Quad9 DNSサーバー 9.9.9.9：IPv6・設定方法

Quad9 DNSとは？

Quad9 DNSは、9.9.9.9（セカンダリは149.112.112.112）で提供される無料のパブリックDNSリゾルバーで、マルウェアやフィッシングを広めることが知られているドメインの名前解決を拒否します。 ルーター、パソコン、スマートフォンのDNSをISPのDNSサーバーからQuad9に切り替えるだけで、すべての問い合わせが20社以上の脅威インテリジェンスパートナーの脅威リストと照合されてから応答が返ります。アカウントもアプリも料金も不要です。

運営はスイス・チューリッヒの非営利財団Quad9 Foundationで、Global Cyber Alliance、IBM、Packet Clearing House（PCH）が設立しました。9.9.9.9のアドレスはIBMが提供したものです。Quad9は2016年8月から運用されており、公式のAboutページ（2026年10月26日に確認）では、230以上のリゾルバークラスターが110か国以上にあり、1日平均6.7億件以上の問い合わせをブロックしているとされています。

Quad9 DNSサーバーのアドレス（IPv4・IPv6）

以下は、多くの人が使うQuad9の推奨サービス（マルウェアブロック＋DNSSEC検証）のアドレスです。デバイスに入力欄があるぶんだけ、すべて入力してください。

4つのアドレスはどれもエニーキャストで同じサービスに届き、問い合わせは最寄りのQuad9拠点に着きます。当サイトが問い合わせたQuad9のアドレスはすべて、ムンバイにあるリゾルバーres700.bom2が応答しました（BOMはムンバイの空港コードです）。IPv6が使えない環境でも、Quad9はIPv6の2つも入力するよう案内しています。多くのOSは使えないアドレスを無視するためです。MicrosoftのWindows資料では2つ目が2620:fe::fe:9と記載されていますが、当サイトのテストではどちらも応答しました。

# Ask Quad9 directly (macOS, Linux, or Windows with BIND tools)
dig @9.9.9.9 example.com +short

# Which Quad9 site answered?
dig @9.9.9.9 id.server CH TXT +short
# "res700.bom2"

# Windows built-in equivalent
nslookup example.com 9.9.9.9

Quad9の全サービス：9.9.9.9・9.9.9.10・9.9.9.11の違い

Quad9は同じリゾルバーを4組のアドレスで提供しています。違いは2つのスイッチです。悪意のあるドメインをブロックするかどうかと、IPアドレスの一部（EDNSクライアントサブネット、略してECS）をWebサイトのDNSサーバーに渡すかどうかです。

9.9.9.12はQuad9のドキュメントサイトにだけ記載されています。当サイトのテストでは4つとも応答しました。DoHのURLは、ホスト名に/dns-queryを付けたものです。

ECSはプライバシーと速度のトレードオフです。 CDNはあなたのサブネットを見て近くのサーバーを選びます。Quad9はこれをプライバシー漏えいと考えて9.9.9.9では送信せず、近くのQuad9拠点に届かない場合やサイトが別の地域向けのコンテンツを返す場合に9.9.9.11を使うよう、ドキュメントで案内しています。Googleのエコー用ドメイン名で違いがわかります。

# DNS Robot's test, 26 October 2026 (our real prefix replaced with a documentation one)
dig @9.9.9.9 o-o.myaddr.l.google.com TXT +short
"2620:171:bf:f003:9999::178"           # only Quad9's own server address

dig @9.9.9.11 o-o.myaddr.l.google.com TXT +short
"edns0-client-subnet 203.0.113.0/24"   # our /24 was passed on
"2620:171:bf:f003:9999::178"

IPv6では、9.9.9.11は/48を渡しました。9.9.9.9、9.9.9.10、CloudflareのDNS 1.1.1.1はサブネットを送らず、Googleの8.8.8.8も同じく/24を送信しました。

Quad9のマルウェアブロックの仕組みと、ブロックしないもの

Quad9は自分で脅威を探すわけではありません。脅威インテリジェンスのパートナーから悪意のあるドメイン（マルウェア、フィッシング、ランサムウェア、スパイウェア、エクスプロイトキット）のリストを受け取り、1日に数回、またはほぼリアルタイムで更新します。リストにあるドメインを問い合わせると、Quad9は存在しないかのように応答するので、端末はそのサーバーのアドレスを得られません。

Quad9は広告、トラッカー、アダルトコンテンツをブロックしません。コンテンツフィルターを導入する予定もなく、スパムも脅威として数えません。アダルトフィルターが必要なら、Cloudflareの1.1.1.3などを使ってください。

