Windows 11でDNS over HTTPS（DoH）を有効にしてプライバシーを向上させる方法

インフォマテックデジタル » Recursos » Windows 11でDNS over HTTPS（DoH）を有効にしてプライバシーを向上させる方法

オンライン活動が他人にどう見られるかが気になるようになったら、Windows 11には、ほとんど誰も使っていないものの、プライバシー保護に大きな効果を発揮する強力な設定があります。それは、DNS over HTTPS（DoH）を使用したDNS暗号化です。いくつかの設定を変更するだけで、DNSリクエストは平文で送信されるのではなく、安全な接続内で保護されます。

Windows 11でDoHを有効にするのに、特別なプログラムをインストールしたり、ネットワークの専門知識は必要ありません。システム設定からわずか数分で構成できます。有効にすることで、インターネットサービスプロバイダ、公共ネットワーク管理者、あるいは潜在的な攻撃者が、アクセスしたWebサイトを監視したり、閲覧履歴を記録したり、接続を操作したりすることがはるかに困難になります。DoHとは何か、なぜ有効にする価値があるのか​​、段階的に有効化する方法、そしてWindowsエコシステム内で利用できる高度なオプションについて詳しく見ていきましょう。

DNS とは何ですか? なぜ DNS はプライバシーに大きな影響を与えるのですか?

adslzone.comなどのウェブサイトのアドレスをブラウザに入力しても、コンピュータはそのテキストを使って直接接続するわけではありません。ネットワークが実際に理解するのは数値のIPアドレスなので、ウェブサイトを読み込む前に、DNSサーバーに問い合わせてそのドメインがどこでホストされているかを調べる必要があります。

DNSはインターネット電話帳のようなもので、名前を入力すると対応する番号（IPアドレス）が返されます。問題は、デフォルト設定ではこのクエリが暗号化されずに平文で送信されることです。つまり、PCとインターネットの間にあるあらゆるデバイス（インターネットサービスプロバイダ、公共Wi-Fiホットスポット、侵害されたルーター、同じネットワーク上の攻撃者など）が、解決しようとしているアドレスを見ることができるのです。

さらに、多くのプロバイダーはこの状況を利用して、あなたが訪問したすべてのウェブサイトの非常に詳細な履歴を作成します。これは極めて機密性の高い情報であり、あなたがどのようなサービスを利用しているか、どのようなことに興味を持っているか、どのようなスケジュールで行動しているかなど、ユーザーとしてのあなたのプロファイルを作成できるためです。このデータは広告に利用されたり、第三者に販売されたり、最悪の場合、悪意のある人物の手に渡ってしまう可能性があります。

また、暗号化がない場合、特定の組織がDNSレベルでウェブサイトをブロックしたり、ドメインを広告サイトにリダイレクトしたり、さらには応答を操作して攻撃を仕掛けたりできることも重要です。これらはすべて、従来のDNSトラフィックが平文で送信され、完全性が保証されていないという事実を利用して行われます。

DNS over HTTPS (DoH) とは何ですか? また、どのような利点がありますか?

DNS over HTTPS（DoH）とは、従来のDNSリクエストを暗号化されたHTTPS接続内にカプセル化するシステムです。これは、ブラウザに鍵マークが表示される安全なウェブサイトにアクセスする際に使用される暗号化方式と同じものですが、ドメイン名を解決するためにコンピュータが使用する通信経路に適用されます。

DoHが有効になっている場合、DNSクエリは途中の第三者には容易に見えなくなります。第三者が見るのは、DNSプロバイダーのサーバーへの暗号化されたHTTPSトラフィックのみです。どのドメインがクエリされているかを読み取ることも、接続のセキュリティを損なうことなく応答を改変することもできません。

Windows 11でDNS over HTTPSを有効にする主な利点としては、いくつか挙げられます。まず、インターネットサービスプロバイダがドメインの履歴全体を容易に閲覧または記録できなくなります。次に、第三者によるリクエストの傍受や改ざんが大幅に困難になります。さらに、場合によっては、一部のプロバイダが実装している基本的なDNSレベルのブロックを回避するのに役立つこともあります。

暗号化によって各リクエストにわずかな追加処理が発生することは留意すべき点ですが、実際にはパフォーマンスの低下はごくわずかで、ほとんどのユーザーにとって感知できない程度です。その代わりに、プライバシーとセキュリティが大幅に向上するため、全体としては暗号化を有効にする方がはるかにメリットが大きいと言えます。

