「このネットワークは暗号化されたDNSのトラフィックをブロックしています」意味と対処法

「このネットワークは暗号化されたDNSのトラフィックをブロックしています」の意味は？

「このネットワークは暗号化されたDNSのトラフィックをブロックしています」は、iPhone、iPad、Macが暗号化されたDNSサーバー経由でWebサイト名を調べようとしたものの、Wi-Fiネットワークに止められたことを意味します。 Appleはこれを、設定 > Wi-Fi のネットワーク名の下に「プライバシーに関する警告」として表示し、次の文を添えます。「デバイスがこのネットワーク上でアクセスするWebサイトやほかのサーバの名前は、このネットワーク上のほかのデバイスによって監視および記録される場合があります。」

Appleは、iOS 14とmacOS Big Surで暗号化DNSを導入したときにこう説明しています（WWDC 2020）。一部のネットワークはDNSクエリを見てトラフィックをフィルタリングしているため、ポリシーとして暗号化DNSサーバーをブロックします。その場合、Wi-Fiネットワークにはプライバシーに関する警告が付きます。

デバイスが暗号化DNSを試すのは、何かがそれをオンにしたときだけです。DNSアプリ（Cloudflareのアプリである1.1.1.1、NextDNS、AdGuardなど）、DNSプロファイル、勤務先のデバイス管理、そしてiOS 16以降では、暗号化に自分で対応しているDNSサーバーが該当します。iCloud プライベートリレーも引き金になります。AppleのWi-Fi設定には、プライベートリレーがDNSリクエストを自らルーティングすると表示されます。その原因を見つければ、対処法も見つかります。

暗号化DNSトラフィックとは？

Webサイトを開くたびに、デバイスはドメイン名（例：dnsrobot.net）をIPアドレスに変換するためにDNSクエリを送ります。従来のDNSは、このクエリをポート53で平文のまま送ります。まったく暗号化されていません。そのため、ISP、ネットワーク管理者、同じWi-Fiにつながっている人なら誰でも、あなたが調べたドメインをすべて見られます。

暗号化DNSは、HTTPSがWebトラフィックを守るのと同じように、このクエリを暗号化で包みます。dns-query: dnsrobot.net を平文で送る代わりに、デバイスがクエリを暗号化するので、読めるのはDNSサーバーだけです。

Appleのデバイスが対応している暗号化DNSの主なプロトコルは2つです。

• DNS-over-HTTPS（DoH）：DNSクエリをポート443のHTTPSで送るので、通常のWebトラフィックに紛れます
• DNS-over-TLS（DoT）：DNSクエリを専用のポート853のTLS接続で送ります。暗号化されていて、プロトコルの境界もはっきりしています

Appleのデバイスは、iOS 14とmacOS Big Sur以降で両方に対応していますが、標準ではどちらも使いません。iOS 16とmacOS Ventura以降は、ネットワークのDNSサーバーがDiscovery of Designated Resolvers（DDR）で暗号化に対応していると知らせてくると、デバイスが自分で暗号化DNSに切り替えます。Androidでの同じプロトコルについては、プライベートDNSのガイドをご覧ください。

DoH vs DoT：その違い

どちらのプロトコルもDNSクエリを暗号化しますが、仕組みは異なります。違いを知っておくと、ブロックの問題を直すときに適切な方法を選べます。

ネットワークが暗号化DNSをブロックするとき、簡単な標的になるのはポート853のDoTです。DoHはポート443をすべてのHTTPSサイトと共有しているため、ネットワークは既知のDoHサーバーのアドレスや名前をブロックしたり、その名前にエラーを返したりしてブロックします。

なぜネットワークは暗号化DNSをブロックするのか？

暗号化DNSのブロックがすべて悪意によるものとは限りません。ネットワークが暗号化DNSトラフィックをブロックしたり妨げたりするのには、正当な理由がいくつかあります。

