Cloudflare DNS — это бесплатный публичный DNS-резолвер компании Cloudflare по адресам 1.1.1.1 и 1.0.0.1, в IPv6 — 2606:4700:4700::1111 и 2606:4700:4700::1001. На основном адресе он ничего не фильтрует, поддерживает шифрование DoH и DoT, а для защиты от вредоносных доменов есть пары 1.1.1.2 и 1.1.1.3. WARP — другое: туннель для всего трафика.
Настраивается резолвер за пару минут без регистрации. Отдельная особенность: у части пользователей он не работает не из-за самого сервиса, а из-за того, что адрес 1.1.1.1 годами использовали как «мусорный» в сетевом оборудовании. Ниже — адреса, настройка на всех платформах, диагностика и подробный разбор того, чем DNS 1.1.1.1 отличается от приложения «1.1.1.1» с режимом WARP.
Что такое 1.1.1.1
Cloudflare DNS — рекурсивный резолвер общего пользования на анкаст-сети компании. Запрос попадает в ближайшую к вам точку присутствия, а не на один сервер в конкретной стране: адрес 1.1.1.1 объявлен из множества мест сразу, и маршрутизация сама выбирает ближайшее. Как устроена такая схема, подробно разобрано в документации Cloudflare по 1.1.1.1.
От Quad9 и AdGuard DNS он отличается тем, чего на основном адресе не делает: не фильтрует ни рекламу, ни вредоносные домены. Основной 1.1.1.1 отдаёт ответ как есть. Фильтрация вынесена на отдельные адреса, и это осознанный выбор — не решать за пользователя, что ему видеть.
Резолвер — это только «справочная»: он превращает имя сайта в IP-адрес и больше ничего не делает с вашим трафиком. Страницы, видео и файлы после этого идут напрямую от сайта к вам, минуя Cloudflare. Именно в этом главное отличие от WARP, о котором ниже.
Публичный DNS не делает вас анонимным. Он меняет только того, кто видит ваши DNS-запросы. Провайдер по-прежнему видит IP-адреса, к которым вы подключаетесь, а SNI в TLS-рукопожатии часто раскрывает имя сайта.
Адреса Cloudflare DNS: три пары
| Пара | IPv4 | IPv6 | Что делает |
|---|---|---|---|
| Основная | 1.1.1.1 1.0.0.1 | 2606:4700:4700::1111 2606:4700:4700::1001 | Ничего не фильтрует |
| Защита от угроз | 1.1.1.2 1.0.0.2 | 2606:4700:4700::1112 2606:4700:4700::1002 | Блокирует вредоносные домены |
| Семейная | 1.1.1.3 1.0.0.3 | 2606:4700:4700::1113 2606:4700:4700::1003 | Угрозы + взрослый контент |
Схема адресов удобна тем, что последняя цифра прямо кодирует режим: .1 — без фильтра, .2 — с защитой, .3 — с семейным. Запомнить проще, чем набор из разных подсетей.
Для шифрованных протоколов у каждой пары своё имя. Основная: DoH https://cloudflare-dns.com/dns-query, DoT one.one.one.one. Защита от угроз: https://security.cloudflare-dns.com/dns-query и security.cloudflare-dns.com. Семейная: https://family.cloudflare-dns.com/dns-query и family.cloudflare-dns.com. Запрос вида «cloudflare dns com» обычно ищет именно эти имена.
Не смешивайте адреса из разных пар. Комбинация 1.1.1.1 + 1.0.0.2 даст поведение, зависящее от того, какой резолвер ответил первым: один вредоносный домен отфильтруется, следующий пройдёт.
Почему 1.1.1.1 у части людей не работает
Это самая частая и самая непонятная проблема, и корень её — в истории, а не в технике.
Адрес 1.1.1.1 короткий и запоминающийся, и до того как Cloudflare получил его в пользование, сетевые инженеры годами использовали его как заглушку: в тестовых конфигурациях, в примерах документации, в качестве адреса-приёмника для трафика, который надо было куда-то деть. Часть оборудования и провайдерских сетей до сих пор обрабатывает 1.1.1.1 особым образом — перехватывает, отбрасывает или подменяет.
Симптом узнаваемый: 1.1.1.1 не отвечает, а 1.0.0.1 работает нормально. Или наоборот, дома всё хорошо, а в офисной сети или в публичном Wi-Fi — тишина. Это не поломка резолвера.
