Amnezia DNS Server: настройка собственного VPN и защита DNS-запросов

Что такое Amnezia VPN и как он связан с DNS

Amnezia VPN — это бесплатный проект с открытым исходным кодом, который позволяет развернуть собственный VPN-сервер на арендованном VPS. В отличие от коммерческих VPN-сервисов, здесь вы полностью контролируете инфраструктуру: приложение автоматически устанавливает серверные компоненты на ваш сервер через SSH, а вы получаете личный зашифрованный туннель.

Ключевая особенность Amnezia — работа с DNS. При подключении через VPN все DNS-запросы вашего устройства должны направляться на DNS-сервер, который вы настроите. Если этого не сделать, запросы могут утекать вашему интернет-провайдеру, что раскрывает список посещаемых сайтов и делает возможным DNS-блокировки. Amnezia позволяет настроить собственный DNS-сервер на VPS или использовать зашифрованные DNS-протоколы, такие как DNS-over-HTTPS или DNS-over-TLS, чтобы скрыть вашу активность.

В этой статье мы подробно разберем, как работает DNS в Amnezia, как настроить собственный DNS-сервер и избежать утечек.

Зачем нужен собственный DNS-сервер при использовании VPN

Когда вы подключаетесь к VPN, весь интернет-трафик шифруется и проходит через туннель. Однако DNS-запросы — это отдельный тип трафика, который может обрабатываться по-разному. Если DNS-запросы не направляются через VPN, они отправляются напрямую вашему интернет-провайдеру. Это приводит к нескольким проблемам:

• Утечка DNS: провайдер видит, какие домены вы запрашиваете, даже если сам контент зашифрован.
• DNS-блокировки: провайдер может блокировать доступ к определенным сайтам, возвращая ложные IP-адреса.
• Снижение приватности: ваша история посещений становится доступна третьим лицам.

Использование собственного DNS-сервера на VPS решает эти проблемы. Вы можете настроить DNS-резолвер, который будет обрабатывать запросы через зашифрованный канал, или использовать публичные DNS-серверы с шифрованием, например Cloudflare (1.1.1.1) или Google (8.8.8.8), но с обязательным направлением через VPN. Amnezia позволяет задать DNS-серверы в настройках подключения, что гарантирует, что все запросы будут проходить через туннель.

Как Amnezia обрабатывает DNS-запросы по умолчанию

По умолчанию Amnezia VPN настраивает DNS-серверы автоматически. При установке серверных компонентов на VPS приложение создает конфигурацию, которая включает локальный DNS-резолвер на сервере. Это означает, что все DNS-запросы с вашего устройства отправляются через зашифрованный туннель на VPS, где они обрабатываются локальным DNS-сервером (обычно это dnsmasq или systemd-resolved).

Однако есть нюансы. Если вы используете протокол WireGuard или AmneziaWG, DNS-серверы указываются в конфигурационном файле. Amnezia автоматически прописывает адрес DNS-сервера (обычно это IP вашего VPS или внутренний адрес 10.66.66.1). Но в некоторых случаях, особенно при использовании XRay Reality или Shadowsocks, DNS может обрабатываться иначе, и возможны утечки, если не настроить все правильно.

Важно понимать: даже если Amnezia настроена правильно, ваш интернет-провайдер все равно видит, что вы подключаетесь к VPS. Но он не видит, какие сайты вы посещаете, потому что DNS-запросы скрыты внутри туннеля.

Настройка собственного DNS-сервера на VPS для Amnezia

Чтобы полностью контролировать DNS-запросы, вы можете установить собственный DNS-сервер на ваш VPS. Это особенно полезно, если вы хотите фильтровать рекламу, блокировать вредоносные домены или просто иметь полный контроль над резолвингом.

