Почему podkop DNS роутера не проходит через sing‑box (2026)

Если вы настроили на роутере sing‑box с TUN и hijack‑dns, но DNS‑запросы не уходят в туннель (остаются на роутере или идут напрямую), скорее всего, проблема в версии sing‑box или в конфликте с локальным DNS‑резолвером. Вам нужно проверить версию sing‑box, настройки DNS в конфиге и убедиться, что роутер правильно перехватывает порт 53. На личном VPS SANSARA это делается через кабинет и Telegram‑бота — без терминала и ручной установки панелей.

Коротко:

• Podkop DNS на роутере означает: все DNS‑запросы с устройств в сети должны идти через ваш защищённый канал на личном VPS.
• Если запросы остаются на роутере или идут напрямую — скорее всего, sing‑box не перехватывает порт 53 или конфликтует с systemd‑resolved/dnsmasq.
• Решение: проверить версию sing‑box (известные проблемы в 1.13.2), настроить DNS в конфиге под TUN, убедиться, что роутер не блокирует локальный DNS.
• С SANSARA вы получаете готовый личный сервер в одной из 9+ стран, импортируете конфиг в клиент и настраиваете роутер по инструкции ниже.

Что это и кому подходит

Podkop DNS на роутере — это настройка, при которой все DNS‑запросы домашней сети автоматически направляются через ваш личный VPS, а не через провайдера или публичные серверы. Это полезно, если вы хотите:

• Скрыть DNS‑запросы от провайдера.
• Обойти локальные блокировки DNS.
• Централизованно управлять DNS для всех устройств (телефоны, ноутбуки, ТВ‑приставки).

Настройка подходит тем, у кого есть:

• Роутер с поддержкой OpenWrt, AsusWRT‑Merlin или другой прошивки, где можно запустить sing‑box.
• Личный VPS SANSARA с готовым подключением (регистрация → данные в кабинете → импорт в клиент).
• Базовые навыки редактирования конфигов (JSON/YAML).

Если вы не хотите возиться с роутером, можно настроить sing‑box напрямую на каждом устройстве — iPhone, Android, Windows, macOS. Тогда DNS будет идти через туннель только с этого устройства, но без возни с роутером.

Как настроить по шагам (с личным VPS SANSARA)

Шаг 1. Получите личный VPS SANSARA

1. 01Зарегистрируйтесь в SANSARA.
2. 02В кабинете выберите страну (доступно 9+ локаций в Европе и других регионах).
3. 03Активируйте личный сервер — старт «в один клик», без терминала и панелей.
4. 04Скопируйте данные подключения (сервер, порт, метод, пароль/ключ) или получите готовый конфиг через Telegram‑бота SANSARA.

Шаг 2. Подготовьте конфиг sing‑box для роутера

Пример минимального конфига для роутера с TUN и перехватом DNS:

`json { "dns": { "servers": [ { "address": "tls://1.1.1.1", "detour": "proxy-out" } ], "final": "proxy-out" }, "inbounds": [ { "type": "tun", "tag": "tun-in", "interface_name": "tun0", "mtu": 1500, "stack": "mixed", "endpoint_independent_nat": true, "sniff": true } ], "outbounds": [ { "type": "your-protocol", // например shadowsocks, hysteria2 и т.д. "tag": "proxy-out", "server": "your-sansara-server", "server_port": your-port, "method": "your-method", "password": "your-password" }, { "type": "direct", "tag": "direct" } ], "route": { "rules": [ { "protocol": "dns", "outbound": "proxy-out" } ] } } `

Важные моменты:

• В секции dns укажите сервер, который будет использоваться через туннель (detour: proxy-out).
• "final": "proxy-out" означает, что все DNS‑запросы по умолчанию идут через туннель.
• В route.rules правило "protocol": "dns" гарантирует, что DNS‑трафик всегда направляется в proxy-out.

Шаг 3. Проверьте версию sing‑box на роутере

Известная проблема: в версии 1.13.2 на Linux с TUN и hijack-dns возникают DNS‑петли через systemd‑resolved. Если у вас похожие симптомы:

• DNS не разрешается, хотя ping до IP работает.
• В логах sing‑box видны повторяющиеся запросы на 127.0.0.1:53.

