プライベートDNSとは？おすすめ設定とAndroidの自動・ホスト名の違い

プライベートDNSとは？

プライベートDNSとは、Androidの暗号化DNSの設定です。端末が調べるWebサイトの名前（ドメイン名）を暗号化された接続で送るため、Wi-Fiネットワークや通信事業者（ISP）はその内容を読むことも書き換えることもできません。 有効にするには、設定 → ネットワークとインターネット → プライベート DNS を開き、プライベート DNS プロバイダのホスト名を選んで、dns.google や one.one.one.one などのホスト名を入力します。

AndroidにはAndroid 9（2018年）から搭載されており、DNS over TLSを使います。2022年のGoogle Playシステムアップデート以降、Android 11以降では、Androidが認識するプロバイダー（Googleのdns.googleと、cloudflare-dns.comという名前で指定したCloudflare）に対して、代わりにDNS over HTTP/3を使います（one.one.one.oneで指定した場合はDNS over TLSのままです）。iPhone、Windows、Mac、Webブラウザも「暗号化DNS」という名前で同じ保護を提供しています。

企業やクラウドのネットワークでは、「プライベートDNS」は別の意味で使われます。そのネットワークの内部にしか存在しない社内向けのDNSゾーンのことで、後半で説明します。

通常のDNSの仕組み（なぜ問題なのか）

従来のDNSは1987年以来、平文でクエリを送信してきました。ブラウザにドメイン名を入力すると、デバイスはUDPポート53経由でDNSリゾルバ（通常はISPのサーバー）にDNSクエリを送信します。リゾルバがIPアドレスで応答しますが、すべてが完全に暗号化されていません。

つまり、ネットワーク経路上の誰でもあなたが訪問するすべてのドメインを見ることができます。ISPは完全な閲覧プロファイルを構築できます。公衆Wi-Fi上の攻撃者はクエリを傍受できます。一部のISPはDNSの応答を書き換え、入力ミスしたアドレスを自社の検索ページや広告ページに誘導していたことさえあります。

また、DNSは攻撃者が偽のレスポンスを送信してユーザーを悪意のあるウェブサイトにリダイレクトするキャッシュポイズニングやスプーフィング攻撃にも脆弱です。従来のDNSには、レスポンスが本物のDNSサーバーから来たことを検証する仕組みが組み込まれていません。

プライベートDNSの仕組み

プライベートDNSは、DNSクエリを暗号化された接続の中に包みます。UDPポート53で平文クエリを送信する代わりに、デバイスはまずDNSリゾルバとの暗号化セッションを確立し、その安全なトンネルを通じてクエリを送信します。

DNSリゾルバはクエリを復号し、ドメイン名をIPアドレスに解決し、レスポンスを暗号化して返送します。やり取り全体がネットワークを監視している誰にも見えません。DNSサーバーと通信していることは分かりますが、どのドメインをクエリしているかは見ることができません。

現在使用されている暗号化DNSプロトコルは3つあります：DNS over TLS（DoT）、DNS over HTTPS（DoH）、DNS over QUIC（DoQ）。それぞれが同じ基礎となるDNSクエリを暗号化するために異なるアプローチを取ります。

DNS over TLS vs DNS over HTTPS vs DNS over QUIC

DoT（RFC 7858）は、DNSをTLSの中に入れて専用のポート853で送ります。AndroidのプライベートDNSはAndroid 9からこれを使っており、ポートが専用なので、ネットワーク側で簡単にブロックできます。

DoH（RFC 8484）は、DNSクエリをHTTPSリクエストとしてポート443で送ります。ほかのWeb通信と見分けがつかないため、ブロックするには既知のDoHサーバーをブロックするしかありません。Chrome、Firefox、Edgeに標準で組み込まれており、Windows 11ではシステム全体で使えます。Android 11以降のプライベートDNSは、Androidが認識するプロバイダー（Googleのdns.googleと、cloudflare-dns.comという名前で指定したCloudflare）に対してHTTP/3のDoH（DoH3）を使います。one.one.one.oneで指定した場合はDNS over TLSのままです。

