу роутера или в инструкции.

2. Найдите раздел с интернет-подключением или WAN. Он может называться “Интернет”, “WAN”, “Network”, “Internet”, “Connection Type”. Именно там обычно задаются DNS-серверы, которые роутер использует для своих запросов.

3. Отключите автоматическое получение DNS от провайдера. Если стоит галочка вроде “Get DNS automatically”, “Use DNS from ISP”, “Auto”, её лучше отключить. Иначе роутер может продолжать использовать DNS провайдера, и фильтрация не заработает.

4. Пропишите DNS-адреса выбранного сервиса. Например, у Quad9 это 9.9.9.9 и 149.112.112.112. У Cloudflare for Families для блокировки вредоносных доменов — 1.1.1.2 и 1.0.0.2. Адреса лучше перепроверить на сайте сервиса, потому что сервисы иногда обновляют инструкции и рекомендации.

5. Настройте DHCP так, чтобы клиенты получали DNS от роутера. В разделе LAN/DHCP сервера должен быть указан адрес самого роутера как DNS-сервер. Например, если роутер имеет адрес 192.168.1.1, клиенты должны получать именно 192.168.1.1 как DNS. Это нужно, чтобы фильтр применялся ко всем устройствам в сети.

6. Сохраните настройки и перезагрузите роутер. После перезагрузки желательно переподключить устройства к Wi‑Fi или обновить DHCP-аренду, чтобы они получили новые DNS-параметры.

7. Проверьте, что устройство действительно использует роутер как DNS. На Windows можно открыть командную строку и ввести ipconfig /all. На macOS или Linux — scutil --dns или посмотреть настройки сети. В списке DNS-серверов должен быть адрес роутера.

8. Проверьте работу фильтра. Можно использовать тестовую страницу или тестовый домен, который рекомендует сам DNS-сервис. Не нужно специально ходить на настоящие вредоносные сайты. Задача проверки — убедиться, что роутер пересылает запросы в выбранный фильтр и блокировка срабатывает.

Если после настройки сайты открываются, но фильтрация не срабатывает, чаще всего проблема в одном из трёх мест: роутер сам получает DNS от провайдера, клиенты получают не роутер как DNS, или устройства используют собственный DNS поверх системного.

Где чаще всего спотыкаются при настройке

На бумаге всё выглядит просто: вписал два DNS-адреса и готово. На практике есть несколько типовых проблем, из-за которых фильтрация либо не работает, либо работает не для всех устройств.

1. В роутере поменяли DNS, но клиенты всё равно используют старый

В роутере есть два разных места, где может быть DNS: WAN/Интернет и LAN/DHCP. В WAN указывается, куда роутер сам пересылает запросы. В DHCP указывается, какой DNS получает устройство клиента. Для фильтрации нужны оба условия: роутер должен использовать защищённый DNS и раздавать себя клиентам как DNS-сервер.

2. На устройстве вручную прописан чужой DNS

Если на ноутбуке или телефоне вручную указаны 8.8.8.8, 1.1.1.1 или DNS провайдера, он может обойти роутерный фильтр. Особенно это встречается на рабочих ноутбуках, где настройки выданы администратором.

Решение простое: перевести устройство на автоматическое получение DNS по DHCP. Если это корпоративный ноутбук, лучше не ломать рабочие настройки, а согласовать правило с администратором.

3. Браузер использует безопасный DNS

Chrome, Edge, Firefox и некоторые мобильные браузеры могут использовать DoH — DNS поверх HTTPS. В этом случае браузер сам выбирает DNS-сервис и обходит системные настройки. Для домашнего использования можно отключить “Secure DNS” или “Безопасный DNS” в настройках браузера. Для строгой сети можно дополнительно ограничить DoT и часть DoH, но с этим нужно быть осторожнее: DoH часто идёт через обычный 443-й порт, и его сложно отделить от нормального HTTPS без лишних блокировок.

4. IPv6 включён, но DNS по нему не настроен

Если в сети работает IPv6, устройства могут получать DNS от провайдера через IPv6, даже если по IPv4 всё настроено правильно. В итоге часть запросов идёт мимо фильтра.

