Quad9 DNS 서버 주소: 9.9.9.9·IPv6·설정법

Quad9 DNS란?

Quad9 DNS는 9.9.9.9(보조는 149.112.112.112)에서 제공하는 무료 공개 DNS 리졸버로, 악성코드나 피싱을 퍼뜨리는 것으로 알려진 도메인의 조회를 거부합니다. 공유기, 컴퓨터, 스마트폰의 DNS를 ISP의 DNS 서버 대신 Quad9로 바꾸면, 모든 조회가 20곳이 넘는 위협 인텔리전스 파트너의 위협 목록과 대조된 뒤에 응답을 받습니다. 계정도, 설치할 앱도, 요금도 없습니다.

운영은 스위스 취리히의 비영리 재단인 Quad9 Foundation이 맡고 있으며, Global Cyber Alliance, IBM, Packet Clearing House(PCH)가 설립했습니다. 9.9.9.9 주소는 IBM이 제공했습니다. Quad9는 2016년 8월부터 운영 중이고, 소개 페이지(2026년 10월 26일 확인)에는 110개국 이상에 230개가 넘는 리졸버 클러스터가 있으며 하루 평균 6억 7천만 건 이상의 조회를 차단한다고 나와 있습니다.

Quad9 DNS 서버 주소(IPv4·IPv6)

대부분의 사용자가 원하는 Quad9 권장 서비스(악성코드 차단 + DNSSEC 검증)의 주소입니다. 기기에 입력란이 있는 만큼 모두 입력하세요.

네 주소 모두 애니캐스트로 같은 서비스에 연결되며, 조회는 가장 가까운 Quad9 거점으로 도착합니다. 우리가 물어본 Quad9 주소는 모두 뭄바이에 있는 리졸버 res700.bom2가 응답했습니다(BOM은 뭄바이 공항 코드입니다). Quad9는 IPv6를 쓰지 않는 환경에서도 IPv6 주소 두 개를 함께 입력하라고 안내합니다. 대부분의 시스템은 쓸 수 없는 주소를 무시하기 때문입니다. Microsoft의 Windows 문서에는 두 번째 주소가 2620:fe::fe:9로 나와 있지만, 우리 테스트에서는 둘 다 응답했습니다.

# Ask Quad9 directly (macOS, Linux, or Windows with BIND tools)
dig @9.9.9.9 example.com +short

# Which Quad9 site answered?
dig @9.9.9.9 id.server CH TXT +short
# "res700.bom2"

# Windows built-in equivalent
nslookup example.com 9.9.9.9

Quad9 서비스 전체: 9.9.9.9 vs 9.9.9.10 vs 9.9.9.11

Quad9는 같은 리졸버를 네 쌍의 주소로 제공합니다. 차이는 두 가지 스위치입니다. 악성 도메인을 차단하는지, 그리고 내 IP 주소의 일부(EDNS 클라이언트 서브넷, 줄여서 ECS)를 웹사이트의 DNS 서버에 전달하는지입니다.

9.9.9.12는 Quad9의 문서 사이트에만 나와 있습니다. 우리 테스트에서는 네 개 모두 응답했습니다. DoH 주소는 호스트 이름에 /dns-query를 붙인 것입니다.

ECS는 프라이버시와 속도를 맞바꾸는 기능입니다. CDN은 내 서브넷을 보고 가까운 서버를 고릅니다. Quad9는 이를 프라이버시 유출로 보아 9.9.9.9에서는 전달하지 않으며, 가까운 Quad9 거점에 연결되지 않거나 사이트가 엉뚱한 지역의 콘텐츠를 보여 준다면 9.9.9.11을 쓰라고 문서에서 안내합니다. Google의 에코용 도메인 이름으로 차이를 볼 수 있습니다.

# DNS Robot's test, 26 October 2026 (our real prefix replaced with a documentation one)
dig @9.9.9.9 o-o.myaddr.l.google.com TXT +short
"2620:171:bf:f003:9999::178"           # only Quad9's own server address

dig @9.9.9.11 o-o.myaddr.l.google.com TXT +short
"edns0-client-subnet 203.0.113.0/24"   # our /24 was passed on
"2620:171:bf:f003:9999::178"

IPv6에서는 9.9.9.11이 /48을 전달했습니다. 9.9.9.9, 9.9.9.10, Cloudflare의 1.1.1.1은 서브넷을 보내지 않았고, Google의 8.8.8.8은 /24를 함께 보냈습니다.