DoQ（RFC 9250、2022年）は、DNSをQUICの上で直接、UDPポート853で送ります。ヘッドオブラインブロッキングが起きにくく、接続の再開も速いのが特長です。対応しているDNSはまだ少なく、AdGuard DNSとQuad9が対応しています（Quad9はDDRの応答でDoQを提示しています。2026年10月26日に確認）。一方、Cloudflareの1.1.1.1が対応しているのはDoT、DoH、Oblivious DoHでDoQには対応しておらず、AndroidもDoQは使いません。

AndroidでプライベートDNSを有効にする方法

AndroidにはAndroid 9（2018年）からプライベートDNSが搭載されています。Wi-Fiでもモバイルデータ通信でもすべてのアプリに適用され、モードは3つあります。OFF、初期設定の自動（ネットワークのDNSサーバーが対応していれば暗号化し、対応していなければ通常のDNSを使う）、そして入力した事業者を常に使うプライベート DNS プロバイダのホスト名です。

• 手順1： 設定 > ネットワークとインターネット（Galaxyの場合は接続）を開く
• 手順2： プライベート DNSをタップ（先に詳細設定やその他の接続設定をタップする必要がある場合があります）
• 手順3： プライベート DNS プロバイダのホスト名を選択
• 手順4： 事業者のホスト名を入力。例：1dot1dot1dot1.cloudflare-dns.com（Cloudflare）、dns.google（Google）、dns.quad9.net（Quad9）、dns.adguard-dns.com（AdGuard）
• 手順5： 保存をタップ。Androidが事業者に接続できない場合は「プライベート DNS サーバーにアクセスできません」と表示されます

プライベートDNSモードとは：「自動」と「ホスト名」の違いとデメリット

Androidの設定で「プライベート DNS」をタップすると開く「プライベート DNS モードを選択」の画面が、プライベートDNSモードです。選べるのは「OFF」「自動」「プライベート DNS プロバイダのホスト名」の3つで、機種によって表記が少し異なる場合があります（Galaxyでは設定 > 接続 > その他の接続設定 > プライベートDNS）。Google Public DNSのAndroid向け説明によると、初期設定は「自動」です。

3つの違いは、どのDNSサーバーを使うかと、暗号化できなかったときにどうなるかです。Googleの公式ブログとGoogle Public DNSのDNS over TLS解説をもとにまとめました。

結論から言うと、おすすめは「プライベート DNS プロバイダのホスト名」に信頼できる事業者のホスト名を入れる設定です。暗号化とサーバーの確認が必ず行われ、使うDNSも自分で選べます。何を入れるかは、下のホスト名一覧を参考にしてください。

• 「自動」のデメリット①：暗号化されるかはネットワーク次第 — 自宅のルーターや通信事業者のDNSサーバーがDNS over TLSに対応していなければ、「自動」にしていてもOFFと同じく平文で送られます。実際にどのDNSサーバーが使われているかはDNSリークテストで確認できます。
• 「自動」のデメリット②：なりすましは防げない — 暗号化できた場合でも証明書を検証しないため、経路上での盗み見は防げても、偽のDNSサーバーになりすます能動的な攻撃は防げません（Google Public DNSの解説より）。
• 「自動」のデメリット③：DNSサーバーを選べない — ネットワークから配られたサーバーを使うので、広告ブロックやマルウェア対策のDNSは使えません。

iPhoneとiPadでプライベートDNSを有効にする方法

iPhoneとiPad（iOS 14以降）はDNS over HTTPSとDNS over TLSに対応していますが、Androidのような1つのスイッチはありません。暗号化DNSのアプリか構成プロファイルを追加します。

• 方法1：DNSアプリ — 利用する事業者のアプリ（例：Cloudflareの1.1.1.1、NextDNS、AdGuard）をApp Storeからインストールし、オンにします。DNSの設定は設定 > 一般 > VPNとデバイス管理に表示されます。
• 方法2：構成プロファイル — DNS事業者（またはpaulmillr/encrypted-dns GitHubリポジトリなどの信頼できるコレクション）から.mobileconfigファイルをSafariでダウンロードし、設定 > 一般 > VPNとデバイス管理でダウンロードしたプロファイルを選んでインストールをタップします。
• 方法3：ネットワークごとのDNS — 設定 > Wi-Fiで、ネットワーク名の横の(i)をタップし、DNSを構成で手動を選んで、DNSサーバーのIP（例：1.1.1.1、1.0.0.1）を追加します。注意：この方法ではDNSは暗号化されず、問い合わせ先のサーバーが変わるだけです。

