Смена DNS на DoH и DoT в Smart TV: обход блокировок

Каждый владелец смарт-телевизора хотя бы раз сталкивался с неприятной ситуацией: медиаплееры Lampa, NUM, Vimu или Kodi запускаются штатно, но вместо привлекательных афиш и постеров киноновинок отображаются пустые серые прямоугольники либо пиктограммы битых картинок.

Одна из частых причин — DNS. Когда приставка запрашивает адрес сервера метаданных (TheMovieDB, Fanart.tv и т. п.), DNS-сервер провайдера может вернуть заглушку или не ответить. Обычные DNS-запросы идут открытым текстом на порт UDP 53, поэтому провайдер может перехватить их даже при «чужом» DNS-сервере.

Шифрованные протоколы DNS-over-TLS (DoT) и DNS-over-HTTPS (DoH) закрывают эту возможность. Но они не помогут, если доступ ограничен по IP-адресу сервера или по имени сайта в TLS-рукопожатии (SNI): эти данные провайдер видит и с шифрованным DNS.

---

Сравнительная таблица протоколов резолвинга для Smart TV

Перед началом настройки полезно сопоставить характеристики различных технологий преобразования доменных имен:

На Android TV и Google TV DoT включается системными средствами, без сторонних APK.

---

Способ 1: Настройка Private DNS (DoT) на Android TV и Google TV

Начиная с девятой версии операционной системы Android (Pie), платформа поддерживает защищенный стандарт Private DNS (Персональный DNS-сервер), который автоматически оборачивает сетевые запросы имен в TLS-шифрование по выделенному порту 853.

Пошаговый алгоритм настройки:

1. Откройте системные «Настройки» (значок шестеренки в правом верхнем углу домашнего экрана Android TV).
2. Перейдите в категорию «Сеть и интернет» (Network & Internet).
3. Прокрутите список доступных параметров вниз до пункта «Персональный DNS-сервер» (Private DNS).
4. Выберите режим «Имя хоста поставщика персонального DNS-сервера» (Private DNS provider hostname).
5. С помощью экранной клавиатуры либо виртуального пульта со смартфона введите хост выбранного безопасного шлюза:
   • AdGuard (фильтрация рекламы, аналитики и трекеров): dns.adguard-dns.com
   • Cloudflare 1.1.1.1 (минимальный сетевой пинг и глобальная сеть Anycast): one.one.one.one
   • Google Public (высочайшая отказоустойчивость инфраструктуры): dns.google
   • Mullvad DNS (европейская юрисдикция, строгая приватность): base.dns.mullvad.net
6. Нажмите экранную кнопку «Сохранить».
7. Проверьте, что сеть работает: если сервер недоступен, Android сообщает, что подключение к персональному DNS-серверу невозможно, и сайты перестают открываться.

Во многих прошивках Android TV пункта «Персональный DNS-сервер» в меню нет, хотя сама функция в системе есть (она появилась в Android 9, см. блог Android Developers). Тогда её включают через ADB с компьютера:

adb shell settings put global private_dns_mode hostname
adb shell settings put global private_dns_specifier dns.adguard-dns.com

Чтобы вернуть обычный DNS, выполните adb shell settings put global private_dns_mode opportunistic.

После включения Private DNS приложения приставки (Lampa, NUM, Vimu и Android System WebView) отправляют DNS-запросы в зашифрованном виде, и провайдер не может их подменить. Имя сайта в TLS-рукопожатии (SNI) и IP-адреса серверов он при этом по-прежнему видит, поэтому блокировки по ним Private DNS не снимает.

Если у вас на медиаприставке параллельно запущен прокси-клиент для обхода троттлинга видеохостингов, изучите наше руководство по настройке параметров Split Position в ByeDPI на Android TV.

---

Способ 2: Настройка безопасного резолвера на LG webOS и Samsung Tizen

В webOS и Tizen нет настроек DoT или DoH. Можно только вручную указать обычный DNS-сервер по IP. Это помогает, если блокирует или сбоит именно DNS-сервер провайдера. Но запросы по-прежнему идут открытым текстом, и провайдер, который перехватывает порт 53, может их подменить. Для шифрования на этих телевизорах настройте DoT/DoH на роутере (см. ниже).

Настройка на телевизорах LG webOS:

1. Нажмите клавишу шестеренки на пульте Magic Remote -> «Все настройки» -> «Сеть» (на моделях 2021 года и новее — «Все настройки → Общие → Сеть»).
2. Выберите тип вашего сетевого подключения (Wi-Fi или кабель Ethernet).
3. Перейдите в подраздел «Дополнительные настройки» и снимите флажок с пункта «Автоматически».
4. В строке «Сервер DNS» сотрите локальный IP роутера (например, 192.168.1.1) и укажите проверенный Anycast-адрес:
   • 94.140.14.14 (AdGuard)
   • либо 1.1.1.1 (Cloudflare)
5. Нажмите кнопку «Подключить» для обновления конфигурации сетевого стека.

Настройка на телевизорах Samsung Smart TV (Tizen):

1. Откройте Настройки -> Все настройки -> Подключение -> Сеть -> Состояние сети (на моделях до 2020 года — Настройки -> Общие -> Сеть -> Состояние сети).
2. Нажмите кнопки «Настройки IP» -> «Настройка DNS».
3. Переведите параметр в положение «Ввести вручную».
4. В поле «Сервер DNS» введите IP-адрес 94.140.14.14 или 8.8.8.8.
5. Подтвердите изменения нажатием кнопки «ОК».

Шифрованный DNS на роутере

Чтобы DoT/DoH работал для всех устройств, включая webOS и Tizen, настройте его на роутере, а телевизорам оставьте автоматическое получение DNS. Например, в KeeneticOS есть компоненты DNS-over-TLS и DNS-over-HTTPS: после их установки адреса серверов указываются в веб-интерфейсе роутера (порядок для вашей версии ищите на support.keenetic.com по запросу «DNS-over-TLS»). На OpenWrt для этого используют пакеты https-dns-proxy или stubby.

Если вы хотите комплексно настроить обход ограничений для всех телевизоров и ТВ-приставок без изменения конфигурации каждого, рекомендуем развернуть GoodbyeDPI и 3proxy на Keenetic для Smart TV.

А чтобы быстро подобрать производительный ТВ-бокс с аппаратным декодированием и современным Wi-Fi 6, воспользуйтесь нашим интерактивным подборщиком ТВ-боксов под любые задачи.

---

Чек-лист проверки защищенного соединения на Smart TV

• В системных свойствах сети Android TV активирован режим Private DNS.
• Введено корректное имя хоста шлюза (например, dns.adguard-dns.com или one.one.one.one).
• На телевизорах webOS/Tizen прописан альтернативный DNS (например, 94.140.14.14) или шифрованный DNS включён на роутере.
• В медиаплеере Lampa или Vimu очищен кэш эскизов, обложки загружаются.