Документация: обязательный production-профиль AmneziaDNS и правила DNS/53

README.md

@@ -132,6 +132,25 @@ docker exec "$C" wg show
 
 Ожидаемые имена контейнера по умолчанию: `amnezia-awg2` или `amnezia-awg`. Ожидаемый интерфейс внутри container netns: обычно `awg0`, fallback-кандидаты описаны в `config.example.toml`.
 
+### 3.1 Установить AmneziaDNS (обязательный production-шаг)
+
+Для production-профиля AWG2 установите AmneziaDNS из приложения AmneziaVPN после установки AmneziaWG/AWG:
+
+```text
+AmneziaVPN:
+Servers → <server> → Services → AmneziaDNS → Install
+```
+
+Затем включите использование DNS для подключения:
+
+```text
+Settings → Connection → DNS servers → Use AmneziaDNS
+```
+
+Security note:
+
+В ожидаемой production-схеме AmneziaDNS слушает `53/tcp` и `53/udp` внутри Docker и не публикуется на host interface. Не открывайте публично `53/tcp` или `53/udp` в host firewall; DNS должен быть доступен только через VPN-path.
+
 ### 4. Собрать пакет на build-machine
 
 На production-хосте не нужны Rust, cargo и source tree. Сборка делается отдельно.