CleanBrowsing DNSの設定：ファミリーフィルターのIPと検証結果

CleanBrowsing DNSとは？

CleanBrowsing DNSは無料のフィルタリングDNSサービスです。ルーターや端末のDNSを185.228.168.168と185.228.169.168に向けるだけで、ファミリーフィルターがアダルトコンテンツをブロックし、セーフサーチを強制し、子どもがVPNやプロキシのサイトに行けないようにします。 アカウントもアプリも要りません。無料のフィルターはファミリー、アダルト、セキュリティの3種類で、それぞれ専用のアドレスがあります。カスタムカテゴリーが使える有料プランもあります。

フィルタリングは名前の問い合わせの段階で行われます。ブロック対象の名前にはCleanBrowsingがNXDOMAIN（「そのドメインは存在しない」）を返すので、ページは読み込まれません。ChromeではDNS_PROBE_FINISHED_NXDOMAINと表示され、ほかのブラウザーでも「サーバーが見つかりません」に近いエラーになります。

無料サービスには制限があり、CleanBrowsingはフィルターのページで、帯域制限あり、サポートなし、カスタマイズ不可と明記しています。有料プランは年額75ドルからで（無料と有料の比較）、26以上のカテゴリー、許可・ブロックリスト、レポートが加わります。CleanBrowsingによると、無料フィルターは70以上のデータセンターで月に3,550億件を超えるクエリを処理しています。

CleanBrowsing DNSサーバーのアドレス一覧（IPv4・IPv6・DoH・DoT）

CleanBrowsingのフィルターのページに載っている無料フィルターのアドレスを、2026年10月26日に確認したものです。同じフィルターの2つのアドレスを両方使い、ネットワークがIPv6に対応している場合はIPv6の2つも設定してください。

アダルトフィルターのセカンダリは2種類公開されています。 フィルターのページには185.228.169.11、CleanBrowsingのセットアップガイドには185.228.169.10が載っています。私たちのテストではどちらもアダルトフィルターとして動作しましたが、.10はプライマリと同じくブロック対象にNXDOMAINを返し、.11は185.228.168.254を返します。こちらはCleanBrowsingの「Website Blocked」ページを表示するサーバーです。

IPv6アドレス6つはすべて私たちの回線から応答し、対応するIPv4と同じようにフィルタリングしました。

ファミリー・アダルト・セキュリティ：各フィルターのブロック範囲

ファミリーは、アダルト、混在コンテンツ、VPN・プロキシのサイト、マルウェアとフィッシングをブロックし、セーフサーチを強制します。アダルトはアダルトサイトと脅威をブロックしますが、Reddit、VPN、YouTubeはそのままです。セキュリティは脅威だけをブロックします。

2026年10月26日にインドから、3つのフィルターに同じ名前を問い合わせました。チェックマークは、その名前をブロックした（NXDOMAIN）か、検索エンジンのセーフ版に誘導したことを示します。

CleanBrowsing自身の説明を超える結果が3つありました。

• アダルトフィルターもセーフサーチを強制します。 CleanBrowsingの無料と有料の比較ページは「強制しない」とし、フィルターのページは「する」としています。実際にはファミリーと同じように、Google、Bing、DuckDuckGoをセーフ版に誘導しました。
• ファミリーのYouTube設定は「厳格」ではなく「中」です（次のセクションを参照）。
• ソーシャルアプリはどの無料フィルターでも開けます。 TikTok、Instagram、Discordは普通に名前解決できました。SNSやゲームのブロックには、有料プランか端末側の制限が必要です。

セーフサーチとYouTube：ファミリーフィルターが実際にすること

CleanBrowsingはDNSでセーフサーチを強制します。検索エンジンの名前を問い合わせると、セーフ固定版のアドレスが返ります。Googleの場合はforcesafesearch.google.com（216.239.38.120）で、ブラウザーの設定に関係なくセーフサーチをオンにした検索結果を返します。

ファミリーとアダルトのフィルターは、www.google.comとwww.google.co.inなどの各国サイトに216.239.38.120を返し、Bingはstrict.bing.com、DuckDuckGoはsafe.duckduckgo.comに誘導しました。セキュリティフィルターは何も変えません。

YouTubeは、主張と実測が食い違う部分です。CleanBrowsingのセーフサーチのガイドは、無料のファミリーフィルターが「厳格」の制限付きモードを使うと説明しています。GoogleのDNS方式には対象が2つあり、厳格はrestrict.youtube.com（216.239.38.120）、中はrestrictmoderate.youtube.com（216.239.38.119）です。ファミリーフィルターは、Googleが挙げるYouTubeの5つのホスト名すべて（アプリが使うyoutubei.googleapis.comを含む）に216.239.38.119、つまり「中」を返しました。アダルトフィルターはYouTubeを制限しません。

