Когда вы открываете сайт по HTTPS, провайдер всё равно видит, куда вы идёте. ECH и DoH — два механизма, которые закрывают эту брешь. Разбираемся, как они работают и чем отличаются друг от друга.
Многие думают: раз соединение зашифровано и в адресной строке замок — провайдер ничего не видит. Это не так.
При установке HTTPS-соединения браузер сначала выполняет DNS-запрос (узнаёт IP-адрес сайта), а потом отправляет TLS ClientHello — пакет, содержащий имя сайта в открытом виде. Это поле называется SNI (Server Name Indication).
Именно для решения этих двух проблем и были разработаны DoH и ECH.
SNI появился как решение проблемы виртуального хостинга: когда один сервер обслуживает несколько сайтов, ему нужно знать, для какого из них выдать TLS-сертификат. SNI передаётся в начале TLS-рукопожатия — ещё до того, как шифрование установлено.
Это означает, что SNI виден всем, кто находится на пути между вами и сервером: вашему провайдеру, оператору публичного Wi-Fi, системам глубокой инспекции пакетов (DPI). Раньше предлагался ESNI (Encrypted SNI) — но он не получил широкого распространения. ECH — его более проработанный преемник.
Обычный DNS работает через UDP/порт 53 в открытом виде. Провайдер видит каждый ваш запрос: google.com, youtube.com, любой сайт. DNS-over-HTTPS отправляет эти запросы как обычный HTTPS-трафик — зашифрованно и внешне неотличимо от веб-сёрфинга.
Популярные DoH-серверы: Cloudflare (1.1.1.1), Google (8.8.8.8), NextDNS. Браузеры Chrome и Firefox поддерживают DoH и позволяют выбрать провайдера в настройках.
ECH (Encrypted Client Hello) — это расширение TLS 1.3, которое шифрует всё поле ClientHello, включая SNI. Вместо реального имени сайта провайдер видит только адрес CDN или фронтенд-сервера (например, Cloudflare).
Ключевой момент: ECH требует, чтобы сайт его поддерживал и публиковал конфиг в DNS. Большинство сайтов за Cloudflare поддерживают ECH автоматически — Cloudflare включил его по умолчанию в 2023 году.
| Технология | Что скрывает | Что остаётся видимым |
|---|---|---|
| DoH | DNS-запросы (имена доменов) | SNI в TLS ClientHello, IP сервера |
| ECH | SNI в TLS ClientHello | IP CDN/прокси, объём трафика |
| DoH + ECH | DNS-запросы + SNI | IP CDN/прокси, объём трафика |
| Шифр. соединение (VPN) | Всё: DNS, SNI, IP, объём | IP сервера шифр. соединения |
DoH и ECH — важные улучшения, но они не решают всех задач приватности:
Полностью скрыть трафик от провайдера может только шифрование всего соединения на уровне транспорта — когда весь трафик (включая DNS, SNI, IP назначения и объём) уходит в зашифрованный туннель.
Скрывает DNS-запросы. Включите в браузере — это просто и бесплатно.
Скрывает SNI. Работает автоматически в современных браузерах для поддерживающих сайтов.
Скрывает всё. Единственный способ полностью скрыть трафик.
DoH и ECH — хорошие инструменты, которые стоит включить в браузере. Но для полноценной приватности они должны дополняться шифрованием всего трафика. Только так провайдер не видит ни DNS-запросы, ни SNI, ни IP-адреса серверов.
DoH (DNS-over-HTTPS) шифрует ваши DNS-запросы — какие сайты вы смотрите, больше не видит провайдер. ECH (Encrypted Client Hello) шифрует имя сайта в TLS-рукопожатии — поле SNI. Вместе они закрывают две главные утечки при обычном HTTPS.
Нет. DoH прячет DNS-запросы (шаг «узнать IP сайта»), ECH прячет SNI (шаг «сообщить серверу, за каким сайтом пришёл»). Это разные фазы соединения и разные технологии, которые работают вместе.
Да. DoH защищает только DNS. Сразу после DoH браузер отправляет TLS ClientHello с именем сайта в открытом виде — это SNI. Без ECH провайдер всё равно видит, на какой сайт вы идёте. Только ECH + DoH закрывают обе утечки.
Да. Chrome 117+ и Firefox 118+ поддерживают ECH по умолчанию. На сервере ECH должен быть включён — у сайтов за Cloudflare он активен автоматически с 2023 года. Для самостоятельного хостинга ECH требует отдельной настройки DNS-записей HTTPS/SVCB.
Российские провайдеры блокируют TLS-соединения с зашифрованным ClientHello по требованиям Роскомнадзора. Браузер при блокировке откатывается к обычному SNI, и приватность теряется. Гарантированная защита — только через шифрованный туннель, где весь трафик маскируется под один IP.
Нет. Даже с ECH и DoH остаются видимыми: IP-адрес сервера (можно идентифицировать сайт по IP), объём и тайминг трафика (паттерн-анализ). Полностью скрыть активность можно только шифрованием всего соединения.
VLESS-Reality шифрует весь трафик — DNS, SNI, IP — и маскирует соединение под обычный HTTPS. Провайдер видит только обращение к нашему серверу. Два дня бесплатно.
Попробовать бесплатно →