Провайдер VPN уходит из публичного DNS: чем это грозит вашим конфигам и почему Quad9 — не равнозначная замена

Четыре года шифрованные резолверы Mullvad кочевали по чужим конфигам: их ставили апстримом в AdGuard Home, прописывали в «Частном DNS» на телефоне, вписывали в роутер. Теперь компания от этой затеи отказывается. Собственную публичную инфраструктуру она сворачивает, а высвободившиеся деньги направляет Quad9 — в блоге это сформулировано как «we're putting those resources toward financially supporting Quad9 instead».

Дата отключения названа без обтекаемых формулировок: 2 ноября 2026 года. Разберём по порядку, что именно перестанет отвечать, что продолжит работать как ни в чём не бывало, и почему замена адреса на Quad9 решает задачу не для всех.

Что уходит

Вариантов было шесть, и отличала их друг от друга исключительно глубина фильтрации. Отключаются они все разом.

К каждому прилагался эндпоинт DoH формата https://<вариант>.dns.mullvad.net/dns-query и хост DoT того же имени, слушавший порт 853.

Что останется на месте

Паниковать подписчикам VPN не нужно: резолвер внутри туннеля и публичный сервис — разные сущности, и сворачивают только вторую. Формулировка из блога объясняет и мотив решения: «traffic is already encrypted and Mullvad VPN's internal DNS handles all queries». Дублирование сочли избыточным, оттого и закрывают.

Не заметят изменений и те, кто пользуется Mullvad Browser с заводскими настройками — переключение на Quad9 произойдёт само. Под удар попадает единственный сценарий: адрес, вбитый руками.

Замена есть, но неравноценная

Публичных профилей у Quad9 три, и аналога ни для adblock, ни для extended среди них нет.

Вот чего в объявлении не написали прямым текстом: рекламу и трекеры Quad9 не режет вообще. Тем, кто держал adblock, extended или all ради чистых страниц, подменой строки в конфиге не обойтись — фильтры придётся поднимать у себя: списками в Pi-hole или AdGuard Home, расширением в браузере.

Профиль с ECS берите с открытыми глазами. Кусок вашей подсети он сообщает авторитативным серверам, чтобы CDN подобрал ближний узел: выигрыш в скорости оплачен проигрышем в приватности. Домашней сети, которая и так ходит через VPN, это обычно не окупается.

Инвентаризация: куда за четыре года мог заползти адрес

Полагаться на память тут бессмысленно, надёжнее поиск по диску:

grep -rIn -E '194\.242\.2\.[0-9]|dns\.mullvad\.net' /etc /opt /srv "$HOME" 2>/dev/null

Греп достанет не всё. Руками придётся заглянуть в веб-морду AdGuard Home или Pi-hole, в админку роутера, в пункт «Частный DNS» на Android (туда вписывают хост DoT), в профили конфигурации на iOS и macOS, а также в сетевые настройки VPS, если резолвер задавался через панель провайдера. У клиентов sing-box и Xray искомое лежит в секции dns — но формат описания серверов от версии к версии переписывали, поэтому ориентируйтесь на документацию своей сборки, а не на первый попавшийся пример.

Готовые строки под типовые случаи:

# systemd-resolved, /etc/systemd/resolved.conf
DNS=9.9.9.9#dns.quad9.net 149.112.112.112#dns.quad9.net
DNSOverTLS=yes

# AdGuard Home, поле «Upstream DNS servers»
https://dns.quad9.net/dns-query

# Unbound, forward-zone
forward-zone:
    name: "."
    forward-tls-upstream: yes
    forward-addr: 9.9.9.9@853#dns.quad9.net

# Android, «Частный DNS» — только имя хоста
dns.quad9.net

Проверяем, что всё переехало

dig @9.9.9.9 example.com +short
kdig -d @dns.quad9.net +tls example.com
resolvectl status | grep -A3 'Current DNS'

Первая строка — простейший резолв поверх UDP. Вторая подтверждает, что сессия действительно поднимается по TLS; утилита kdig приезжает вместе с пакетом knot-dnsutils. Третья отвечает на вопрос, какой сервер система выбрала по факту, а не по вашим намерениям.

Не помешает убедиться и в работе валидации DNSSEC:

dig @9.9.9.9 dnssec-failed.org

Подпись у dnssec-failed.org заведомо сломана. Резолвер, который проверяет, ответит status: SERVFAIL. Получили нормальный адрес — значит запрос ушёл не туда, куда вы думали, и его перехватил резолвер провайдера.

Обязательно ли вообще Quad9

Переставив один публичный резолвер на другой, вы ничего не меняете по сути: картину ваших запросов по-прежнему целиком видит одна организация. Претензия, которую предъявляли Mullvad, к Quad9 применима один в один — швейцарская некоммерческая форма собственности это обстоятельство, а не контраргумент.

Радикальный путь — собственный рекурсивный резолвер. Unbound в режиме рекурсии обходит корневые и авторитативные серверы самостоятельно, посредник исчезает как класс. Расплата: пустой кэш после каждого рестарта, DNSSEC придётся настраивать себе самому, а ваш IP начинает светиться перед авторитативными серверами напрямую. Универсально верного ответа тут нет — есть решение о том, кому вы согласны отдавать эту телеметрию.

Источники

• Mullvad: Shutting down our public encrypted DNS servers and sponsoring Quad9 instead
• Mullvad: справка по DNS over HTTPS and DNS over TLS
• Quad9: Service Addresses & Features