# Family filter: Google SafeSearch, Bing and YouTube (DNS Robot, 26 Oct 2026)
dig @185.228.168.168 www.google.com +short
# 216.239.38.120   <- forcesafesearch.google.com

dig @185.228.168.168 www.bing.com +short | head -1
# strict.bing.com.

dig @185.228.168.168 www.youtube.com +short
# 216.239.38.119   <- restrictmoderate.youtube.com (Moderate)

CleanBrowsingの速度テスト：インドでの結果

2026年10月26日、インドのJio回線の自宅から、すべてのアドレスの応答時間を測りました。有名なドメイン名（キャッシュあり）と初めて問い合わせる名前（キャッシュなし）それぞれ5回の中央値と、2秒以内に応答しなかった回数を数えるための20回の問い合わせです。CloudflareとOpenDNSのファミリーフィルターも同時に測っています。

同じフィルターでも2つのアドレスは同等ではありません。 CleanBrowsingは応答したサーバーの名前を返します（dig @185.228.168.168 id.server CH TXT）。私たちの回線では、185.228.168.xのアドレスはすべてシンガポール、185.228.169.xのアドレスはすべてロンドンが応答しました。そのため、キャッシュありの時間は約2倍（63〜79 msに対して152〜166 ms）になり、応答しない回数も増えました。IPv6のアドレスは、問い合わせごとに2つの都市を行き来しました。

ここではCloudflareとOpenDNSのほうが、キャッシュありの名前で約2倍速くなりました。 どちらもインド国内から応答したためです。初めて問い合わせる名前では差が小さくなりました（52〜68 msに対して66〜75 ms）。ヨーロッパや北米では順位が変わることもあるので、ご自分の回線で測ってください。

CleanBrowsingのDNS over HTTPSとDNS over TLS

無料の3つのフィルターはすべて暗号化DNSに対応しています。プロバイダーやWi-Fiの持ち主に問い合わせを読まれたり書き換えられたりするのを防げ、スマホではモバイルデータ通信でもフィルターが効き続けます。

• DNS over TLS（DoT）： フィルターのホスト名をポート853で使います（例：family-filter-dns.cleanbrowsing.org）。AndroidのプライベートDNSがこれを使います。3つのホスト名すべてで、*.cleanbrowsing.orgの有効な証明書によるTLS 1.3のハンドシェイクが完了し、通常のDNSと同じようにフィルタリングしました。接続を開いたままにした場合、ファミリーの中央値は3回の測定で78〜89 msでした。
• DNS over HTTPS（DoH）： https://doh.cleanbrowsing.org/doh/family-filter/（adult-filter、security-filterも可）。標準のRFC 8484クエリに応答し、ファミリーの中央値は83 msでした。Windows 11、ブラウザー、Appleのプロファイルで使えます。
• 有料プランでは、アカウントコードを含む専用のDoTホスト名とDoHパスが、CleanBrowsingのダッシュボードに表示されます。

# curl can resolve through a DoH server: allowed sites load, blocked ones don't resolve
curl -sI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://example.com | head -1
# HTTP/2 200

curl -sSI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://www.reddit.com
# curl: (6) Couldn't resolve host name

CleanBrowsingは安全？プライバシー、ログ、DNSSEC

無料フィルターについて、CleanBrowsingのプライバシーポリシーは、IPアドレスなど個人を特定できる情報をログに記録・保存せず、個人データを販売・貸与・共有しないとしています。一方で、匿名化したクエリデータ（問い合わせたドメイン）は保持し、無期限に保管する場合があり、姉妹ブランドのNOC、DNSArchive、Truncと匿名化したうえで共有します。

ネットワークの情報を他のDNSサーバーに渡すこともありません。Googleのo-o.myaddr.l.google.comによるテストでは、見えたのはCleanBrowsingのサーバーだけで、EDNSクライアントサブネット（ECS）はなく、Cloudflareと同じでした。OpenDNS FamilyShieldは、2回のうち1回、私たちの/24サブネットを渡しました。

DNSSECは弱点です。 検証を行うリゾルバーは、署名が壊れたドメインを拒否しなければなりません（dnssec-failed.orgなどのテスト用ドメインはSERVFAILになるはずです）。CleanBrowsingの応答はサーバーによって異なり、ソフトウェアのバージョンがv1.6aと表示されるノードは、壊れたドメインのアドレスを27回中27回返しました。一方、ロンドンの応答すべてを含むv1.7aのノードは拒否しました。Cloudflareの1.1.1.3とOpenDNS FamilyShieldは、20回の問い合わせすべてを拒否しました。古いノードが更新されるまでは、CleanBrowsingは偽の応答から確実には守ってくれません。