Quad9의 악성코드 차단 방식과 차단하지 않는 것

Quad9는 위협을 직접 찾아다니지 않습니다. 위협 인텔리전스 파트너로부터 악성 도메인(악성코드, 피싱, 랜섬웨어, 스파이웨어, 익스플로잇 킷) 목록을 받아 하루에 여러 번, 또는 거의 실시간으로 갱신합니다. 목록에 있는 도메인을 조회하면 Quad9는 존재하지 않는 것처럼 응답하므로, 기기는 그 서버의 주소를 얻지 못합니다.

Quad9는 광고, 트래커, 성인 콘텐츠를 차단하지 않고, 콘텐츠 필터링 계획도 없으며, 스팸도 위협으로 보지 않습니다. 성인 필터가 필요하다면 Cloudflare의 1.1.1.3 같은 서비스를 쓰세요.

Quad9는 차단 서비스가 거부하는 테스트 도메인 isitblocked.org를 공개하고 있습니다. 2026년 10월 26일 DNS Robot의 테스트 결과입니다.

차단된 경우와 실제로 존재하지 않는 도메인은 모두 NXDOMAIN을 반환합니다. 둘은 AUTHORITY 개수로 구별합니다. 차단은 AUTHORITY: 0, 없는 도메인은 AUTHORITY: 1(영역의 SOA 레코드)이며, 테스트에서 임의로 만든 .com 이름이 그랬습니다.

dig @9.9.9.9 isitblocked.org | grep -E "status|AUTHORITY"
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 4916
;; flags: qr rd ad; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

# The same name through the unfiltered service
dig @9.9.9.10 isitblocked.org +short
74.208.236.124

Quad9 DNS over HTTPS, TLS, QUIC

53번 포트의 일반 DNS는 ISP를 포함해 경로상의 누구나 읽을 수 있습니다. Quad9의 모든 서비스는 암호화 프로토콜로도 응답합니다.

• DNS over TLS(DoT): 853번 포트의 dns.quad9.net(다른 서비스는 dns10, dns11, dns12.quad9.net). Android의 비공개 DNS(Private DNS) 설정에 입력하는 호스트 이름이 이것입니다.
• DNS over HTTPS(DoH): https://dns.quad9.net/dns-query. Quad9는 2025년 12월 15일부터 DoH의 HTTP/1.1을 단계적으로 끄기 시작했으므로 HTTP/2 이상이 필요하며, 지원하지 않는 클라이언트로 MikroTik RouterOS를 꼽았습니다.
• DNS over QUIC(DoQ)와 HTTP/3 DoH: 2026년 3월 31일부터 모든 Quad9 서비스에서 사용할 수 있습니다. DoQ는 같은 호스트 이름의 853번 포트를 쓰고, Chrome 같은 클라이언트는 알아서 HTTP/3로 올립니다. Quad9는 DNSCrypt도 지원합니다.

# Which protocol did Quad9 receive your query on? (do53-udp, do53-tcp, dot, doh…)
dig +short txt proto.on.quad9.net

# Windows PowerShell
Resolve-DnsName -Type txt proto.on.quad9.net

DNS Robot의 테스트에서 DoT는 네 서비스 모두와 IPv6에서 TLS 1.3, 853번 포트로 연결되었고 인증서는 dns.quad9.net용이었습니다. proto.on.quad9.net은 TLS에서는 dot, HTTPS에서는 doh라고 답했습니다. HTTP/1.1 DoH는 HTTP 505("requires HTTP/2")를 받았고, Cloudflare와 Google이 제공하는 JSON ?name= 형식은 HTTP 400을 반환했습니다. Quad9는 RFC 8484의 바이너리 형식만 지원합니다.

암호화의 비용은 대부분 첫 조회에서 발생합니다. 새 DoH 연결로 Quad9에 접속하는 데 총 중앙값 260 ms가 걸렸고(Cloudflare 87 ms, Google 150 ms), 열려 있는 DoT 연결에서는 9.9.9.9 조회의 중앙값이 48 ms로 일반 DNS와 비슷했습니다.

Quad9 속도와 DNSSEC: DNS Robot 실측

2026년 10월 26일 인도의 Jio 가정용 회선에서 Cloudflare, Google과 함께 각 Quad9 주소의 응답 시간을 쟀습니다. 서버마다 5라운드를 번갈아 실행했고, 라운드마다 캐시된 이름(example.com)과 우리 테스트 영역 안의 새 이름으로 각각 측정했습니다. 표는 5회의 중앙값입니다.

두 항목 모두 Cloudflare가 가장 빨랐고, 캐시된 조회는 모두 26~31 ms 안에 들어왔습니다. Quad9의 중앙값은 무난했지만 편차가 컸습니다. 9.9.9.9와 149.112.112.112에서 캐시된 조회 한 번이 각각 316 ms와 563 ms가 걸렸고, IPv6 조회 한 번은 시간 초과가 났습니다. 새 이름에서는 Google이 가장 느렸습니다. 환경마다 수치가 다르니 바꾸기 전에 내 기기에서 DNS Speed Test를 실행해 보세요.