Windows 11でDNS over HTTPSを有効にする方法

Windows 11はDNS over HTTPSをネイティブサポートしています。Cloudflare、Google、Quad9を含む認識済みDoHプロバイダーのリストが同梱されています。

• 手順1： 設定 > ネットワークとインターネット > Wi-Fi（またはイーサネット）を開く
• 手順2： 接続のハードウェアのプロパティをクリック
• 手順3： DNSサーバーの割り当ての横にある編集をクリック
• 手順4： 手動を選択し、IPv4を有効化
• 手順5： プライマリDNSサーバーを入力（例：1.1.1.1）、DNS over HTTPSをオン (自動テンプレート)に設定
• 手順6： セカンダリDNSサーバーを入力（例：1.0.0.1）、DoHもオンに設定
• 手順7： 保存をクリック。DNSサーバーの表示に、暗号化されていることを示すラベル（英語版では「Encrypted」）が付けば設定完了です

# View pre-configured DoH providers in Windows 11
netsh dns show encryption

# Add a custom DoH provider via PowerShell
Add-DnsClientDohServerAddress -ServerAddress '1.1.1.1' -DohTemplate 'https://cloudflare-dns.com/dns-query' -AllowFallbackToUdp $False -AutoUpgrade $True

macOSでプライベートDNSを有効にする方法

macOS（Big Sur 11以降）は、iOSと同じ構成プロファイル、またはDNSアプリで暗号化DNSに対応しています。

• 方法1：DNSアプリ — Cloudflare 1.1.1.1アプリ（または同様のアプリ）をインストールして有効にします。アプリがシステムレベルでDoHまたはDoTを構成します。
• 方法2：構成プロファイル — .mobileconfigファイルをダウンロードし、ダブルクリックしてインストールしたら、システム設定で承認します（場所はmacOSのバージョンによって異なり、Appleの最新のヘルプでは一般 > デバイス管理です。見つからないときは、システム設定の検索欄で「プロファイル」を検索してください）。
• 方法3：ターミナル（上級者向け） — networksetupでDNSサーバーを変更できますが、コマンドラインでのDNS変更だけでは暗号化は有効になりません。暗号化DNSにはプロファイルまたはアプリが必要です。

おすすめプライベートDNSプロバイダー（2026年版）

Cloudflare 1.1.1.1はDoTとDoH（およびOblivious DoH）に対応し、フィルタリング付きのsecurity.cloudflare-dns.com（マルウェアをブロック）とfamily.cloudflare-dns.com（マルウェアとアダルトコンテンツをブロック）もあります。送信元IPアドレスをディスクに保存せず、ログは25時間以内に削除し、その約束を外部の監査機関が確認しています。

Google Public DNSはDoTとDoHに対応しています。一時ログには完全なIPアドレスが残り、24〜48時間以内に削除されます。永続的に残るサンプルには市区町村レベルの位置情報しか含まれません。ログの少なさを最優先するなら、CloudflareかQuad9のほうが向いています。

Quad9はスイスの非営利財団が運営し、IPアドレスを保存せず、セキュリティパートナーからの脅威情報を使って既知の悪意あるドメインをブロックします。セキュリティ重視の人に向いています。

AdGuard DNSはDNSの段階で広告とトラッカーをブロックするため、別の広告ブロッカーを入れなくても端末全体で広告が消えます。DNS over QUICにも対応しています。

NextDNSは最も細かく設定できます。専用のホスト名、ブロックリストの設定、端末ごとの分析、ペアレンタルコントロール、何がブロックされたかを確認できるダッシュボードがあります。無料プランでは月30万クエリまで使えます。

速さは場所によって変わるので、なんとなくで選ばないでください。無料のDNS スピードテストで、Cloudflare・Google・Quad9をお使いの回線から暗号化DNS（DNS over HTTPS）で比べ、実際にいちばん速かった事業者をプライベートDNSに設定しましょう。