CleanBrowsing DNSの設定方法

ペアレンタルコントロールなら、まずルーターから始めましょう。Wi-Fiにつながるすべての端末が、ゲーム機やスマートテレビも含めてフィルタリングされ、子どもの端末にはオフにできる設定がありません。そのうえで、外に持ち出すスマホやノートPCにもそれぞれ設定してください。ルーターの設定はモバイルデータ通信や別のWi-Fiでは効かないためです。

ルーターで設定する（ペアレンタルコントロールに最適）

• ルーターの管理画面を開きます。アドレスは通常192.168.1.1か192.168.0.1です。各メーカーとプロバイダーの初期アドレスとパスワードは、ルーターログインガイドにまとめています。
• DNSの入力欄をインターネット、WAN、DHCPのいずれかの項目で探します。CleanBrowsingは、ネットワーク全体に適用されるようWAN設定で指定するよう案内しています。
• 既存のサーバーを185.228.168.168と185.228.169.168に置き換えます。IPv6の項目には2a0d:2a00:1::と2a0d:2a00:2::を入力します。ルーターがIPv6のカスタムDNSに対応していない場合は、IPv6のDNSをオフにしてください。
• 保存してルーターを再起動し、端末を再接続して変更を反映させます。

Android：プライベートDNS（Wi-Fiとモバイルデータ）

Android 9以降では、プライベートDNSを使って、すべてのネットワークで名前の問い合わせをDoTでCleanBrowsingに送れます。

• 設定 → ネットワークとインターネット → プライベート DNSを開きます（機種によっては詳細設定の中。Samsungでは接続 → その他の接続設定 → プライベートDNS）。
• プライベート DNS プロバイダのホスト名を選び、family-filter-dns.cleanbrowsing.orgを入力します（adult-filter-dns.cleanbrowsing.orgやsecurity-filter-dns.cleanbrowsing.orgでも可）。
• 保存をタップします。「接続できませんでした」と表示されたら、スペルを確認してください。学校や職場のネットワークにはポート853をブロックしているものがあります。

iPhoneとiPad

• おすすめ：暗号化DNSプロファイル。 iPhoneでCleanBrowsingのAppleプロファイルのページを開き、ファミリーフィルターを選んでプロファイルをダウンロードします（iOS 14以降）。続いて設定 → プロファイルがダウンロードされました → インストールを開きます。Wi-Fiでもモバイル通信でも、どのネットワークでもDoHで動作します。
• 特定のWi-Fiだけに設定する場合： 設定 → Wi-Fiで、ネットワークの横の(i)をタップし、DNSを構成 → 手動を選びます。既存のサーバーを削除し、185.228.168.168と185.228.169.168を追加します。
• プロファイルは設定から削除でき、VPNアプリはどんなDNSフィルターも回避します。スクリーンタイム → コンテンツとプライバシーの制限で新しいアプリのインストールをブロックし、スクリーンタイムのパスコードは自分だけが知るものにしてください。

Windows 11・10で設定する

• 設定 → ネットワークとインターネットを開き、Wi-Fi（続けてハードウェアのプロパティ）またはイーサネットを選びます。
• DNS サーバーの割り当ての横にある編集をクリックし、手動を選んでIPv4をオンにします。
• 優先 DNS に185.228.168.168、代替 DNS に185.228.169.168を入力します。Windows 11では、DNS over HTTPSをオン (手動テンプレート)にし、両方にhttps://doh.cleanbrowsing.org/doh/family-filter/を入力します。
• IPv6をオンにして2a0d:2a00:1::と2a0d:2a00:2::を追加し、保存します。Windows 10では、コントロール パネル → ネットワークと共有センター → アダプターの設定の変更を使うか、下のPowerShellの行を実行します。

# PowerShell as administrator (use "Ethernet" for a wired connection)
Set-DnsClientServerAddress -InterfaceAlias "Wi-Fi" -ServerAddresses 185.228.168.168,185.228.169.168,2a0d:2a00:1::,2a0d:2a00:2::
ipconfig /flushdns

macOSで設定する

• システム設定 → ネットワークを開き、Wi-Fi（またはEthernet）を選んで詳細をクリックします。
• DNSタブで古いサーバーを削除し、+をクリックして185.228.168.168、185.228.169.168、2a0d:2a00:1::、2a0d:2a00:2::を追加して、OKをクリックします。
• MacBookを別のネットワークに持ち出しても暗号化DNSが続くようにするには、代わりに同じAppleプロファイルをインストールします（macOS 11 Big Sur以降）。

# Terminal alternative, then clear the DNS cache
networksetup -setdnsservers Wi-Fi 185.228.168.168 185.228.169.168 2a0d:2a00:1:: 2a0d:2a00:2::
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