# Отвечает ли адрес вообще
dig +short +time=3 example.com @1.1.1.1
dig +short +time=3 example.com @1.0.0.1
# Куда на самом деле уходит трафик (перехват виден по числу хопов)
traceroute -n -m 8 1.1.1.1
# Кто ответил: Cloudflare возвращает код своей точки присутствия
dig +short CH TXT id.server @1.1.1.1Последняя команда полезна для поиска подмены: настоящий резолвер Cloudflare отвечает трёхбуквенным кодом площадки, например аэропорта ближайшего города. Если ответа нет или пришло что-то постороннее, запрос перехватили по дороге.
На Windows, где dig обычно нет, то же самое проверяется встроенными средствами:
:: cmd
nslookup example.com 1.1.1.1
nslookup example.com 1.0.0.1
tracert -d -h 8 1.1.1.1
# PowerShell
Resolve-DnsName example.com -Server 1.1.1.1
Resolve-DnsName example.com -Server 1.0.0.1Если 1.0.0.1 работает, а 1.1.1.1 нет — используйте вторую пару как основную, порядок адресов роли не играет. Если не работают оба, а другие резолверы отвечают, дело в сети между вами и Cloudflare.
Типичные сообщения об ошибках
;; connection timed out; no servers could be reached—digне получил ответа: адрес отбрасывается по пути или закрыт UDP 53.DNS request timed outвnslookup— то же самое в Windows.DNS_PROBE_FINISHED_NO_INTERNETилиDNS_PROBE_FINISHED_BAD_CONFIGв браузере — система не смогла получить ответ ни от одного указанного резолвера.- Ответ пришёл, но с чужим адресом для известного домена — признак подмены, а не сбоя Cloudflare.
Приватность: что сохраняется
Заявленная политика — не записывать IP-адрес источника запроса на диск и удалять оперативные журналы в течение суток. Компания привлекала внешних аудиторов для проверки этих утверждений — само по себе это не гарантия, но это больше, чем обещание на странице.
Важная деталь для сравнения: на основном адресе Cloudflare не передаёт ECS — часть вашего IP-адреса не уходит авторитативным серверам. Плюс к приватности, минус к точности геопривязки CDN: контент иногда может отдаваться с более далёкого узла.
Приватность резолвера ограничена самим протоколом. Обычный DNS идёт открытым текстом по UDP 53, и любой узел на пути видит, какие имена вы запрашиваете. Закрывает это только шифрование — DoH или DoT, — поэтому смысл переходить на 1.1.1.1 ради приватности есть лишь вместе с ним.
Как настроить Cloudflare DNS
Роутер
Раздел WAN, «Интернет» или DHCP, поле для ручного ввода DNS. Впишите 1.1.1.1 и 1.0.0.1, сохраните, перезагрузите. Настройка на роутере накрывает всю сеть, включая устройства без собственных настроек DNS. Если роутер раздаёт устройствам собственный адрес как DNS (например, 192.168.1.1), он будет пересылать запросы в Cloudflare сам — это нормально.
Windows, macOS, Linux
# Windows (cmd от имени администратора)
netsh interface ip set dns name="Ethernet" static 1.1.1.1
netsh interface ip add dns name="Ethernet" 1.0.0.1 index=2
ipconfig /flushdns
# Windows (PowerShell от имени администратора)
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses ("1.1.1.1","1.0.0.1")
Clear-DnsClientCache
# macOS
sudo networksetup -setdnsservers "Wi-Fi" 1.1.1.1 1.0.0.1
sudo dscacheutil -flushcache
# Linux с systemd-resolved
sudo resolvectl dns wlan0 1.1.1.1 1.0.0.1
sudo resolvectl flush-cachesИмя интерфейса у вас может отличаться: в Windows его показывает Get-NetAdapter, в macOS — networksetup -listallnetworkservices, в Linux — resolvectl status.
В Windows 11 шифрование включается в графическом интерфейсе: «Параметры» → «Сеть и Интернет» → Ethernet или Wi-Fi → «Назначение DNS-сервера» → «Изменить» → «Вручную». Включите IPv4, впишите 1.1.1.1 и 1.0.0.1 и в поле «DNS по протоколу HTTPS» выберите «Вкл. (автоматический шаблон)» — система знает шаблон Cloudflare сама.
Android и iPhone
На Android 9 и новее: «Настройки» → «Сеть и интернет» → «Частный DNS» → «Имя хоста поставщика частного DNS» → one.one.one.one. Названия пунктов у разных производителей немного отличаются, но слово «Частный DNS» есть везде. Это сразу DoT, отдельное приложение не нужно.