DNSSEC: 모든 Quad9 주소가 검증합니다. 필터 없는 9.9.9.10과 9.9.9.12를 포함해 모든 주소가 일부러 망가뜨린 dnssec-failed.org와 brokendnssec.net에 SERVFAIL을 반환했고, 올바르게 서명된 도메인에는 ad 플래그를 설정했습니다. 이는 Quad9의 서비스 페이지와 일치하며, FAQ(세 가지 중 두 가지 서비스)와 Apple 프로필(9.9.9.10은 "No DNSSEC")의 설명은 우리가 측정한 결과와 맞지 않습니다.

Quad9는 누가 운영하며, 프라이버시는 안전할까?

Quad9는 취리히의 공익 비영리 재단인 Quad9 Foundation이 운영하며 후원과 기부로 재원을 마련합니다. 개인정보 처리방침의 내용은 다음과 같습니다.

• IP 주소는 개인정보로 취급됩니다. 스위스(FADP), 미국, EU(GDPR)의 정의 중 가장 엄격한 기준을 따르며, 어디에 사는 사용자든 모두 해당합니다.
• IP 주소는 저장되지 않습니다. 응답하는 데 필요한 수 마이크로초에서 수 밀리초 동안만 메모리에 있고, 조회한 이름과 연결되지도 않습니다.
• 보관하는 것은 카운터입니다. 거점, 네트워크 프리픽스(IPv4는 /24, IPv6는 /56보다 세밀하지 않음), AS 번호, 지역, 쿼리 유형, 프로토콜, 도메인 이름별 건수입니다. 보관(아카이브)될 수 있지만 방침에 따르면 개인정보는 들어 있지 않습니다.
• 판매하거나 마케터와 공유하지 않습니다. 위협 인텔리전스 파트너가 받는 것은 그 파트너가 제공한 도메인의 건수뿐이고, 출발지 IP는 받지 않습니다.
• 스위스 관할: Quad9는 스위스 당국이 승인한 요청에만 응합니다. 스위스 통신감시 기관은 감시법(SPTA)이 이 리졸버에 적용되지 않는다고 확인했으므로 사용자 메타데이터를 보관할 의무가 없습니다.

그래도 완전히 익명인 리졸버는 없습니다. Quad9는 여전히 모든 조회를 볼 수 있고, DoT나 DoH를 쓰지 않으면 일반 DNS는 경로상에서 읽힙니다.

Quad9 vs Cloudflare vs Google DNS

세 서비스 모두 무료이고 DNSSEC을 검증합니다. 실제 차이는 차단, 프라이버시, 그리고 운영 주체가 따르는 법입니다.

Quad9를 고를 때: 모든 기기에서 악성코드 차단을 원하고 가장 엄격한 프라이버시 조건을 원할 때입니다. Cloudflare를 고를 때: 속도가 가장 중요하거나(우리 회선에서 가장 빨랐습니다) 성인 필터가 필요할 때입니다. Google을 고를 때: ECS를 보내므로 CDN이 정확한 응답을 주기를 원할 때입니다. Cloudflare DNS와 Google DNS 가이드에서 두 서비스를 같은 수준으로 자세히 다룹니다.

Quad9 DNS 설정 방법

공유기에 Quad9를 설정하면 Wi-Fi에 연결된 모든 기기에 한 번에 적용됩니다. 밖으로 들고 다니는 스마트폰과 노트북은 기기 자체에 설정하세요.

Android에서(비공개 DNS)

• 설정을 열어 비공개 DNS를 검색합니다(Pixel은 네트워크 및 인터넷 안에, 갤럭시는 연결 → 기타 연결 설정에 있습니다. 갤럭시에서는 메뉴 이름이 프라이빗 DNS입니다).
• 비공개 DNS 제공업체 호스트 이름(갤럭시는 프라이빗 DNS 공급자 호스트 이름)을 선택합니다.
• dns.quad9.net을 입력하고(다른 서비스는 dns10.quad9.net 또는 dns11.quad9.net) 저장을 탭합니다.
• 브라우저에서 on.quad9.net을 열어 제대로 설정되었는지 확인합니다.