Windows 11でDNS over HTTPS（DoH）を有効にする手順

Windows 11にはDNS over HTTPSがネイティブでサポートされているため、外部プログラムは必要ありません。手順は大きく分けて2つです。まず、DoH互換のDNSサーバーを手動で設定し、次にそれらのサーバーで使用する暗号化方式を選択します。

1. Windows 11のネットワーク設定にアクセスする

まず最初に、システム設定アプリを開きます。最も簡単な方法は、WindowsキーとIキーを同時に押すことです。スタートメニューからも開くことができますが、何度も繰り返す場合はショートカットキーの方が便利です。

設定で「ネットワークとインターネット」セクションに移動します。そこには、Wi-Fi接続とイーサネット（有線）接続の両方のオプションが表示されます。現在使用している接続を選択してください。Wi-Fiでインターネットを閲覧している場合は「Wi-Fi」をタップし、有線接続を使用している場合は「イーサネット」をタップします。

該当セクションに移動したら、現在接続中の機器を探し、「ハードウェアプロパティ」またはネットワークの詳細を表示する項目をクリックします。そこから、そのインターフェースのIPアドレスとDNS設定を変更できます。

2. DNS割り当てを手動に変更する

接続設定画面には、 「DNSサーバー割り当て」という項目があります。通常は「自動（DHCP）」に設定されています。これは、ルーターまたはインターネットサービスプロバイダが使用するDNSサーバーと、それらのリクエストの処理方法を決定することを意味します。

そのセクションの「編集」ボタンをクリックしてください。ポップアップウィンドウが開きますので、設定ドロップダウンメニューから「手動」を選択してください。この変更により、ネットワークによって割り当てられたDNSサーバーではなく、使用するDNSサーバーを指定できます。

手動設定では、IPv4スイッチを有効にし、ネットワークが対応している場合はIPv6スイッチも有効にしてください。ほとんどの家庭用インターネット接続はIPv4で問題なく動作しますが、IPv6はますます普及しているため、利用可能であれば有効にして、そのプロトコルを使用してクエリを実行できるようにすることをお勧めします。

3. DoHと互換性のあるDNSサーバーを選択する

手動モードを有効にすると、DNSサーバーのIPアドレスを入力するフィールドが表示されます。Windows 11には既知のDoHサーバーの内部リストが含まれているため、ここでDNS over HTTPSを公式にサポートするプロバイダーの詳細を入力する必要があります。

最も一般的に使用されるもののいくつかは、Windows の自動暗号化構成の内部リストにすでに含まれているもので、次のとおりです。

• CloudFlare優先DNSは1.1.1.1、代替DNSは1.0.0.1です。また、IPv6アドレスは2606:4700:4700::1111と2606:4700:4700::1001です。
• Googleの公開DNS8.8.8.8 を優先サーバー、8.8.4.4 を代替サーバーとして設定します。IPv6 では、2001:4860:4860::8888 と 2001:4860:4860::8844 を使用します。
• Quad99.9.9.9 が優先アドレス、149.112.112.112 が代替アドレスです。IPv6 では、2620:fe::fe や 2620:fe::fe:9 などが存在します。

例えば、 IPv4 の「優先 DNS」と「代替 DNS」のフィールドに、Google または Cloudflare のアドレスを入力します。IPv6 も有効にしている場合は、対応するフィールドに選択したプロバイダの IPv6 アドレスを入力します。これにより、Windows 11 はこれらのサーバーが DoH をサポートしていることを認識し、さまざまな暗号化オプションを提供できるようになります。

4. Windows 11でDNS暗号化（DoH）を構成する

各プロトコルのDNSアドレスのすぐ下に、Windows 11のバージョンと構成したサーバーの種類に応じて、暗号化関連のオプションが1つ以上表示されます。ここで、DNS over HTTPSを有効にし、コンピューターがこれらのクエリをどのように処理するかを設定できます。

多くの構成において、Windowsは優先DNSサーバーと代替DNSサーバーを選択するための「DNS暗号化」または「DNS over HTTPS」メニューを表示します。ここには、他のオプションに加えて、次のような項目が表示される場合があります。

• 暗号化のみ（DNS over HTTPS）クライアントは常にそのサーバーに対してDoHの使用を試みます。サーバーまたは安全な接続に失敗した場合には、プレーンテキストクエリは実行されません。
• 暗号化を推奨、暗号化は許可しない (または同様のテキスト): 最初に DoH が試行され、それが不可能な場合は、暗号化なしの従来のクエリが復元されます。
• 暗号化されていないもののみ: 従来のプレーンテキスト DNS のみを使用して、特定のサーバーの DoH を無効にします。