子どもはどうやってDNSフィルターを回避する？止める方法

DNSフィルターは、端末がそれに問い合わせている間しか機能しません。CleanBrowsingを回避する主な方法と、それぞれを止める方法は次のとおりです。

• 別のDNSサーバーを手入力する（8.8.8.8など）。対策：ルーターで、ポート53への通信をCleanBrowsingの範囲185.228.168.0/23だけに許可し、それ以外はリダイレクトまたはブロックします（ルールは下）。
• ブラウザーのDNS over HTTPS。 ファミリーは、dns.google、cloudflare-dns.com、mozilla.cloudflare-dns.com、dns.quad9.net、dns.nextdns.ioなどのDoHホスト名と、FirefoxがDoHを自動でオンにするのを止めるカナリアドメインuse-application-dns.netにNXDOMAINを返しました。ただしIPアドレスで直接指定したDoHサーバーは、ブラウザーが名前の問い合わせをせずに接続できるため通ってしまいます。管理しているパソコンでは、ポリシーでセキュアDNSをオフにしてください。
• AndroidのプライベートDNSをdns.googleに設定する方法：自宅のWi-Fiではファミリーがそのホスト名を解決しないので使えませんが、モバイルデータ通信では動きます。CleanBrowsing以外へのTCPポート853の外向き通信をブロックし、スマホ自体のプライベートDNSもCleanBrowsingにしておきましょう。
• VPNアプリとWebプロキシ。 ファミリーは、試したVPNとプロキシのサイトをすべてブロックしたので、Webプロキシは止まります。ただしアプリストアのVPNアプリは接続できてしまい、DNSがトンネルの中で動くため、DNSフィルターからは見えません。Google ファミリー リンクやスクリーンタイムでアプリのインストールを管理してください。
• IPv6と別のネットワーク。 プロバイダーのIPv6 DNS、近所のWi-Fi、モバイルデータ通信は、どれもルーターの設定をすり抜けます。IPv6サーバーも設定し、子どものスマホにはプライベートDNSかAppleプロファイルを入れてください。

# Linux/OpenWrt router (iptables; br-lan = your LAN interface)
# Redirect every plain DNS query from the LAN to CleanBrowsing Family
iptables -t nat -A PREROUTING -i br-lan -p udp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53
iptables -t nat -A PREROUTING -i br-lan -p tcp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53

# Block DNS over TLS to anyone but CleanBrowsing
iptables -A FORWARD -i br-lan -p tcp --dport 853 ! -d 185.228.168.0/23 -j REJECT

そのあと、DNS RobotのDNS Leak Testで各端末を確認します。表示されるリゾルバーはすべてCleanBrowsingのものになるはずです。GoogleやCloudflare、プロバイダーが出てきたら、その端末の何かがフィルターを迂回しています。暗号化DNSをブロックすると、ネットワークが暗号化DNSをブロックしているという警告がiPhoneに出ることがあります。その意味はこちら。

CleanBrowsing・Cloudflare 1.1.1.3・OpenDNS FamilyShieldの比較

Cloudflareの1.1.1.3とOpenDNS FamilyShieldは、もう2つの代表的な無料ファミリーフィルターです。2026年10月26日に、同じテストをそれぞれに実行しました。アドレスはCloudflareのドキュメントとOpenDNSのFamilyShieldのページによるものです。

年齢の低い子どもにはCleanBrowsing ファミリー： 3つの中で、Reddit系の混在コンテンツのブロックとYouTubeの制限ができる唯一のサービスで、子どもがフィルターを回避するのに使うVPNサイトやDoHサーバーもブロックします。Cloudflare 1.1.1.3は、RedditやYouTubeを開けたままでよく、アダルトとマルウェアのブロック、セーフサーチ、速い応答がほしい場合に向いています。Cloudflare DNSガイドもご覧ください。OpenDNS FamilyShieldはアダルト、VPN、プロキシのサイトをブロックしますが、セーフサーチは強制せず、マルウェアのテストサイトも通します。

CleanBrowsingが動いているか確認する方法

CleanBrowsing自身のテスト用ドメインbadexample.comは、3つのフィルターすべてでブロックされ、他のリゾルバーでは普通に解決します。サーバーを指定せず、普段のDNSで問い合わせてください。NXDOMAINなら、問い合わせがCleanBrowsingに届いています。

# Through your device's normal DNS (Windows, macOS, Linux)
nslookup badexample.com
# ** server can't find badexample.com: NXDOMAIN

# Which CleanBrowsing server answered? Ask one directly
dig @185.228.168.168 id.server CH TXT +short
# "CleanBrowsing v1.6a - dns-edge-asia-singapore10"

badexample.comがアドレスを返す場合、その端末はCleanBrowsingを使っていません。VPN、ブラウザーのセキュアDNS設定、2つ目のDNSサーバーがないか確認してください。ブロックされたドメインが実際にどこを指しているかは、フィルターのない公開リゾルバーに問い合わせるDNS RobotのDNS Lookupで調べられます。