Вот базовые шаги для настройки DNS-сервера на Ubuntu/Debian:

1. Установите DNS-сервер. Популярный выбор — dnsmasq или unbound. Для простоты можно использовать dnsmasq:

   sudo apt update
   sudo apt install dnsmasq

1. Настройте dnsmasq. Отредактируйте файл /etc/dnsmasq.conf, указав upstream DNS-серверы (например, Cloudflare 1.1.1.1 или Quad9 9.9.9.9) и включив прослушивание на локальном интерфейсе:

   server=1.1.1.1
   server=9.9.9.9
   listen-address=127.0.0.1
   bind-interfaces

1. Перезапустите службу:

   sudo systemctl restart dnsmasq

1. Убедитесь, что Amnezia использует этот DNS. В настройках подключения Amnezia укажите IP вашего VPS как DNS-сервер, либо оставьте автоматическую настройку, если она уже использует локальный резолвер.

После этого все DNS-запросы будут обрабатываться вашим сервером, и вы можете добавить фильтрацию или логирование по своему усмотрению. Однако помните, что если вы используете dnsmasq без шифрования, запросы от VPS к вышестоящим DNS-серверам будут идти в открытом виде — для полной приватности используйте DNS-over-TLS или DNS-over-HTTPS.

Защита DNS-запросов: DNS-over-HTTPS и DNS-over-TLS

Даже если DNS-запросы идут через ваш VPN-туннель, они могут быть перехвачены на стороне VPS, если вы используете обычный DNS-резолвер. Чтобы защитить запросы от прослушивания, используйте зашифрованные DNS-протоколы.

DNS-over-HTTPS (DoH) — это протокол, который отправляет DNS-запросы через HTTPS-соединение. Он маскирует DNS-трафик под обычный веб-трафик, что затрудняет его блокировку и отслеживание. Вы можете настроить DoH на своем VPS, установив прокси-сервер, например dnsproxy от AdGuard, который поддерживает DoH и DoT.

DNS-over-TLS (DoT) — аналогичный протокол, но использующий отдельное TLS-соединение на порту 853. Он менее скрытен, чем DoH, но также эффективен.

Пример настройки dnsproxy:

wget https://github.com/AdguardTeam/dnsproxy/releases/latest/download/dnsproxy-linux-amd64
chmod +x dnsproxy-linux-amd64
./dnsproxy-linux-amd64 --upstream=https://1.1.1.1/dns-query --listen=127.0.0.1:53

Затем укажите в Amnezia DNS-сервером 127.0.0.1 (или IP VPS), и все запросы будут шифроваться. Это добавляет дополнительный уровень защиты от перехвата и подмены DNS-ответов.

Проверка утечек DNS и настройка kill switch

После настройки Amnezia важно убедиться, что DNS-запросы не утекают за пределы VPN. Для этого можно использовать онлайн-сервисы проверки утечек, например dnsleaktest.com или ipleak.net. Они показывают, какие DNS-серверы видит ваш компьютер при подключении к VPN.

Если проверка показывает DNS-серверы вашего интернет-провайдера, значит, есть утечка. Чтобы ее устранить, выполните следующие шаги:

1. Убедитесь, что в настройках Amnezia указан правильный DNS-сервер (IP вашего VPS или локальный адрес).
2. Включите kill switch в настройках Amnezia. Эта функция блокирует весь интернет-трафик, если VPN-соединение неожиданно обрывается, предотвращая утечку реального IP и DNS-запросов.
3. Проверьте, что на вашем устройстве не настроены сторонние DNS-серверы, которые могут перехватывать запросы.

Также рекомендуется проверить WebRTC-утечки, особенно в браузерах, так как WebRTC может раскрывать ваш реальный IP-адрес даже при включенном VPN. Amnezia не имеет встроенной защиты от WebRTC, поэтому используйте браузерные расширения или отключайте WebRTC в настройках браузера.

Выбор VPS-провайдера и влияние на DNS и блокировки

При развертывании собственного VPN-сервера Amnezia выбор VPS-провайдера играет ключевую роль. От него зависит не только скорость, но и устойчивость к блокировкам. Если ваш VPS-провайдер находится в юрисдикции с агрессивной цензурой, он может быть вынужден блокировать VPN-трафик или передавать данные властям.

Рекомендуется выбирать провайдеров в странах с высоким уровнем свободы интернета, например в Нидерландах, Германии или Финляндии. Также важно, чтобы VPS имел публичный IPv4-адрес, так как Amnezia требует именно IPv4. Некоторые провайдеры могут блокировать VPN-протоколы на уровне сети, поэтому перед покупкой стоит проверить отзывы и политику провайдера.