Есть два нормальных решения: настроить IPv6 DNS так, чтобы он тоже шёл через выбранный фильтр, или временно отключить IPv6 на роутере, если вы не используете его осознанно. Второй вариант грубее, но для домашней сети часто проще и безопаснее с точки зрения фильтрации.

5. Смешали DNS разных сервисов

Не стоит ставить в primary DNS один сервис, а в secondary другой с другой политикой фильтрации. Например, один блокирует вредоносные домены, другой ничего не фильтрует. Тогда часть запросов будет уходить мимо защиты.

Лучше использовать пару адресов одного сервиса. Если используете персональный DNS, берите оба адреса из одного профиля.

Как проверить, что фильтрация действительно работает

После настройки не нужно гадать. Проверка занимает пару минут.

• Откройте настройки сети на устройстве и посмотрите DNS-сервер. Если там адрес роутера — хорошо.
• На Windows введите ipconfig /all и найдите строку DNS Servers.
• На macOS или Linux можно использовать dig @192.168.1.1 example.com, подставив адрес своего роутера.
• Проверьте несколько устройств: Windows, телефон на Wi‑Fi, умный телевизор или ноутбук. Фильтр должен работать именно в сети, а не только на одном устройстве.
• Если сервис даёт страницу статистики или тестовый домен, используйте его. Это безопаснее, чем искать в интернете “проверочные вредоносные сайты”.

Если вы используете персональный DNS-сервис, самый понятный тест — посмотреть статистику. После нескольких минут работы в сети там должны появиться запросы. Если запросов нет вообще, значит устройства не доходят до этого DNS или используют другой.

Что выбрать в зависимости от ситуации

Не все сценарии одинаковые. Для квартиры, офиса на 10 человек и сети с умной техникой лучше подходят разные решения.

Если нужно “поставить и забыть” дома

Выбирайте обычный внешний DNS с фильтрацией: Quad9, Cloudflare for Families или похожий сервис. Пропишите его в роутере, проверьте DHCP и IPv6. Этого достаточно, чтобы закрыть большую часть обращений к известным вредоносным доменам без лишней возни.

Если есть дети, но основной фокус — безопасность

Можно взять DNS с дополнительными категориями блокировки, но не перегружайте сеть десятками фильтров. Чем больше категорий и списков, тем выше шанс ложной блокировки. Для начала достаточно защиты от malware/phishing и, если нужно, одной-двух категорий контента.

Если нужен журнал: кто куда обращался

Берите персональный DNS-фильтр. Он даст статистику, список заблокированных доменов и возможность быстро понять, с какого устройства пришёл подозрительный запрос. Для небольшого офиса это практичнее, чем публичный DNS без отчётов.

Если роутер старый и еле тянет основную сеть

Не мучайте его огромными списками доменов. Лучше поставить рядом мини-ПК, Raspberry Pi или виртуальную машину с Pi-hole/AdGuard Home, а в роутере указать этот локальный фильтр как DNS. Так нагрузка ляжет на отдельное устройство, а роутер продолжит заниматься маршрутизацией.

Если это офисная сеть

Для офиса я бы не ограничивался публичным DNS без отчётов. Нужны хотя бы базовые логи, понятная политика фильтрации, возможность быстро разблокировать ошибочно заблокированный домен и договорённость, кто смотрит предупреждения. В офисе DNS-фильтрация полезна не только для блокировки, но и для первичного расследования инцидентов.

Практические рекомендации, чтобы не получить проблемы вместо защиты

Хорошая настройка DNS-фильтрации — это не только прописать адреса. Нужно сделать её управляемой и не сломать пользователям нормальную работу.