• 企業・組織のネットワーク：IT部門は、セキュリティポリシーの適用、コンテンツフィルタリング、脅威の検出のために暗号化DNSをブロックします。マルウェアのドメインをブロックしたりデータの持ち出しを防いだりするには、DNSクエリが見えている必要があるからです
• ペアレンタルコントロール付きルーター：ペアレンタルコントロールを内蔵したルーター（NetgearのSmart Parental ControlsやASUSのAiProtectionなど）は、コンテンツのカテゴリをフィルタリングするためにDNSクエリを横取りします。暗号化DNSはこのフィルターを回避してしまいます
• ISPのコンテンツフィルタリング：ISPによっては、法規制への対応や既知の悪質サイトのブロックのためにDNSベースのフィルタリングを使っています。暗号化DNSはこのフィルタリングを無効にします
• 公衆Wi-Fiのキャプティブポータル：ホテル、空港、カフェなどは、ログインページへ誘導するためにDNSを横取りします。暗号化DNSはこのリダイレクトの仕組みを壊します
• Pi-holeとAdGuard Home：DNSベースの広告ブロッカーは、あなたの名前解決を見る必要があります。たとえばPi-holeは、標準でデバイスが暗号化DNS（DDR）やiCloud プライベートリレーを見つけるために使う名前に応答し、デバイスをフィルターの下にとどめます。DoHサーバーのブロックリストを加えている環境もあります

自宅のネットワークでは、まずDNSをフィルタリングしている機能を探してください。ペアレンタルコントロール、Pi-holeやAdGuard Homeのような広告ブロッカー、ルーターのセキュリティ機能、ポート853へのファイアウォールルールなどです。

iPhone・iPadでの修正方法（iOS/iPadOS）

まず修正1から始めてください。暗号化DNSを試している設定を見つけられます。修正2〜6は、接続が引っかかっている場合の対処です。

修正1：暗号化DNSをオンにしているものを見つける

次の項目を順に確認してください。どれも、デバイスがどのネットワークでも暗号化DNSを試す原因になり得ます。

• iCloud プライベートリレー：DNSの名前解決を自らルーティングして暗号化します。AppleのWi-Fi設定には「このWi-FiネットワークのDNSリクエストはiCloud プライベートリレーによるルーティングがされています」と表示されます。このネットワークだけで止めるには、設定 > Wi-Fi でネットワークの横の (i) をタップし、「IPアドレスのトラッキングを制限」をオフにします（Appleが案内している、1つのネットワークだけプライベートリレーをオフにする方法です）。プライベートリレー自体をブロックするネットワークでは、「使用中のWi-Fiネットワークはプライベートリレーと互換性がありません。」という別のメッセージが表示されます
• DNSアプリまたはプロファイル：設定 > 一般 > VPNとデバイス管理 を開き、アプリのVPNやDNSの項目、またはプロファイルを探します（Cloudflareの1.1.1.1アプリはVPNプロファイルを追加します。NextDNSとAdGuardはDNS設定を使います）。このネットワークではアプリをオフにするか、不要なプロファイルを削除してください
• 手動のDNSサーバー：設定 > Wi-Fi > (i) > DNSを構成 で、1.1.1.1、8.8.8.8、9.9.9.9のようなサーバーは、暗号化DNSに対応していることをiOS 16以降に知らせるため、iPhoneは自動的にそちらへ切り替わります。確認のため、DNSを構成を自動に戻してみてください
• 仕事用プロファイル：勤務先がデバイスを管理している場合、そのDNS設定はポリシーです。変更せず、ITに相談してください

修正2：デバイスとルーターを再起動する

再起動すると、デバイスとルーターの両方でキャッシュされたネットワークの状態がクリアされます。

• iPhone/iPad：サイドボタン＋音量ボタンを長押し > スライドで電源オフ > 30秒待つ > 電源オン
• ルーター：電源ケーブルを抜く > 30秒待つ > 再接続 > 完全に起動するまで2分待つ

両方が再起動したら、設定 > Wi-Fi でネットワーク名をタップし、「プライバシーに関する警告」がまだ表示されているか確認してください。

修正3：Wi-Fiネットワークを削除して再接続する

ネットワークを削除すると、そのネットワークに保存された設定（独自のDNSも含む）が消え、新しく接続し直すことになります。再接続にはWi-Fiのパスワードが必要なので、先に確認してください（ルーターのラベルに書かれていることが多いです）。iOSでの項目名は「このネットワーク設定を削除」です。

# iOS path:
Settings > Wi-Fi > tap (i) next to network name > Forget This Network > Confirm

# Then reconnect:
Settings > Wi-Fi > select your network > enter password

修正4：iOS/iPadOSを最新バージョンに更新する

設定 > 一般 > ソフトウェアアップデート を開き、更新があればインストールします。iOS 14と15では想定外の警告がAppleのデベロッパフォーラムで報告されているため、ほかの設定を変える前に最新の状態にしてください。

