暗号化DNSの解説：DoHとDoTが実際に隠すもの、隠さないもの — そしてVPNのDNSが重要な理由
暗号化DNSの解説：DoHとDoTが実際に隠すもの、隠さないもの — そしてVPNのDNSが重要な理由
Web サイトを訪れるたびに、デバイスは多くの人が気づかない静かな問い合わせを行っています：「このドメイン名の IP アドレスは何？」 これが DNS — インターネットの電話帳 — です。Web の長い歴史の中で、この問いとその答えは平文で送信されてきました。つまり、あなたと DNS サーバーの間にいる誰もが読めたのです。暗号化 DNS はこれを修正します。本ガイドでは、その仕組み、正確に保護するもの、残された露出、そしてすでに実行しているかもしれない VPN との関係を解説します。
平文 DNS がプライバシー問題である理由
HTTPS でサイトに接続すると、セッションのコンテンツは暗号化されます。しかし、先に行われる DNS ルックアップは通常暗号化されていません。あなたのインターネットプロバイダー — あるいは同じネットワークにいる誰か — はそのルックアップを監視し、実際のページを読めなくても、あなたが訪れるドメインの完全なリストを作ることができます。
平文 DNS は 2 つの異なる害をもたらします。1 つ目は監視です。ISP はあなたが解決するドメインから閲覧履歴を記録し、さらには収益化することもできます。2 つ目は改ざんです。クエリが認証されていないため、ネットワークはルックアップをリダイレクトまたはブロックできます — 多くの DNS ベースの検閲や、危険な Wi-Fi で提供される偽のログインページの仕組みがこれです。暗号化 DNS は、ルックアップを暗号化と整合性保護で包むことで、両方に対処します。
DoH と DoT：ルックアップを暗号化する 2 つの方法
2 つの主流の標準があり、その違いは主にどのポートを使うか、つまりネットワーク上でどれほど目立つかにあります。
DNS over HTTPS（DoH） は、通常の HTTPS トラフィックの中に DNS クエリを入れ、ポート 443 で送信します。RFC 8484 で標準化されています。他の Web リクエストと同じように見えるため、ネットワークが特定してブロックするのは困難です — これこそがブラウザーが採用した理由です。Firefox、Chrome、Edge で最も頻繁にオンにする選択肢です。
DNS over TLS（DoT） は同じクエリを TLS で包みますが、専用ポート 853 を使います。これによりネットワーク上での管理がしやすく — 管理者は DoT トラフィックを明確に確認・制御できます — 一方、制限の厳しいネットワークに完全にブロックされやすくもなります。DoT は OS やルーターのレベルで一般的です（例えば Android のプライベート DNS）。
両方とも同じ中核的な保護を提供します。転送中のクエリは暗号化され、認証されるため、こっそり変更されることはありません。DoH は目立たないことを優先し、DoT はクリーンなネットワーク管理を優先します。プライバシーを重視する個人にとって、DoH は通常より弾力性のある選択です。
暗号化 DNS が実際に隠すもの、隠さないもの
ここは正直さが重要なポイントです。暗号化 DNS はしばしば過大評価されています。特定の問題をうまく解決しますが、他の問題には手をつけていません。
隠すもの：
あなたの DNS ルックアップの内容を、ISP やローカルネットワークの他の誰からも隠します — あなたがどのドメインを解決しているかを読むことができなくなります。
回答の整合性 — ネットワークがこっそりあなたのルックアップを悪意のある、あるいは検閲された宛先にリダイレクトできなくなります。
隠さないもの：
宛先 IP アドレス。 ルックアップ後、デバイスはその IP に接続し、ISP はその接続を見ます。よく知られた IP だけから、多くの場合サイトを推測できます。
TLS ハンドシェイク内のサーバー名（SNI）。 Encrypted Client Hello が使われていない限り、接続先のドメインは HTTPS 接続自体の最初のパケットに、DNS とは別に、依然として見えています。
リゾルバーからのあなたのクエリ。 暗号化 DNS は信頼を移動させるだけで、取り除くわけではありません。リゾルバーを運用するのが誰であれ — Cloudflare の 1.1.1.1、Google の 8.8.8.8、Quad9、あるいはあなたの ISP — すべてのルックアップが見えます。本当のプライバシーポリシーを持つものを選んでください。
一般的なメタデータ。 ルックアップが暗号化されていても、タイミング、通信量、接続パターンから情報は依然として漏れます。
暗号化 DNS は、あなたが調べたサイトをネットワークから隠します — しかし、その後の接続は依然として多くを明らかにし、選んだリゾルバーはすべてを見ます。これは基盤であって、隠蔽外套ではありません。
暗号化 DNS と VPN：異なるレイヤーを解決する
暗号化 DNS が VPN の代わりになるかどうか、よく聞かれます。なりません — 両者は異なる範囲で動作しており、これを理解することで一般的な間違いを防げます。
