パブリックDNSリゾルバーの選択

ステップ1 · 対話型検索 自分の要件に合ったリゾルバーを見つけましょう。トランスポート、DNSSEC、IPv6、管轄区域、事業者タイプは厳密なフィルターです。優先順位はスコア化され、ランク付けされます。 私の優先事項 最大限のプライバシーとログなし 最小限または全くクエリを記録せず、プライバシーを最優先する事業者 マルウェアとフィッシングをブロック セキュリティブロックリストがデフォルトでオン、または簡単なバリアントで利用可能 広告とトラッカーをブロック ネットワーク全体の広告とトラッカーのフィルタリング ペアレンタルコントロールと成人向けコンテンツのブロック 家族向けまたは成人向けコンテンツフィルターが利用可能 フィルタリングなし（変更されていないDNS） 公開された通りの応答を返す 完全にカスタマイズ可能なフィルタリング アカウントを介して独自のブロックリストやルールを選択 トップティアの速度（グローバルエニーキャスト） 大規模な低遅延エニーキャストネットワーク 非営利事業者 NPO、レジストリ、コミュニティ、または公共の利益のための組織で、営利企業ではない 暗号化DNSをサポートしている必要があります DNS-over-HTTPS（DoH） DNS-over-TLS（DoT） DNS-over-QUIC（DoQ） DNSCrypt その他の要件 DNSSECを検証する必要がある IPv6を提供する必要がある IPv6リゾルバーアドレスを提供する 事業者の管轄区域 事業者タイプ 任意 非営利、コミュニティ、または公共の利益 営利 すべてのフィルターをクリア 推奨リゾルバー ステップ2 · 全体の比較 世界中の29のパブリックリゾルバーすべて 列ヘッダーをクリックしてソートします。名前、事業者、管轄区域、または機能で検索します。フィルターバリアントのアドレス（マルウェア、家族向け、フィルターなし）は、「フィルタリング」セルにリストされています。 リゾルバー 管轄区域 タイプ プライマリIP（v4 / v6） フィルタリング（デフォルトおよびバリアント） DNSSEC トランスポート ロギング ECSエビデンス 決定方法：研究が語ること 上記のトレードオフを形成すべき、査読済みのDNS測定研究からの知見です。 速度：プレーンDNSは最も遅延が低いが、暗号化されたDNSも追従 暗号化されたトランスポート（DoHとDoT）はクエリごとに遅延を追加しますが、ページ全体の読み込み時間はプレーンDNSと近く、DoHのオーバーヘッドは実際には小さいです。損失の多い、または高遅延のリンクでは、プレーンDo53が依然として優位です。パフォーマンスはプロバイダーや地域によっても異なるため、最速のリゾルバーはあなたの場所に依存します。Hounselら、WWW 2020; Böttgerら、IMC 2019; Chhabraら、IMC 2021。 暗号化されたDNSは、盗聴だけでなく改ざんにも耐える 暗号化されたDNSの最大のエンドツーエンド調査では、クエリがプレーンDNSよりも転送中に傍受または変更される可能性がはるかに低く、オーバーヘッドもわずかであることが判明しました。ただし、事業者の品質は様々で、その調査におけるDoTプロバイダーの約25%が無効なTLS証明書を提供していたため、適切に運用されているプロバイダーを推奨します。Luら、IMC 2019。 暗号化はネットワークからクエリを隠すが、リゾルバーからは隠さない どのプロバイダーを選択しても、あなたが検索するすべてのドメインが表示されます。それが心配な場合は、ログを取らない事業者、またはプロキシがあなたのIDをクエリから分離し、単一の当事者が両方を見ることができない「Oblivious Design（ODoH）」を推奨します。CloudflareとAppleはODoHを導入しています。Schmitt、Edmundson & Feamster、PoPETS 2019; Singanamallaら、2021。 DNSSEC検証こそが偽造された応答を阻止する 検証を行うリゾルバーのみが、偽装されたレコードからあなたを保護します。Google、Cloudflare、Quad9はすべて検証を行い、最初のルートキー（KSK）ロールオーバーをユーザーに問題なく処理しました。整合性が重要である場合、DNSSEC検証は必須とみなすべきです。Müllerら、IMC 2019。 ECSはプライバシーと引き換えに速度を提供する EDNS Client Subnetは、より良いジオルーティングのためにあなたのIPの一部をCDNに送信します。GoogleとOpenDNSはよりシャープなCDNマッピングのためにこれを送信しますが、Cloudflareと標準のQuad9はプライバシーのためにこれをオフにします。どちらを重視するかによって選択してください。「A Look at the ECS Behavior of DNS Resolvers」、IMC 2019。 管轄区域と集中化も重要 事業者の法的拠点により、強制できることやログされることが決定され、現在では一握りのプロバイダーが世界の再帰的トラフィックの大部分を処理しています。米国のNSAも、外部リゾルバーが内部DNSフィルタリングと検査をバイパスすると警告しており、利便性と制御を比較検討する必要があります。Mouraら、IMC 2020; NSAガイダンス、2021。 DNS-over-QUICは現在最速の暗号化トランスポート 2022年のDoQの測定では、応答時間においてすでにDoTとDoHの両方を上回っていることが判明しましたが、ハンドシェイクの約40%はQUICのアドレス検証制限によって遅延しました。あなたのクライアントとリゾルバーの両方がこれをサポートしている場合（Quad9、AdGuard、NextDNS、Control D、Mullvad、UncensoredDNS、およびここに挙げられている中国の主要なプロバイダー）、DoQは推奨される暗号化オプションです。Kosekら、PAM 2022。 