大手2社のアドレスと設定手順は、Cloudflare DNSサーバーとGoogle DNSサーバーのガイドにまとめています。

おすすめ選びの補足：国内のIIJ Public DNSと広告ブロックの限界

上の5社に加えて、日本から使うときに知っておきたい点をまとめました。

• 国内の事業者ならIIJ Public DNS（public.dns.iij.jp）： インターネットイニシアティブ（IIJ）が無料で提供するIIJ Public DNSサービスで、Android 9以降での動作が確認されています。ただし技術検証のための試験的なβサービスで、提供期間は2027年3月31日までとされ、予告なく終了する場合があります。取得したデータは24時間以内に削除され、送信元IPアドレスは/22（IPv6は/40）単位に丸めて記録されます。マルウェア対策のフィルタリングはなく、児童ポルノ対策のDNSブロッキングのみ行われます。
• AdGuard DNSでもYouTubeの動画広告は消えない： AdGuard自身が、YouTubeの再生前・再生中の動画広告はDNSでは確実にはブロックできないと説明しています。広告が動画と同じドメインから配信されることがあり、DNSで止めると再生まで止まりかねないためです。
• NextDNSの無料プランは上限を超えるとブロックが止まる： NextDNSの料金ページによると、月30万クエリの上限を超えても名前解決は続きますが、ブロックしない通常のDNSとして動作します。

どれが速いかは地域や回線によって変わります。DNS スピードテストを使えば、Cloudflare・Google・Quad9・AdGuard DNS・NextDNS・IIJ Public DNSなどを、お使いの回線から暗号化DNS（DoH）でまとめて比べられます。

プライベートDNSのホスト名（コード）一覧：Androidの入力欄に入れる文字列

プライベートDNSのホスト名（「プライベートDNSのコード」と呼ばれることもあります）は、Androidの設定 → ネットワークとインターネット → プライベート DNS →「プライベート DNS プロバイダのホスト名」に入力するアドレスです。

次のどれかを入力欄にコピーしてください。主要な事業者の公式ホスト名です。

保存したら、設定が効いているか確認しましょう。DNS RobotのDNSリークテストに、ISPではなく選んだ事業者のサーバーが表示されれば成功です。特定のネットワークだけで設定が失敗する場合は、下の暗号化DNSがブロックされる場合で理由を説明しています。

パブリックDNSとプライベートDNS：企業ネットワークでの意味

紛らわしいことに、「プライベートDNS」には企業やクラウドの環境で使われるもう1つの意味があり、スマホの暗号化DNSの設定とはまったく関係ありません。

その世界でのプライベートDNSとはプライベートDNSゾーンのことです。intranet.corp.localやdb1.internalのような社内向けの名前のレコードを、社内ネットワークやクラウドのVPCの中からしか届かないサーバーで管理します。AWSではRoute 53のプライベートホストゾーン、AzureではAzure Private DNSと呼ばれ、OracleやGoogle Cloudにも同様のサービスがあります。これらのレコードはインターネットに公開されないため、パブリックDNSからは見えません。

見分け方は簡単です。スマホやパソコンの設定にホスト名を入力しているなら、それは暗号化DNS（この記事の内容）です。IT部門やクラウドの管理画面でプライベートDNSと言われたら、社内向けのゾーンのことです。あるドメイン名がインターネットからどう見えるかはDNS確認で確認できます。プライベートゾーンにしかないレコードは表示されません。

プライベートDNSを使用するメリット

デバイスでプライベートDNSを有効にすると、セキュリティとプライバシーが即座に向上します。

• ISPの監視を阻止 — ISPはあなたがどのドメインをクエリしているか確認したり、DNSトラフィックから閲覧プロファイルを構築したりできなくなります
• 経路上でのDNSスプーフィングを防止 — TLS証明書によって本物のDNS事業者と通信していることが確認されるため、間にいる第三者は偽の応答を送れません
• 公衆Wi-Fiでの保護 — 同じネットワーク上の他のユーザーがDNSクエリを傍受することができなくなります
• DNSハイジャックをブロック — 侵害されたルーターや悪意のあるネットワークによるクエリの無断リダイレクトを防ぎます
• 透過DNSプロキシを回避 — 一部のISPはサードパーティサーバーを使用していてもポート53のDNSを傍受します。暗号化DNSは別のポートを使用するため、これらのプロキシを回避します
• オプションの広告・マルウェアブロック — AdGuard、NextDNS、Quad9などのプロバイダーは、DNSレベルで広告、トラッカー、悪意のあるドメインをブロックできます
• システム全体に適用 — 一度有効にすると、プライベートDNSはブラウザだけでなく、デバイス上のすべてのアプリを保護します