プライバシーを最優先し、徹底的に保護したい場合は、優先サーバーと代替サーバーの両方で「暗号化のみ（DNS over HTTPS）」を選択してください。こうすることで、これらのサーバーへのすべてのDNSトラフィックは常にHTTPS経由で送信され、平文で送信されることはありません。

インターフェースのテキストによっては、 「有効（自動テンプレート） 」というオプションが表示される場合があります。これは、Windows 11 がそのサーバーを既知の DoH リゾルバーのリストの一部として認識し、ユーザーが手動で指定しなくても、適切な HTTPS テンプレートを自動的に使用して暗号化されたリクエストを送信することを示しています。

5. 特定のベンダーで手動DoHテンプレートを使用する

サーバーによっては、あるいはより詳細な制御が必要な場合は、 HTTPS 上で手動 DNS テンプレートを使用できる場合があります。これにより、プロバイダが DoH サービスに使用する URL を直接指定できます。

例えば、Quad9の高度な設定では、ECS（EDNSクライアントサブネット）などのオプションを含む特定のテンプレートを指定することで、最寄りのデータセンターから名前解決が行われるようにすることができます。そのテンプレートフィールドには、プロバイダがDoHエンドポイント用に文書化しているURLなどを入力します。

手動テンプレートオプションを選択する場合は、DNSサービスが公式ドキュメントで提供しているアドレスを正確にコピーしてください。入力ミスがあると、暗号化が失敗したり、ドメイン解決が全くできなくなったりする可能性があります。

DNS over HTTPSが動作しているかどうかを確認する方法

接続設定の変更を保存すると、通常はDNSリクエストは暗号化されます。とはいえ、すべてが正しく適用されているか、そして知らず知らずのうちに平文で閲覧していないかを確認するために、いくつかチェックしておくことをお勧めします。

Windows設定からの検証

設定 > ネットワークとインターネット > Wi-Fi または Ethernet （使用している接続方法に応じて）に戻り、接続のハードウェアプロパティに再度アクセスします。先ほど設定した DNS サーバーアドレスが表示されているセクションまでスクロールしてください。

すべてが正常に動作していれば、各DNSサーバーのIPアドレスの横に「（暗号化済み）」などのラベルが表示されます。このラベルは、WindowsがサーバーをDoH準拠として認識し、クエリを暗号化していることを最も簡単に確認できる方法です。

PowerShellでDoHをチェックする

HTTPS 上の DNS の状態を確認するもう 1 つの非常に確実な方法は、 Windows の高度なコンソールであるPowerShellを使用することです。これを行うには、スタート メニューを開き、「PowerShell」を検索して右クリックし、「管理者として実行」を選択して必要な権限を取得します。

開いたウィンドウに、次のコマンドを入力してEnterキーを押してください。

Get-DnsClientDohServerAddress

このコマンドの出力には、 Windows DNSクライアントが認識しているDoHサーバーの一覧が表示されます。これには、ユーザーが設定したサーバーも含まれます。各サーバーのIPアドレスとステータスが表示されます。設定済みのDNSサーバーに「有効」と表示されていれば、コンピューターはそれらのサーバーとDoHを使用していることを意味します。

オンラインテストを使用して暗号化を確認する

追加の確認方法として、一部のDNSプロバイダーが提供するテストページを利用することもできます。例えば、Cloudflareは、ブラウザがDNS over HTTPSまたはDNS over TLSを使用しているかどうかを確認できるオンラインツールを提供しています。普段お使いのブラウザからこれらのページにアクセスし、指示に従ってください。

これらのテストはブラウザに焦点を当てていますが、Windows の設定や PowerShell で確認した内容を補完する良い参考資料となり、クエリがシステムから暗号化されて送信されることを確認できます。

Windows Server 2022 の DNS over HTTPS とグループ ポリシー

Windows 11に加え、MicrosoftはWindows Server 2022以降でDNS over HTTPSのサポートを組み込みました。これらのシステムでは、DNSクライアントはデスクトップ環境と同様に、既知のDoHリゾルバのリストにあるサーバーに対してHTTPSを使用して暗号化された接続を確立できます。

デスクトップ環境を備えたWindows Serverでは、基本的な設定はWindows 11と同様に、[設定] > [ネットワークとインターネット] > [イーサネット]パネルから行います。設定するネットワークインターフェイスを選択し、そのネットワーク画面に入り、「DNS設定」までスクロールダウンして、[編集]をクリックすると、モードが自動から手動に変わります。

そこから、既知のDoHサーバーのリストにあるDNSサーバーを入力します。リストにある場合は、「優先DNS暗号化」ドロップダウンが有効になり、そこからいくつかの動作を選択できます。