Решение:

• Убедитесь, что используете стабильную версию (например, 1.12.4 или новее, где проблема исправлена).
• Если нужно, скачайте актуальную версию с официального сайта sing‑box.

Шаг 4. Настройте перехват DNS на роутере

На OpenWrt/AsusWRT‑Merlin обычно нужно:

1. 01Убедиться, что sing‑box запущен с TUN и hijack-dns (если поддерживается).
2. 02Проверить, что роутер не использует локальный DNS‑сервер (dnsmasq, systemd‑resolved) на порту 53, который конфликтует с sing‑box.
3. 03При необходимости отключить локальный резолвер или перенаправить порт 53 на sing‑box.

Пример проверки на Linux‑роутере:

`bash netstat -tulpn | grep :53 `

Если видите что‑то кроме sing‑box — это может быть причиной.

Шаг 5. Проверьте работу

1. 01Перезапустите sing‑box на роутере.
2. 02Подключите любое устройство к Wi‑Fi.
3. 03Откройте сайт, который раньше не открывался, или проверьте DNS‑запросы через инструменты вроде dig/nslookup.
4. 04Убедитесь, что запросы идут через ваш личный VPS SANSARA.

Устройства: iPhone, Android, Windows, macOS

Если настройка роутера кажется сложной, можно настроить sing‑box прямо на устройствах. Для этого:

• iPhone / Android: используйте клиенты с поддержкой sing‑box (например, SFA, SFI, SingBox для Android). Импортируйте конфиг из SANSARA (через кабинет или Telegram‑бота), включите TUN — DNS будет идти через туннель.
• Windows / macOS: установите официальный клиент sing‑box, импортируйте конфиг от SANSARA, настройте TUN. Системный DNS автоматически направится через защищённый канал.

Преимущество этого подхода:

• Не нужно трогать роутер.
• Каждое устройство работает независимо.
• Легко менять локации SANSARA (9+ стран) прямо в клиенте.

Недостаток:

• DNS‑запросы других устройств в сети (ТВ, умные колонки) не будут защищены.

Частые ошибки и как их избежать

1. 01DNS остаётся на роутере

• Причина: локальный DNS‑сервер (dnsmasq, systemd‑resolved) перехватывает порт 53.
• Решение: проверьте, кто слушает порт 53, и либо настройте перенаправление, либо отключите конфликтующий сервис.

1. 01Версия sing‑box вызывает петли DNS

• Причина: известный баг в 1.13.2 с TUN + hijack‑dns на Linux.
• Решение: обновитесь до стабильной версии или откатитесь на 1.12.4, если проблема воспроизводится.

1. 01Конфиг sing‑box не учитывает DNS через туннель

• Причина: в dns не указан detour или final, либо в route нет правила для protocol: dns.
• Решение: сверьтесь с примером выше и убедитесь, что DNS явно направляется в proxy-out.

1. 01Роутер блокирует нестандартные порты

• Причина: некоторые провайдеры или настройки роутера ограничивают исходящие соединения.
• Решение: проверьте, что роутер разрешает исходящие подключения на порт вашего личного VPS SANSARA.

1. 01Устройства используют жёстко прописанный DNS

• Причина: на телефоне или ПК вручную указан DNS (например, 8.8.8.8).
• Решение: сбросьте DNS на автоматический или убедитесь, что TUN в sing‑box перехватывает системные настройки.

FAQ

Итог

• Убедитесь, что используете актуальную версию sing‑box без известных DNS‑багов.
• Настройте в конфиге явное направление DNS через туннель (dns с detour и final, правило protocol: dns).
• Проверьте, что на роутере нет конфликтующих DNS‑сервисов на порту 53.
• Используйте личный VPS SANSARA для готового подключения без терминала и ручной установки.
• Если не хотите настраивать роутер, настройте sing‑box на каждом устройстве (iPhone, Android, Windows, macOS).