Quad9は、ブロック対象のサービスが拒否するテスト用ドメインisitblocked.orgを公開しています。2026年10月26日のDNS Robotのテスト結果です。

ブロックと、本当に存在しないドメインは、どちらもNXDOMAINを返します。見分けるにはAUTHORITYの数を見ます。ブロックはAUTHORITY: 0、存在しないドメインはAUTHORITY: 1（ゾーンのSOAレコード）で、テストで試した架空の.comドメインがそうでした。

dig @9.9.9.9 isitblocked.org | grep -E "status|AUTHORITY"
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 4916
;; flags: qr rd ad; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

# The same name through the unfiltered service
dig @9.9.9.10 isitblocked.org +short
74.208.236.124

Quad9のDNS over HTTPS・TLS・QUIC

ポート53の通常のDNSは、ISPを含め経路上の誰でも読めます。Quad9のすべてのサービスは、暗号化プロトコルでも応答します。

• DNS over TLS（DoT）： ポート853のdns.quad9.net（他のサービスはdns10、dns11、dns12.quad9.net）。AndroidのプライベートDNS設定に入力するのがこのホスト名です。
• DNS over HTTPS（DoH）： https://dns.quad9.net/dns-query。Quad9は2025年12月15日からDoHのHTTP/1.1を順次停止しており、HTTP/2以上が必要です。Quad9は非対応のクライアントとしてMikroTik RouterOSを挙げています。
• DNS over QUIC（DoQ）とHTTP/3のDoH： 2026年3月31日から全サービスで利用できます。DoQは同じホスト名のポート853を使い、Chromeなどのクライアントは自動でHTTP/3に切り替えます。Quad9はDNSCryptにも対応しています。

# Which protocol did Quad9 receive your query on? (do53-udp, do53-tcp, dot, doh…)
dig +short txt proto.on.quad9.net

# Windows PowerShell
Resolve-DnsName -Type txt proto.on.quad9.net

DNS Robotのテストでは、DoTは4つのサービスすべてとIPv6でTLS 1.3のポート853に接続でき、証明書はdns.quad9.netでした。proto.on.quad9.netはTLSではdot、HTTPSではdohと答えました。HTTP/1.1のDoHはHTTP 505（「requires HTTP/2」）で、CloudflareやGoogleが提供するJSONの?name=形式はHTTP 400でした。Quad9はRFC 8484のバイナリ形式だけに対応しています。

暗号化のコストは主に最初の問い合わせにかかります。新しいDoH接続のQuad9は合計の中央値が260 ms（Cloudflareは87 ms、Googleは150 ms）で、接続済みのDoTでは9.9.9.9への問い合わせの中央値が48 msと、通常のDNSに近い値でした。

Quad9の速度とDNSSEC：DNS Robotの実測

2026年10月26日、インドのJio回線の自宅環境から、CloudflareとGoogleも含めて各Quad9アドレスの応答時間を測りました。サーバーごとに5回ずつ交互に実行し、それぞれキャッシュ済みの名前（example.com）と、当サイトのテストゾーン内の新しい名前で測定しています。表は5回の中央値です。

どちらもCloudflareが最速で、キャッシュ済みの問い合わせはすべて26〜31 msに収まりました。Quad9の中央値は十分でしたが、ばらつきが大きく、9.9.9.9と149.112.112.112ではキャッシュ済みの問い合わせ1回が316 msと563 msかかり、IPv6の問い合わせ1回はタイムアウトしました。Googleは新しい名前で最も遅い結果でした。数値は環境によって変わるので、切り替える前に自分のデバイスでDNS Speed Testを実行してください。

DNSSEC： Quad9のすべてのアドレスが検証を行います。フィルターなしの9.9.9.10と9.9.9.12を含め、意図的に壊してあるdnssec-failed.orgとbrokendnssec.netにはSERVFAILを返し、正しく署名されたドメインにはadフラグを付けました。これはQuad9のサービスページと一致しますが、FAQ（「3つのうち2つ」のサービス）やAppleプロファイル（9.9.9.10は「No DNSSEC」）の記載は、当サイトの測定結果と一致しません。

Quad9の運営元と、プライバシーは守られるか

Quad9は、チューリッヒの公益目的の非営利財団Quad9 Foundationが運営し、スポンサーと寄付で成り立っています。プライバシーポリシーには次のように書かれています。