• Используйте один сервис для пары DNS-адресов. Не смешивайте разные политики фильтрации.
• Настройте IPv6. Либо фильтруйте DNS через IPv6, либо отключите IPv6, если он не нужен.
• Проверьте DHCP. Клиенты должны получать роутер как DNS-сервер.
• Обновите прошивку роутера. Старые версии могут плохо работать с новыми DNS-функциями или содержать уязвимости.
• Не добавляйте случайные списки доменов. Особенно в роутер с ограниченной памятью. Это частая причина зависаний и ложных блокировок.
• Заведите белый список. Если рабочий сайт, банк, сервис оплаты или нужная платформа попали в блокировку, лучше добавить исключение, чем отключать фильтр полностью.
• Периодически смотрите статистику. Если сервис показывает заблокированные домены, раз в неделю можно пробежаться по списку. Иногда там видно заражённое устройство раньше, чем пользователь сам заметит проблему.

Частые ошибки при DNS-фильтрации через роутер

Эти ошибки встречаются почти в каждой сети, где DNS-защиту настраивали “на глаз”.

• Поменяли только WAN DNS, но DHCP остался старым. Роутер фильтрует свои запросы, а устройства обходят фильтр.
• Оставили DNS провайдера в автоматическом режиме. После перезагрузки роутер снова начинает использовать DNS провайдера.
• Не проверили телефоны и ноутбуки. Настройка сделана, но часть устройств использует свой DNS или браузерный DoH.
• Поставили слишком агрессивные списки. Начинают не открываться нормальные сайты, пользователи отключают защиту.
• Игнорируют IPv6. Половина сети идёт через IPv4-фильтр, а часть запросов уходит через IPv6 DNS провайдера.
• Не ведут белый список. При ложной блокировке администратор нервничает и отключает всю фильтрацию.
• Думают, что DNS решит все проблемы с вирусами. Это полезный слой защиты, но не полноценная система безопасности.

Как сделать настройку устойчивой

После первичной настройки сделайте себе небольшой чек-лист. Он пригодится, когда кто-то скажет: “Интернет работает, но сайт не открывается”.

1. Проверить, что роутер использует выбранный DNS-сервис.
2. Проверить, что DHCP раздаёт клиентам адрес роутера как DNS.
3. Проверить, что IPv6 не обходит фильтрацию.
4. Посмотреть, не включён ли Secure DNS в браузере.
5. Проверить статистику DNS-сервиса или локального фильтра.
6. При ложной блокировке добавить домен в белый список, а не отключать весь фильтр.
7. Раз в несколько месяцев обновлять прошивку роутера и пересматривать выбранные списки фильтрации.

Если вы используете персональный сервис, сохраните доступ к панели управления. Если локальный фильтр — сделайте резервную копию конфигурации. В случае сбоя это экономит время: не нужно заново вспоминать, какие списки и правила были добавлены.

Когда DNS-фильтрация через роутер не справится

Есть ситуации, где DNS-защита полезна, но её результата будет недостаточно.

Например, вредоносная программа может общаться напрямую по IP-адресу, без доменного имени. Или использовать домены, которые ещё не попали в списки. Также некоторые угрозы приходят через вложения в письмах, USB-носители или уже скомпрометированные легитимные сайты.

Ещё один нюанс — общие хостинги и CDN. Один и тот же IP-адрес может обслуживать тысячи сайтов. DNS-фильтр обычно блокирует домен, но если вредоносный контент размещён на популярной платформе, блокировка всего домена может задеть нормальных пользователей. Поэтому для бизнеса иногда нужны более точные решения на уровне шлюза, прокси или endpoint-защиты.

Итог: как сделать правильно

Для домашней сети самый разумный путь такой: выбрать DNS-сервис с блокировкой вредоносных доменов, прописать его в роутере, убедиться, что DHCP раздаёт клиентам роутер как DNS, проверить IPv6 и протестировать работу на нескольких устройствах.

Если нужны отчёты и гибкие правила — берите персональный DNS-фильтр. Если роутер слабый — ставьте отдельный локальный DNS-фильтр и направляйте всю сеть через него.

Главное — не просто “включить DNS”, а проверить, что запросы действительно идут через выбранный фильтр. Именно проверка DHCP, IPv6 и браузерных настроек отличает рабочую настройку от формальной галочки в роутере.