修正5：手動のDNSサーバーを確認する

DNSを構成 > 手動にしただけでは、何も暗号化されません。iPhoneが問い合わせる先が変わるだけです。ただしiOS 16以降では、Discovery of Designated Resolversに対応したサーバーを指定すると、iPhoneは自動的に暗号化DNSへ切り替わります。2026年10月26日に確認したところ、1.1.1.1、8.8.8.8、9.9.9.9の3つはいずれもこの方法でDoHとDoTを知らせていました（Quad9はDNS over QUICも）。

# iOS DNS configuration path:
Settings > Wi-Fi > tap (i) next to network > Configure DNS

# To clear the warning on this network:
Automatic

# Manual servers that iOS 16+ upgrades to encrypted DNS (DDR):
1.1.1.1   1.0.0.1           # Cloudflare
8.8.8.8   8.8.4.4           # Google
9.9.9.9   149.112.112.112   # Quad9

つまり、手動で指定した公開DNSサーバーが、暗号化DNSをブロックするネットワークで警告の原因になることがあります。解消するには、DNSを構成を自動に戻してください。公開DNSサーバーを手動で追加するのは、暗号化DNSを許可しているネットワークだけにしましょう。この設定はネットワークごとです。

修正6：ネットワーク設定をリセットする

上記のどれでも直らない場合は、ネットワーク設定をリセットすると、保存されたWi-Fiネットワーク、VPN構成、モバイル通信の設定がすべて消え、ネットワークの状態が完全にまっさらになります。iOS 15以降の手順は、設定 > 一般 > 転送またはiPhoneをリセット > リセット > ネットワーク設定をリセット です。

# iOS 15 and later:
Settings > General > Transfer or Reset iPhone > Reset > Reset Network Settings

# iOS 14:
Settings > General > Reset > Reset Network Settings

リセット後はデバイスが再起動します。すべてのWi-Fiネットワークに再接続してパスワードを入力し直す必要があります。VPNプロファイルも再設定が必要です。

Macでの修正方法（macOS）

同じ警告はMacのWi-Fi設定にも表示されることがあり、暗号化DNSをオンにする原因もMacでも同じです。

MacでプライベートリレーとプロファイルとDNSを確認する

macOS Ventura以降では、システム設定 > ネットワーク > Wi-Fi でネットワークの詳細…を開きます。そのネットワークでプライベートリレーを止めるには「IPアドレスのトラッキングを制限」をオフにし、DNSタブに手動のサーバーがないか確認します（警告を解消するには削除してください。1.1.1.1、8.8.8.8、9.9.9.9はDDR経由で暗号化DNSに切り替わるためです）。DNSアプリとプロファイルはシステム設定 > 一般 > デバイス管理に表示されます。DNSサーバーをターミナルから設定する場合は次のとおりです。

# Remove manual DNS servers (back to the network's own):
sudo networksetup -setdnsservers Wi-Fi Empty

# Or set servers for Wi-Fi:
sudo networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1

# Check what's set:
networksetup -getdnsservers Wi-Fi

MacのDNSキャッシュをフラッシュする

DNS設定を変えたら、Macがすぐに新しい設定を使うようにローカルのDNSキャッシュをフラッシュします。DNSキャッシュをフラッシュする方法のガイドでは、Windows、Linux、ブラウザの手順も扱っています。

# macOS Ventura / Sonoma / Sequoia and later:
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

# Check that DNS resolution works:
nslookup example.com 1.1.1.1

ルーターでの修正方法

自分のネットワークなら、ルーターを直すと全デバイスにまとめて効きます。まずDNSをフィルタリングしているものから確認してください。

ルーターのフィルターを確認し、ファームウェアを更新する

ルーターやISPのゲートウェイのペアレンタルコントロール、広告ブロック、セキュリティ機能は、DNSを横取りして動くことが多く、デバイスがフィルターを回避しないように暗号化DNSをブロックするものもあります。ルーター管理パネルでその機能をオフにして（またはその中でDoHとDoTを許可して）、警告が消えるか確認してください。そのあと、ファームウェアの更新があればインストールします（メニュー名はモデルによって異なります）。

• ASUS：ルーター管理パネル（192.168.1.1）> 管理 > ファームウェアアップグレード > アップデートの確認
• TP-Link：tplinkwifi.net > システムツール > ファームウェアアップグレード（またはTetherアプリを使用）
• Netgear：routerlogin.net > 管理 > ファームウェアアップデート > オンラインで確認
• Linksys：192.168.1.1 > 接続性 > ルーターファームウェアアップデート