• IPアドレスは個人データとして扱われます。 スイス（FADP）、米国、EU（GDPR）の定義のうち最も厳しいものに従い、居住地を問わずすべてのユーザーが対象です。
• IPアドレスは保存されません。 応答するのに必要な数マイクロ秒から数ミリ秒だけメモリ上にあり、問い合わせた名前と結び付けられることもありません。
• 保存されるのはカウンターです。 拠点、ネットワークプレフィックス（IPv4は/24、IPv6は/56より細かくならない）、AS番号、地域、問い合わせタイプ、プロトコル、ドメイン名ごとの件数です。アーカイブされることもありますが、ポリシーによれば個人情報は含まれません。
• 販売やマーケティング目的の共有はありません。 脅威インテリジェンスのパートナーに渡るのは、そのパートナーが提供したドメインの件数だけで、送信元IPは渡りません。
• スイスの管轄： Quad9はスイス当局が承認した要請にのみ応じます。スイスの通信監視当局は、監視法（SPTA）がこのリゾルバーに適用されないと確認しており、ユーザーのメタデータを保持する義務はありません。

ただし、匿名のリゾルバーはありません。Quad9は各問い合わせを見ており、DoTやDoHを使わない限り、通常のDNSは経路上で読み取れます。

Quad9・Cloudflare・Google DNSの比較

3つとも無料でDNSSECを検証します。実際の違いは、ブロック、プライバシー、そして運営元がどの国の法律に従うかです。

Quad9がおすすめなのは、すべてのデバイスでマルウェア対策をしたい人と、最も厳しいプライバシー条件を求める人です。Cloudflareがおすすめなのは、速度を最優先する人（当サイトの回線では最速でした）やアダルトフィルターが必要な人です。Googleがおすすめなのは、ECSを送信するのでCDNの応答が正確になる点を重視する人です。Cloudflare DNSとGoogle DNSのガイドでも同じ詳しさで解説しています。

Quad9 DNSの設定方法

ルーターにQuad9を設定すれば、Wi-Fiにつながるすべてのデバイスにまとめて適用できます。外出先に持ち出すスマートフォンやノートパソコンには、デバイス自体に設定してください。

Android（プライベートDNS）

• 設定を開いてプライベート DNSを検索します（Pixelではネットワークとインターネットの中、Galaxyでは接続 → その他の接続設定にあります）。
• プライベート DNS プロバイダのホスト名を選びます。
• dns.quad9.netを入力し（他のサービスならdns10.quad9.netまたはdns11.quad9.net）、保存をタップします。
• ブラウザでon.quad9.netを開いて、設定できたか確認します。

プライベートDNSはDoTですべての問い合わせを暗号化し、モバイルデータ通信でも有効です。何が隠れるのかは、プライベートDNSのガイドで解説しています。

iPhoneとiPadで設定する

• 手軽な方法（1つのWi-Fiのみ、暗号化なし）： 設定 → Wi-Fiを開き、ネットワーク名の横の(i)をタップしてDNSを構成 → 手動を選びます。古いサーバーを削除し、9.9.9.9、149.112.112.112、2620:fe::fe、2620:fe::9を追加して保存をタップします。
• 暗号化してすべてのネットワークで使う方法： Safari（他のブラウザでは動きません）でQuad9のiOS設定ガイドを開き、プロファイルをダウンロードします（Quad9はHTTPSを推奨しています）。その後、設定に表示される「プロファイルがダウンロードされました」からインストールをタップし、パスコードを入力します。
• on.quad9.netで結果を確認します。

Windows 11・10で設定する

• Windows 11： 設定 → ネットワークとインターネットを開き、Wi-Fiまたはイーサネットを選んで、DNS サーバーの割り当ての横にある編集をクリックし、手動を選びます。
• IPv4をオンにして、優先 DNS に9.9.9.9、代替 DNS に149.112.112.112を入力し、それぞれDNS over HTTPSをオン (自動テンプレート)にします。WindowsはQuad9のDoHアドレスをすでに知っています。
• IPv6を使っているならIPv6もオンにして（2620:fe::feと2620:fe::9、DoHはオン）、保存します。Windows内蔵のDoHリストには2620:fe::9ではなく2620:fe::fe:9が登録されているので、オン (自動テンプレート)が選べない場合は、これを代替 DNS に使ってください。DoHをブロックするネットワークに移動するノートパソコンでは、「プレーンテキストへのフォールバック」が必要になることがあります。
• Windows 10： Win + Rを押してncpa.cplを実行し、アダプターを右クリックしてプロパティ → インターネット プロトコル バージョン 4 (TCP/IPv4) → プロパティ → 次の DNS サーバーのアドレスを使うを開きます。IPv6も同様に設定します。