На iPhone адрес меняется в настройках конкретной сети Wi-Fi: «Настройки» → Wi-Fi → значок «i» у сети → «Настройка DNS» → «Вручную». Так настраивается обычный DNS, и только для этой сети. Шифрованный DNS для всей системы в iOS задаётся профилем конфигурации или приложением.
После смены сбросьте кэш системы и браузера — иначе часть доменов продолжит отвечать по-старому. Разбор всех уровней кэширования есть в материале про сброс DNS-кэша.
DoH и DoT
# DoH — для браузера
https://cloudflare-dns.com/dns-query
# DoT — имя хоста для системных резолверов и Android
one.one.one.one
# Проверка DoH в бинарном формате (RFC 8484)
curl -s -H 'accept: application/dns-message' \
'https://cloudflare-dns.com/dns-query?dns=AAABAAABAAAAAAAAA3d3dwdleGFtcGxlA2NvbQAAAQAB' \
| xxd | head -3
# То же в JSON — читается глазами
curl -s -H 'accept: application/dns-json' \
'https://cloudflare-dns.com/dns-query?name=example.com&type=A'Имя one.one.one.one — не шутка, а рабочий хост: его удобно вписывать в поле «Частный DNS» на Android, где адрес требуется именно именем. DoH описан в RFC 8484, DoT — в RFC 7858; механика шифрованного DNS разобрана в статье про DNS over HTTPS.
Браузер может ходить в собственный DoH-резолвер независимо от системных настроек. Проверять настройку надо из браузера, а не только системной утилитой, иначе легко решить, что всё переключено, когда переключена только половина.
Cloudflare WARP и приложение 1.1.1.1: чем отличается от DNS 1.1.1.1
Приложение с названием «1.1.1.1» делает две разных вещи, и их постоянно путают. В режиме резолвера оно просто направляет DNS-запросы на 1.1.1.1 по шифрованному каналу. В режиме WARP — заворачивает весь трафик устройства в туннель до ближайшего узла Cloudflare. Поэтому запросы «впн 1 1 1 1» и «cloudflare warp 1.1.1.1» на самом деле про приложение, а не про адрес резолвера.
Разница практическая. Смена резолвера не меняет ваш видимый IP-адрес и не влияет на маршрут трафика. WARP меняет и то и другое: сайты видят адрес из пула Cloudflare, а не ваш. Если цель — только сменить DNS, включать WARP не нужно; если наблюдаются проблемы с доступностью, стоит понимать, что вы включаете полноценный туннель, а не настройку имени.
| Что включено | Что шифруется | Видимый IP для сайтов | Нужна установка | Для чего |
|---|---|---|---|---|
| Адрес 1.1.1.1 в настройках сети | Ничего, если не включены DoH или DoT | Ваш | Нет | Сменить резолвер |
| Приложение, режим «1.1.1.1» | Только DNS-запросы (DoH) | Ваш | Да | Шифрованный DNS без ручной настройки |
| Приложение, режим WARP | Весь трафик устройства до узла Cloudflare | Адрес из пула Cloudflare | Да | Защита трафика в чужих сетях |
| Cloudflare One Client (бывший корпоративный WARP) | Трафик по политикам организации | Зависит от политик | Да, плюс вход в организацию | Корпоративный доступ Zero Trust |
Как устроен туннель WARP
WARP — это шифрованный туннель от устройства до ближайшей точки присутствия Cloudflare. Изначально он построен на WireGuard (у Cloudflare своя реализация), в новых версиях клиента доступен протокол MASQUE — туннелирование поверх HTTP/3 и QUIC. Дальше от узла Cloudflare трафик идёт к сайту обычным путём, а DNS внутри туннеля обслуживает тот же 1.1.1.1.
От классического VPN WARP отличается задачей. Он создавался для защиты соединения — например, в открытом Wi-Fi, где соседи по сети могут видеть незашифрованный трафик, — а не для смены страны: выходной адрес подбирается в том же регионе, где вы находитесь. Платная подписка WARP+ добавляет оптимизацию маршрута по сети Cloudflare, но задачу не меняет.
Cloudflare One Client и «название команды»
Корпоративная версия клиента теперь называется Cloudflare One Client (раньше — WARP client для Zero Trust). Она подключает сотрудника к сети организации по её правилам. При входе клиент спрашивает название команды — это имя организации в Cloudflare Zero Trust, его выдаёт администратор компании. Для домашнего использования оно не нужно: если клиент просит название команды, значит, установлена корпоративная версия, а не обычное приложение.