ルーターのDNSサーバーを変更する

ISPのDNSがフィルターになっている場合は、ルーターを公開リゾルバーに向けると止められます。ただしルーター自身は、DoTやDoHに対応していない限り、そのリゾルバーに通常のDNSで問い合わせ続けます。

# Typical router DNS configuration:
# 1. Open router admin panel: http://192.168.1.1 or http://192.168.0.1
# 2. Navigate to: WAN Settings > DNS Configuration
# 3. Change from "Get from ISP" to "Manual"
# 4. Enter DNS servers:

Primary DNS:   1.1.1.1     (Cloudflare)
Secondary DNS: 8.8.8.8     (Google)

# Alternative: Quad9 with malware blocking
Primary DNS:   9.9.9.9
Secondary DNS: 149.112.112.112

# 5. Save and reboot router

デバイスは、再接続したときに新しいDNSサーバーを受け取ります。ルーターが自分のアドレス（192.168.x.x）ではなく、公開サーバーのアドレス（1.1.1.1など）をそのまま配布している場合は、iOS 16とmacOS Ventura以降がDDRで自動的に暗号化DNSへ切り替わります。

暗号化に対応した最適なDNSサーバー

これらの公開リゾルバーはDoHとDoTの両方に対応しています。そのため、いずれかのDNSアプリやプロファイルを使えば、ネットワークが許可しているときに暗号化DNSを利用できます。

Cloudflare、Google、Quad9は、暗号化エンドポイントをDDRでも知らせます。これらのどれかがDNSサーバーになっているとき、iOS 16とmacOS Ventura以降が自動的にそれを使います。自分の回線でどれがいちばん速いか知りたい場合は、DNS スピードテストがブラウザ上で計測します。設定手順の詳細は、CloudflareのDNSサーバーとGoogleのDNSサーバーのガイドをご覧ください。

暗号化DNSが機能しているか確認する方法

修正を適用したら、DNSクエリが実際に暗号化されているかを確認します。プラットフォームごとの方法は次のとおりです。

iPhone/iPadで確認する

デバイス自身で確認します。

• SafariでDNS RobotのDNSリークテストを実行します。暗号化DNSが機能していれば、ISPではなく、選んだプロバイダーのサーバーが表示されます
• Cloudflareを使っている場合は 1.1.1.1/help を開きます。名前解決がDoH、DoT、通常のDNSのどれを使っているかが表示されます
• 設定 > Wi-Fi でネットワークの横の (i) をタップします。そこで暗号化DNSが機能するようになるか、デバイス上で暗号化DNSを試すものがなくなると、プライバシーに関する警告は消えます

Macで確認する

macOSでは、ターミナルを使ってDNS解決を確認し、暗号化が有効かどうかをチェックできます。

# Check which DNS servers are active:
scutil --dns | grep nameserver

# Test DNS resolution through Cloudflare DoH:
curl -s -H 'accept: application/dns-json' 'https://1.1.1.1/dns-query?name=dnsrobot.net&type=A' | python3 -m json.tool

# Check if DoH is working via Cloudflare's test page:
open https://1.1.1.1/help

この警告が正常な場合（無視しても安全な場合）

暗号化DNSの警告は、必ずしも直すべき問題とは限りません。ネットワークが正当なセキュリティ上の理由で、意図的に暗号化DNSをブロックしている場合もあります。

• 企業・オフィスのネットワーク：会社のIT部門は、マルウェアの監視やセキュリティポリシーの適用のために暗号化DNSをブロックしています。これは標準的な運用で、HTTPSのトラフィックは暗号化されたままです
• 学校のネットワーク：E-rate割引を受ける米国のK-12の学校や図書館は、CIPA（児童インターネット保護法）に基づくフィルタリングが義務で、多くはDNSで行っています。大学は独自のポリシーでフィルタリングします
• Pi-holeまたはAdGuard Homeのユーザー：ローカルのDNSベースの広告ブロッカーは、フィルタリングを続けるために、デバイスが暗号化DNSに切り替わるのを止めることがあります。これは設計どおりの動作です
• ホテル、空港、カフェのWi-Fi：公共のネットワークはDNSをフィルタリングしていることが多く、ここではこの警告がいちばん重要です。ネットワークを運営する人なら誰でも名前解決を見られるので、信頼できないWi-FiではVPNを使ってください

管理されたネットワークでは、そのまま使って構いません。名前解決はネットワークの所有者に見えますが、HTTPSのページは暗号化されたままです。暗号化されていないDNSの本当のリスクは、誰かが名前解決を覗いたり改ざんしたりできる信頼できない公共ネットワークにあります。

よくある質問