# PowerShell (as administrator): set Quad9 on the active adapter
$if = (Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object -First 1).Name
Set-DnsClientServerAddress -InterfaceAlias $if -ServerAddresses 9.9.9.9,149.112.112.112,2620:fe::fe,2620:fe::9
ipconfig /flushdns

# "doh" means encrypted, "do53-udp" means plain DNS
Resolve-DnsName -Type txt proto.on.quad9.net

macOSで設定する

• システム設定 → ネットワークを開き、Wi-Fi（またはEthernet）を選んで詳細をクリックします。
• DNSを開き、+をクリックして9.9.9.9、149.112.112.112、2620:fe::fe、2620:fe::9を追加します。古いエントリは－で削除し、OKをクリックします。
• macOS Big Sur以降で暗号化DNSを使うなら、代わりにQuad9のプロファイルをインストールします。Safariでダウンロードし、システム設定で承認します。

# Terminal alternative (use "Ethernet" if wired)
networksetup -setdnsservers Wi-Fi 9.9.9.9 149.112.112.112 2620:fe::fe 2620:fe::9

# Flush the macOS DNS cache
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

ルーターで設定する

• ルーターの管理画面を開いてサインインします（多くは192.168.0.1か192.168.1.1です）。
• DNS設定を探します。多くはインターネット、WAN、DHCPのいずれかにあります。自動から手動に切り替えます。
• 9.9.9.9と149.112.112.112を入力します。IPv6の項目があれば、2620:fe::feと2620:fe::9も入力します。保存したら、デバイスを再接続します。
• ルーターが暗号化されたアップストリームDNSに対応している場合（たとえばpfSenseとOPNsense）は、dns.quad9.netを指定してください。Quad9のドキュメントにガイドがあります。

Quad9を使えているか確認する方法

ブラウザでon.quad9.netを開くと、「はい」か「いいえ」で答えてくれます。ターミナルでの2つの確認で、さらに詳しくわかります。

# 1. Did Quad9 get the query, and over which protocol?
dig +short txt proto.on.quad9.net
# "do53-udp" (plain DNS), "dot" or "doh"; no answer = not Quad9

# 2. Is your ISP intercepting queries to 9.9.9.9?
dig +short ch txt id.server @9.9.9.9
# "res700.bom2": a Quad9 resolver name. Nothing, or something else = redirected

Quad9によると、アジア、アフリカ、中東を中心に、一部のISPが9.9.9.9宛ての問い合わせを自社のサーバーに黙ってリダイレクトしているそうです。Quad9のドキュメントでは.rrdns.pch.netで終わる名前が示されていますが、当サイトの結果は短いres700.bom2で、proto.on.quad9.netでもQuad9が応答したことを確認できました。確認2で何も返らない、または無関係な名前が返った場合は、そのような方法でリダイレクトできないDoTまたはDoHに切り替えてください。そのうえでDNS Leak Testを実行します。見つかったリゾルバーはすべて、PCH（WoodyNet）、Equinix、i3DなどQuad9が使うネットワークのものであり、ISPのものは含まれないはずです。

Quad9が使えない？ よくある原因

• 必要なサイトがブロックされている。 Quad9のブロック済みドメインのページでそのドメインを検索し、誤検知はQuad9サポートに報告してください。その間、DNS Lookupでそのドメインの本当のレコードを確認できます。
• VPNやブラウザが上書きしている。 VPNアプリは独自のDNSを使います。また、Quad9によるとFirefoxは一部の地域で既定でCloudflareのDoHを使います。VPNやブラウザ自身のDNS設定にQuad9を指定してください。
• DoHクライアントが古い。 Quad9のDoHは今やHTTP/2が必要です。DoTを使うか、dnscrypt-proxy、AdGuard Home、Unboundなどのフォワーダーを使ってください。
• ISPがポートをブロックしている。 Quad9は通常のDNSをポート9953でも受け付けており、当サイトの回線ではこちらが使えました。DoTのポート853もブロックされている場合は、ポート443で動くDoHを使ってください。
• 動画やダウンロードが遠いサーバーから配信される。 ECSがないことが原因かもしれません。9.9.9.11、ブロックなしなら9.9.9.12を試してください。
• 変更後も古い応答が返る。 Quad9自身のキャッシュを消す公開ツールはありませんが、デバイスのキャッシュは消せます。DNSキャッシュのクリア方法を参照してください。