• 暗号化のみ（DNS over HTTPS）すべてのDNSクエリはDoHを使用して試行されます。サーバーがDoHをサポートしていない場合、またはHTTPS接続に失敗した場合、解決も失敗します。
• 推奨暗号と暗号化されていない暗号がサポートされていますDoH が優先されますが、何らかの理由でそれが不可能な場合は、暗号化されていないプレーンテキストの DNS クエリに戻ります。
• 暗号化されていないもののみそのサーバーでは DoH が無効になっており、従来の DNS のみが使用されます。

PowerShellとコマンドレットを使用してWindows Server DNSアドレスを構成する場合 Set-DnsClientServerAddressDoHの動作は、それらのアドレスが 既知のDoHサーバーの内部テーブルに表示されるか表示されないか現時点では、その特定のDoH構成はまだ調整できません。 Windows 管理センター 次のようなツールでも sconfig.cmd サーバー 2022 で。

グループポリシーを使用してDoHを構成する

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

このポリシーを有効にすることで、DNSクライアントの3つの主要な動作から選択できます。

• DoHを許可する設定されたDNSサーバーがDNS over HTTPSをサポートしている場合、クエリはDNS over HTTPSを使用して実行されます。サポートされていない場合は、暗号化されていないクエリが使用されます。
• バン・ドハ: DNS over HTTPS の使用を防止し、常に従来のプレーンテキスト DNS を強制します。
• DoHを要求する: すべてのクエリを DoH で実行するように強制します。サーバーがこれを受け入れない場合、名前解決は失敗します。

ドメインに参加しているコンピューターで「DoHを必須にする」オプションを使用する際は注意が必要です。Active Directoryサービスは従来のDNSに大きく依存しており、Windows DNSサーバーの役割はDoHクエリをネイティブにサポートしていないためです。このようなネットワークでは、内部DNSトラフィックを保護するために、IPsecベースの接続セキュリティルールなどのソリューションを使用して、クライアントとサーバー間のトラフィックを暗号化する方が通常は良いでしょう。

Windows 上の既知の DoH サーバーのリスト

Windows 11とWindows Serverの両方には、DoHをサポートすることが確認されているDNSサーバーのリストが組み込まれています。このリストにより、システムは特定のサーバーに対して暗号化オプションと自動テンプレートを自動的に有効にすることができます。

リストにあるサーバーを確認するには、次のコマンドレットを使用します。 Get-DnsClientDohServerAddress PowerShell で。表示される最も一般的なプロバイダーには、Cloudflare、Google、Quad9 があり、それぞれに、既に述べた 1.1.1.1、8.8.8.8、9.9.9.9 などの最もよく知られている IPv4 および IPv6 アドレスと、それらの代替アドレスが表示されます。

既知のサーバーテーブルに新しいサーバー（例えば、独自のリゾルバーや専門のサードパーティのサーバーなど）を追加する場合は、次のコマンドを使用します。 Add-DnsClientDohServerAddress サーバーのIPアドレス、DoHテンプレート、および障害発生時にUDPへの復帰を許可するかどうかを指定します。

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

このようにすることで、Windows はサーバーが DoH をサポートしていることを認識し、常にそれを安全に使用しようとし、選択されたオプションに応じて、暗号化されていないクエリに戻ることを可能な限り回避します。

DoH で NRPT (名前解決ポリシーテーブル) を使用する

複雑な企業ネットワークやハイブリッド構成などの高度なシナリオでは、名前解決ポリシーテーブル（NRPT）を使用して、特定のドメインに対するクエリを指定されたDNSサーバーに転送できます。これらのサーバーがドメインベースDNS（DoH）をサポートし、そのように登録されている場合、これらの名前空間に対するクエリはDNS over HTTPSを使用して実行されます。

これにより、例えば、特定の重要ドメインや特に機密性の高いドメインは、 DoHが有効になっている信頼できるリゾルバを介して常に解決されるように設定できる一方、その他のDNSトラフィックは別のポリシーに従ったり、別のサーバーを使用したりすることが可能になります。

Windows 11（および該当する場合はWindows Server 2022）でDNS over HTTPSを有効にして活用することは、コンピュータの使い方を大きく変えることなく、日常のブラウジングのプライバシーとセキュリティを向上させる比較的簡単な方法です。いくつかの設定手順と追加のチェックを行うことで、DNSクエリは平文で誰でも閲覧できる脆弱なポイントではなくなり、暗号化された接続内で保護されて送信されるようになります。これは、今日の安全な接続に求められる水準に非常に近いものです。