Команды warp-cli
На Linux клиент управляется только из терминала, на Windows и macOS та же утилита ставится вместе с графической оболочкой:
warp-cli status # подключён или нет, в каком режиме
warp-cli registration new # зарегистрировать устройство (однократно)
warp-cli connect # подключиться
warp-cli disconnect # отключиться
warp-cli mode doh # только шифрованный DNS, без туннеля
warp-cli mode warp+doh # туннель плюс DNS
warp-cli dns families malware # фильтр вредоносных доменов (аналог 1.1.1.2)В старых версиях клиента регистрация выполнялась командой warp-cli register; актуальный список всегда показывает warp-cli --help.
Как понять, что включено: DNS или WARP
У Cloudflare есть служебная страница, которая показывает это прямо: https://one.one.one.one/help — на ней видно, подключены ли вы к 1.1.1.1, идёт ли DNS через DoH или DoT и включён ли WARP. Из терминала то же проверяется так:
curl -s https://www.cloudflare.com/cdn-cgi/trace | grep -E 'ip=|warp='В ответе warp=off означает, что туннеля нет и сайты видят ваш адрес; warp=on или warp=plus — трафик идёт через WARP.
WARP не подключается: что проверить
Если приложение пишет, что что-то пошло не так, или бесконечно подключается, причина обычно на стороне устройства или локальной сети:
- Одновременно работает другой VPN или антивирус с сетевым фильтром — два туннеля конфликтуют, оставьте один.
- Публичный Wi-Fi с страницей входа: пока не пройдена авторизация в сети, туннель не поднимется.
- Неверные дата и время на устройстве — шифрованное соединение не проходит проверку.
- Корпоративная или гостевая сеть закрывает нестандартный UDP-трафик. Это правило конкретной сети: обсуждать его стоит с её администратором.
- Сбилась регистрация устройства — помогает
warp-cli registration delete, затемwarp-cli registration new, или переустановка приложения.
Инструкции по обходу ограничений доступа мы не публикуем — здесь только штатная диагностика клиента. Отдельно: «генераторы ключей» WARP+ — не продукт Cloudflare, и сторонние программы, которые их выдают, стоит считать непроверенным кодом.
Как удалить WARP
- Windows: «Параметры» → «Приложения» → «Установленные приложения» → Cloudflare WARP → «Удалить».
- macOS: скрипт из комплекта приложения —
sudo "/Applications/Cloudflare WARP.app/Contents/Resources/uninstall.sh". - Linux (Debian, Ubuntu):
sudo apt remove cloudflare-warp.
После удаления сбросьте DNS-кэш и проверьте настройки адаптера: в режиме DNS клиент направляет системные запросы на свой локальный адрес вида 127.0.2.2, и если удаление прошло некорректно, такая запись может остаться — сайты перестанут открываться по имени.
Доступность из России
У Cloudflare в России отдельная история: компания одновременно и резолвер, и крупная CDN, перед которой стоят миллионы сайтов, и доступность её инфраструктуры менялась. Это влияет и на резолвер, и на сайты, которые за ней стоят.
Практический вывод простой: не считайте недоступность 1.1.1.1 доказательством того, что сломан ваш компьютер. Сначала сравните с другим резолвером — если остальные отвечают, а Cloudflare нет, причина вне вашего устройства. Подробности по инфраструктуре собраны в отдельном материале про Cloudflare в России.
Не путайте проблемы резолвера с ошибками сайтов, которые стоят за CDN Cloudflare. Коды 520–527 на странице с логотипом Cloudflare означают, что CDN не смог получить ответ от сервера сайта, — ваш DNS тут ни при чём, и смена резолвера их не исправит.
Cloudflare, Google, Quad9 и AdGuard: чем отличаются
| Признак | Cloudflare 1.1.1.1 | Google 8.8.8.8 | Quad9 9.9.9.9 | AdGuard DNS |
|---|---|---|---|---|
| Фильтрация на основном адресе | Нет | Нет | Вредоносные домены | Реклама и трекеры |
| Отдельный адрес с фильтром | 1.1.1.2 и 1.1.1.3 | Нет | Не нужен | Семейный и без фильтра |
| ECS на основном адресе | Нет | Да | Нет | Нет |
| Оператор | Коммерческая компания, США | Коммерческая компания, США | Некоммерческий фонд, Швейцария | Коммерческая компания, Кипр |
| DoH / DoT | Да / Да | Да / Да | Да / Да | Да / Да |
| DoQ | Нет | Нет | Нет | Да |
Выбор по задаче: нужен резолвер, который ничего не решает за вас и не передаёт часть вашего адреса дальше, — Cloudflare; нужна максимальная точность геопривязки CDN за счёт ECS — Google; нужна защита от вредоносных доменов без вмешательства в контент — Quad9; нужно убрать рекламу на всех устройствах — AdGuard. Развёрнутое сравнение есть в обзоре публичных DNS-серверов.