Кроме того, IP-адрес вашего VPS должен иметь хорошую репутацию. Если IP уже использовался для спама или атак, он может быть заблокирован на многих сайтах, что снизит доступность ресурсов. Выбирайте провайдеров, которые предоставляют чистые IP-адреса, и при необходимости меняйте IP через поддержку.

Сравнение Amnezia с другими self-hosted VPN-решениями

Amnezia — не единственный инструмент для создания собственного VPN. Среди аналогов можно выделить Outline, WireGuard в чистом виде и OpenVPN. Вот основные отличия:

• Outline — это менеджер для развертывания Shadowsocks-серверов. Он проще в настройке, но использует только Shadowsocks, который, по словам экспертов, может быть распознан системами глубокого анализа пакетов (DPI). Amnezia поддерживает больше протоколов, включая AmneziaWG и XRay Reality, что делает его более устойчивым к блокировкам.
• WireGuard — это современный протокол, но без дополнительной обфускации его трафик легко обнаружить. AmneziaWG, основанный на WireGuard, добавляет маскировку, что значительно повышает устойчивость.
• OpenVPN — классический протокол, но его трафик также легко блокируется. Amnezia может использовать OpenVPN поверх Cloak для маскировки под веб-трафик.

Amnezia выигрывает за счет простоты установки (все делается через приложение) и мультипротокольности. Однако она требует больше ресурсов VPS (минимум 1 ГБ RAM) и не поддерживает ARM-процессоры, что ограничивает выбор дешевых серверов.

Практические советы по настройке DNS и безопасности

Вот несколько практических рекомендаций, которые помогут вам настроить Amnezia и DNS максимально безопасно:

1. Используйте SSH-ключи вместо пароля для доступа к VPS. Это защитит сервер от взлома.
2. Обновляйте систему регулярно (sudo apt update && sudo apt upgrade), чтобы закрыть уязвимости.
3. Не устанавливайте лишние сервисы на VPS, чтобы снизить риск компрометации.
4. Настройте файрвол (например, UFW) и разрешите только необходимые порты: SSH (22), VPN-порты (обычно UDP 51820 для WireGuard, TCP 443 для XRay).
5. Для DNS используйте зашифрованные протоколы (DoH/DoT) на VPS, чтобы защитить запросы от перехвата.
6. Проверяйте утечки DNS после каждого изменения конфигурации.
7. Используйте раздельное туннелирование (split tunneling) в Amnezia, чтобы направлять через VPN только те приложения, которые нуждаются в защите, снижая нагрузку на сервер.
8. Регулярно проверяйте логи сервера на предмет подозрительной активности.

Следуя этим советам, вы сможете поддерживать высокий уровень приватности и безопасности при использовании Amnezia.

Ограничения и риски использования Amnezia

Amnezia — мощный инструмент, но у него есть ограничения, о которых важно знать.

• Вы доверяете VPS-провайдеру. Хотя Amnezia не собирает логи, ваш VPS-провайдер имеет доступ к серверу и может видеть трафик, если не настроено шифрование на уровне приложений. Используйте зашифрованные протоколы (DoH, TLS) для защиты.
• Техническое обслуживание. Вы несете ответственность за обновление сервера, настройку безопасности и устранение неполадок. Нет поддержки, как у коммерческих VPN.
• Блокировка IP-адреса. Если ваш VPS IP будет заблокирован на каком-либо сайте или в сети, вам придется менять IP или использовать другой сервер.
• Совместимость с роутерами. AmneziaWG 3.1 не поддерживается на большинстве роутеров, поэтому для настройки на роутере可能需要 использовать другие протоколы.
• Не является анонимным. Amnezia не скрывает вашу личность полностью. Ваш интернет-провайдер видит, что вы подключаетесь к VPS, а сайты видят IP VPS. Для полной анонимности нужны дополнительные инструменты, такие как Tor.

Несмотря на эти ограничения, Amnezia остается одним из лучших решений для тех, кто хочет контролировать свой VPN и защитить DNS-запросы.

Вопросы и ответы