暗号化 DNS はDNS ルックアップのみを保護します。一方、VPN はすべてのトラフィック — ルックアップとその後の接続の両方 — を暗号化して VPN サーバーにトンネリングします。そのため、ISP はプロバイダーへの暗号化トンネルしか見えず、内部の宛先については何もわかりません。適切に設定された VPN は、DNS もあなたに代わって処理し、そのクエリをトンネル経由でプロバイダー独自のリゾルバーにルーティングします。
問題はまさにこの最後の詳細です。VPN が有効な間に、ブラウザーまたは OS が DoH を別のプロバイダーに送るよう設定されていると、DNS がトンネルの外に漏れ出すことがあります — これが典型的な DNS リークであり、意図しないリゾルバーにあなたのルックアップが露呈し、VPN を損ないます。解決策は、VPN に DNS の管理を任せるか、暗号化 DNS を VPN 独自のリゾルバーに向けてから確認することです。
確認と設定の方法
まずリークをテストする。 DNS リークテスト — 本サイトの暗号化 DNS およびリークツールを含む — を実行し、どのリゾルバーがあなたに応答しているか、それが期待するものかを正確に確認してください。VPN 接続中なのに ISP のリゾルバーが表示されたら、リークがあります。
意図的に暗号化 DNS を有効にする。 Firefox、Chrome、Edge でセキュア DNS / DNS over HTTPSを有効にし、信頼できるリゾルバーを選んでください。Android ではプライベート DNS（DoT）を使用し、最新の Windows や Apple システムでは OS レベルで暗号化 DNS が利用可能です。
VPN を使うときは DNS を任せる。 ルックアップがトンネル内に留まるよう、VPN 内蔵の DNS を優先し、それを他へルーティングしてしまう競合するブラウザー DoH 設定は無効にしてください。
重要なものとしてリゾルバーを選ぶ — それは本当に重要だから。 Cloudflare、Google、Quad9 はプライバシーポリシーを公開し、フィルタリング版も提供しています。ISP のリゾルバーは通常、最もプライバシーが低くなります。リゾルバーはあなたのルックアップを見るので、信頼こそがすべての判断です。
まとめ
暗号化 DNS は、最も安価なプライバシー強化策の 1 つです。ISP やローカルネットワークがあなたのルックアップを読み取ったり改ざんしたりするのを防ぎ、すべての最新ブラウザーと OS がサポートしています。しかし、それは 1 つのレイヤーにすぎません。その後の接続を隠すわけではなく、信頼をあなたが選んだリゾルバーに移しています。適切に設定された VPN — DNS を管理し、何も漏れないようにする VPN — と組み合わせれば、どちらのツール単独でも開いたままになる隙間を閉じられます。いつものように、動作していると決めつけず、テストして確認してください。
よくある質問
DoH と DoT の違いは何ですか？
両方とも DNS ルックアップを暗号化しますが、DNS over HTTPS（DoH）はポート 443 上の通常の HTTPS トラフィックの中にクエリを送るため、他の通信に紛れてブロックされにくくなっています。一方、DNS over TLS（DoT）は専用ポート 853 を使うため、ネットワーク管理はしやすくなりますが、ブロックされやすくなります。ブラウザーは通常 DoH を、OS やルーターは Android のプライベート DNS のように多くの場合 DoT を使います。
暗号化 DNS は ISP から閲覧を隠しますか？
部分的にです。DNS ルックアップの内容を隠し、ISP があなたがどのドメインを解決しているか読めなくし、改ざんを防ぎます。しかし、その後接続する宛先 IP アドレスや、Encrypted Client Hello が使われていない限り TLS ハンドシェイク内のサーバー名は隠しません。ISP に見えないより完全な保護が必要なら、すべてのトラフィックをトンネリングする VPN が必要です。
暗号化 DNS を使っていても VPN は必要ですか？
異なるレイヤーを解決します。暗号化 DNS は DNS ルックアップのみを保護します。VPN はルックアップとその後の接続を含むすべてのトラフィックを暗号化してトンネリングし、IP アドレスを隠します。暗号化 DNS は有用な基盤ですが、ISP やローカルネットワークに宛先について何も見せたくない場合、VPN の代わりにはなりません。
DNS リークとは何ですか？
DNS リークとは、DNS クエリが VPN トンネルの外を流れることです — 例えば、VPN が有効な間に、ブラウザーまたは OS が DNS over HTTPS を別のプロバイダーに送るよう設定されている場合です。その結果、意図しないリゾルバーがあなたのルックアップを見てしまい、VPN が損なわれます。DNS リークテストで検出し、VPN に DNS の管理を任せることで修正できます。
暗号化 DNS を使うと、誰が私の DNS クエリを見られますか？
あなたが選んだリゾルバー — Cloudflare の 1.1.1.1、Google の 8.8.8.8、Quad9、あるいはあなたの ISP など — は依然としてすべてのルックアップを見ます。暗号化 DNS は信頼をこのリゾルバーに移すだけで取り除くわけではないため、明確でプライバシーを尊重するポリシーを持つリゾルバーを選ぶことが重要です。ただし、ローカルネットワークや ISP は、転送中の暗号化されたルックアップを読むことはできなくなります。