Про «самый быстрый DNS»
Cloudflare часто называют самым быстрым резолвером, и в сравнительных замерах он действительно нередко впереди. Но эти замеры усредняют весь мир, а вам важна одна точка — ваша.
Скорость определяется расстоянием до ближайшей точки присутствия конкретной сети и качеством маршрута до неё. У сети с большим числом точек шансы выше, но гарантии нет: бывает, что провайдер маршрутизирует трафик к «ближайшей» точке через другую страну. Единственный честный способ — замерить.
# Сравнить время ответа трёх резолверов с вашей точки
for R in 1.1.1.1 9.9.9.9 94.140.14.14; do
echo -n "$R: "
dig +noall +stats example.com @$R | awk '/Query time/{print $4, $5}'
doneЗапускайте замер два-три раза: первый запрос к домену может уйти мимо кэша резолвера и оказаться заметно медленнее последующих. Сравнивать честно — по повторным ответам.
Как проверить, что всё работает
Проверять надо три вещи: какой резолвер реально отвечает, не подменяет ли кто-то ответ по пути и не сломалось ли нужное.
Если dig недоступен, то же делается из браузера. DNS Lookup показывает ответы по всем типам записей и сравнивает выдачу двух десятков резолверов в одной таблице — расхождение Cloudflare с остальными видно сразу. Когда есть подозрение на подмену по пути, сверьте ответ через проверку распространения DNS: одинаковые ответы у всех, кроме вашего канала, — признак вмешательства, а не проблемы домена.
Владельцам сайтов: если ваши записи по какой-то причине перестали резолвиться у крупного публичного резолвера, часть аудитории просто не откроет сайт и не сообщит об этом. Записи можно поставить на постоянный мониторинг — тогда это станет уведомлением, а не падением трафика.
Чеклист перехода
- Выберите пару: .1 — без фильтра, .2 — с защитой от угроз, .3 — плюс взрослый контент.
- Пропишите оба адреса выбранной пары, не смешивая пары.
- Начните с роутера, чтобы накрыть устройства без своих настроек DNS.
- Добавьте IPv6-адреса, если IPv6 в сети поднят.
- Включите DoH или DoT, если важна приватность запросов.
- Сбросьте кэш системы и браузера.
- Проверьте, что отвечает именно Cloudflare, а не старый резолвер из кэша.
- Если 1.1.1.1 молчит — проверьте 1.0.0.1 до того, как искать поломку у себя.
- Не путайте смену резолвера с включением WARP: это разные вещи.
- Замерьте время ответа у себя, а не доверяйте усреднённым обзорам.
Частые вопросы
Cloudflare DNS бесплатный?
Да, публичные адреса бесплатны и не требуют регистрации. Платные продукты компании — это CDN, защита и корпоративный фильтрующий резолвер, к 1.1.1.1 они отношения не имеют.
1.1.1.1 не отвечает, а другие резолверы работают. Что это?
Чаще всего — особая обработка этого адреса в вашей сети: он годами использовался как заглушка в сетевом оборудовании. Попробуйте 1.0.0.1: если он отвечает, используйте его как основной.
Блокирует ли Cloudflare вредоносные сайты?
На основном адресе — нет, он отдаёт ответ как есть. Для фильтрации есть 1.1.1.2, для фильтрации плюс взрослого контента — 1.1.1.3.
Cloudflare WARP — это VPN? И чем он отличается от адреса 1.1.1.1?
Адрес меняет только резолвер. Приложение в режиме WARP заворачивает весь трафик в шифрованный туннель и меняет видимый IP-адрес — это принципиально другая вещь, хотя название одно. По устройству WARP похож на VPN, но задуман для защиты соединения, а не для смены страны.
Правда ли, что он самый быстрый?
В усреднённых замерах часто да, но усреднение по миру ничего не говорит о вашей точке. Замерьте три резолвера у себя — это минута работы и единственный честный ответ.
Нужен ли резервный резолвер?
Указывайте оба адреса пары. Полезно также помнить адрес резолвера другого оператора: если недоступна вся сеть Cloudflare, вторая её пара не поможет, а чужой резолвер поможет.