プライベートDNSのデメリットと注意点

プライベートDNSは万能ではありません。知っておくべきトレードオフを紹介します。

• 最初の名前解決が少し遅くなる — 暗号化された接続を確立するために、最初のクエリの前に1〜2往復分の時間がかかります。その後は接続が再利用されます。
• キャプティブポータルが動作しない場合がある — ホテル、空港、カフェなどのログインページが必要なWi-Fiネットワークでは、リダイレクトに非暗号化DNSが必要な場合があります。プライベートDNSによりこれらのポータルが読み込めなくなることがあります。
• 企業ネットワークがブロックする場合がある — IT部門はセキュリティ監視のためにDNSの可視性が必要です。多くの企業ネットワークは、外部リゾルバへの暗号化DNSを意図的にブロックしています。
• 集中化の懸念 — 暗号化DNSにより、少数の大手リゾルバ（Cloudflare、Google）の利用が促進され、DNSトラフィックがより少ない企業に集中します。
• すべてを暗号化するわけではない — プライベートDNSはドメインクエリを暗号化しますが、ISPはTLSハンドシェイクのSNIを通じて接続先のIPアドレスを引き続き確認できます（ECHも使用している場合を除く）。
• スプリットホライズンDNSの問題 — 内部と外部で異なるDNSを使用している組織では、デバイスが内部リゾルバをバイパスすると問題が発生する場合があります。

'このネットワークは暗号化されたDNSトラフィックをブロックしています'の意味

iPhone、iPad、MacのWi-Fi設定では、ネットワーク名の下に、暗号化DNSがブロックされているという警告（英語表示では "This network is blocking encrypted DNS traffic"）が出ることがあります。端末が暗号化DNSを使おうとしたのにネットワークに止められたという意味で、そのネットワークでは調べたドメイン名がネットワーク側から見える状態です。

会社や学校のWi-Fi、ログイン画面のあるホテルや空港のネットワーク、一部の家庭用ルーターでよく起こります。原因ごとの対処法は「このネットワークは暗号化されたDNSトラフィックをブロックしています」の解説にまとめています。すぐに試せる対処法は次のとおりです。

• 端末とルーターを再起動する — 詰まった接続が解消され、自宅ならこれだけで直ることもよくあります
• Wi-Fiネットワークを削除して再接続する — Wi-Fi設定でネットワークを削除し、再度接続します
• VPNを使用する — VPNはDNSを含むすべてのトラフィックを暗号化し、ネットワークレベルのDNSブロックを回避します
• 管理されたネットワークでは受け入れる — 企業や学校のネットワークでは、暗号化DNSのブロックはセキュリティ監視のために意図的に行われていることが多いです。回避できない場合があります

プライベートDNSが機能しているか確認する方法

プライベートDNSを有効にした後、クエリが実際に暗号化され、選択したプロバイダーを通じてルーティングされていることを確認しましょう。

• DNS RobotのDNSリークテスト — 端末でDNSリークテストを実行すると、実際に名前解決に応答しているDNSサーバーがわかります。ISPではなく、選んだ事業者が表示されれば正常です
• Cloudflareの確認ページ — Cloudflareを使っている場合は、1.1.1.1/helpでDoH、DoT、通常のDNSのどれを使っているかを確認できます
• Android — ホスト名を設定していて接続できないときは「プライベート DNS サーバーにアクセスできません」と表示されます。表示されなければ正常に動いています
• Windows 11 — DoHが有効なら、接続のプロパティで各DNSサーバーに暗号化されていることを示すラベル（英語版では (Encrypted)）が付きます

# Test DNS over TLS with kdig
kdig -d @1.1.1.1 +tls-ca +tls-host=cloudflare-dns.com example.com

# Which resolver asks on this computer's behalf? (DNS Robot's test nameserver replies with its IP)
dig +short TXT whoami.leak.dnsrobot.net

# Test DNS over HTTPS with curl
curl -s -H 'accept: application/dns-json' \
  'https://cloudflare-dns.com/dns-query?name=example.com&type=A'