DNSCrypt：最も古い暗号化オプションで、測定が最も困難 DNSCryptはDoH、DoT、DoQよりも古く（バージョン2は2013年）、リゾルバーの事前共有公開鍵を使用して最初のパケットから暗号化するため、プレーンテキストのホスト名ルックアップがなく、証明書機関に依存しません。また、Anonymized DNSモード（2019年）はクライアントIPも隠します。ここに挙げられているリゾルバーの中では、Quad9、OpenDNS、AdGuard、NextDNS、Control D、Yandexが提供しています。ただし、信頼できる利用数は不足しており、APNIC Labsのような大規模測定ではDoHとDoTは追跡されますがDNSCryptは追跡されないため、どれくらいの人が使用しているかを示す信頼できる公開データはありません。DNSCrypt Project; APNIC Labs暗号化DNS測定。 暗号化はどのサイトにアクセスしたかを隠さない DoHを使用しても、トラフィック分析によってアクセスしたドメインを高精度で特定でき、標準のEDNSパディングでは完全に防ぐことはできません。この脅威モデルがあなたに当てはまる場合、パディングに頼るのではなく、暗号化されたDNSをTorまたはOblivious Designと組み合わせて使用してください。Sibyら、NDSS 2020。 パブリックリゾルバーは同じように動作しない 主要なリゾルバー全体で拡張DNSエラーに関する2023年の調査では、テストケースの94%で診断エラー報告が一致せず、Cloudflareが最も正確であることが判明しました。実装の品質と標準への準拠はプロバイダー間で異なり、トラブルシューティングと信頼性に影響します。Nosyk、Korczyński & Duda、IMC 2023。 参照 A. Hounselら、「Comparing the Effects of DNS, DoT, and DoH on Web Performance」、WWW 2020（arXiv:1907.08089）。 T. Böttgerら、「An Empirical Study of the Cost of DNS-over-HTTPS」、ACM IMC 2019。 R. Chhabra, P. Murley, D. Kumar, M. Bailey, G. Wang、「Measuring DNS-over-HTTPS Performance Around the World」、ACM IMC 2021。 C. Luら、「An End-to-End, Large-Scale Measurement of DNS-over-Encryption: How Far Have We Come?」、ACM IMC 2019。 M. Kosekら、「One to Rule Them All? A First Look at DNS over QUIC」、PAM 2022（arXiv:2202.02987）。 S. Sibyら、「Encrypted DNS => Privacy? A Traffic Analysis Perspective」、NDSS 2020（arXiv:1906.09682）。 P. Schmitt, A. Edmundson, N. Feamster、「Oblivious DNS: Practical Privacy for DNS Queries」、PoPETS 2019（arXiv:1806.00276）。 S. Singanamallaら、「Oblivious DNS over HTTPS (ODoH)」、arXiv:2011.10121。 M. Müllerら、「Roll, Roll, Roll your Root: Analysis of the First Ever DNSSEC Root KSK Rollover」、ACM IMC 2019。 「A Look at the ECS Behavior of DNS Resolvers」、ACM IMC 2019。 G. Moura, S. Castro, W. Hardaker, M. Wullink, C. Hesselman、「Clouding up the Internet: how centralized is DNS traffic becoming?」、ACM IMC 2020。 Y. Nosyk, M. Korczyński, A. Duda、「Extended DNS Errors: Unlocking the Full Potential of DNS Troubleshooting」、ACM IMC 2023。 運用およびコミュニティデータ 査読済みではありませんが、権威があり、継続的に更新されています。リゾルバーエコシステムの現状を確認するのに役立ちます。 ICANN Identifier Technology Health Indicators (ITHI)：DNSSEC検証を実行するリゾルバーの割合と、リゾルバーの集中度（ごく少数のリゾルバーがほとんどのクエリを処理しているか）を追跡します。 DNS-OARCワークショップの講演と過去のイベントアーカイブ：暗号化されたDNS、リゾルバーのパフォーマンス、測定に関する半期ごとの事業者と研究者のプレゼンテーション。 APNIC Labs測定（多くのOARCおよびICANNの講演の背後にあるライブデータ、Geoff Huston著）：国別のDNSSEC検証率、パブリックリゾルバーの使用、およびDoHとDoTの採用。 小規模でコミュニティ運営のリゾルバー 上記の比較には含まれていない、ニッチ、趣味、または単一の事業者によるサービス。知っておく価値はありますが、利用する前に現在の状態とポリシーを確認してください。 DNS4all (194.0.5.3)：中立性とパフォーマンスに焦点を当てたヨーロッパのリゾルバー。フィルターなし。 BlahDNS：DoH、DoT、および広告ブロック機能を備えたオープンソースの趣味のプロジェクト。