비공개 DNS는 모바일 데이터에서도 모든 조회를 DoT로 암호화합니다. 무엇이 가려지는지는 비공개 DNS 가이드에서 설명합니다.

iPhone 및 iPad에서

• 간단한 방법, Wi-Fi 하나만(암호화 없음): 설정 → Wi-Fi로 가서 네트워크 옆의 (i)를 탭하고 DNS 구성 → 수동을 선택합니다. 기존 서버를 지우고 9.9.9.9, 149.112.112.112, 2620:fe::fe, 2620:fe::9를 추가한 뒤 저장을 탭합니다.
• 암호화, 모든 네트워크에서: Safari(다른 브라우저는 작동하지 않습니다)에서 Quad9의 iOS 설정 가이드를 열어 프로필을 내려받습니다(Quad9는 HTTPS를 권장합니다). 그다음 설정에 나타나는 프로필이 다운로드됨에서 설치를 탭하고 암호를 입력합니다.
• on.quad9.net에서 결과를 확인합니다.

Windows 11 및 10에서

• Windows 11: 설정 → 네트워크 및 인터넷을 열고 Wi-Fi 또는 이더넷을 선택한 뒤 DNS 서버 할당 옆의 편집을 클릭하고 수동을 선택합니다.
• IPv4를 켜고 기본 설정 DNS에 9.9.9.9, 대체 DNS에 149.112.112.112를 입력하고, 각각 HTTPS를 통한 DNS(DNS over HTTPS)를 켜기(자동 템플릿)로 설정합니다. Windows는 이미 Quad9의 DoH 주소를 알고 있습니다.
• IPv6가 있다면 IPv6도 켜고(2620:fe::fe와 2620:fe::9, DoH 켜기) 저장합니다. Windows 내장 DoH 목록에는 2620:fe::9가 아니라 2620:fe::fe:9가 들어 있으므로, 켜기(자동 템플릿)가 나타나지 않으면 이것을 대체 주소로 쓰세요. DoH를 차단하는 네트워크로 옮겨 다니는 노트북에는 일반 텍스트로 대체가 필요할 수 있습니다.
• Windows 10: Win + R을 눌러 ncpa.cpl을 실행하고 어댑터를 마우스 오른쪽 버튼으로 클릭한 뒤 속성 → 인터넷 프로토콜 버전 4(TCP/IPv4) → 속성 → 다음 DNS 서버 주소 사용을 엽니다. IPv6도 같은 방식으로 설정합니다.

# PowerShell (as administrator): set Quad9 on the active adapter
$if = (Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object -First 1).Name
Set-DnsClientServerAddress -InterfaceAlias $if -ServerAddresses 9.9.9.9,149.112.112.112,2620:fe::fe,2620:fe::9
ipconfig /flushdns

# "doh" means encrypted, "do53-udp" means plain DNS
Resolve-DnsName -Type txt proto.on.quad9.net

macOS에서

• 시스템 설정 → 네트워크를 열고 Wi-Fi(또는 이더넷)를 선택한 뒤 세부사항을 클릭합니다.
• DNS를 열고 +를 클릭해 9.9.9.9, 149.112.112.112, 2620:fe::fe, 2620:fe::9를 추가합니다. 기존 항목은 –로 삭제하고 확인을 클릭합니다.
• macOS Big Sur 이상에서 암호화 DNS를 쓰려면 대신 Quad9의 프로필을 설치합니다. Safari에서 내려받은 뒤 시스템 설정에서 승인하세요.

# Terminal alternative (use "Ethernet" if wired)
networksetup -setdnsservers Wi-Fi 9.9.9.9 149.112.112.112 2620:fe::fe 2620:fe::9

# Flush the macOS DNS cache
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

라우터(공유기)에서

• 라우터 관리자 페이지(보통 192.168.0.1 또는 192.168.1.1)를 열고 로그인합니다.
• DNS 설정을 찾습니다. 보통 인터넷, WAN, DHCP 메뉴 아래에 있습니다. 자동에서 수동으로 바꿉니다.
• 9.9.9.9와 149.112.112.112를 입력합니다. IPv6 항목이 있다면 2620:fe::fe와 2620:fe::9도 입력합니다. 저장한 뒤 기기를 다시 연결합니다.
• 라우터가 암호화된 업스트림 DNS를 지원한다면(예: pfSense, OPNsense) dns.quad9.net을 지정하세요. Quad9 문서에 가이드가 있습니다.

Quad9를 쓰고 있는지 확인하는 방법

브라우저에서 on.quad9.net을 열면 "예" 또는 "아니요"로 답해 줍니다. 터미널에서 두 가지를 더 확인하면 좀 더 자세히 알 수 있습니다.

# 1. Did Quad9 get the query, and over which protocol?
dig +short txt proto.on.quad9.net
# "do53-udp" (plain DNS), "dot" or "doh"; no answer = not Quad9

# 2. Is your ISP intercepting queries to 9.9.9.9?
dig +short ch txt id.server @9.9.9.9
# "res700.bom2": a Quad9 resolver name. Nothing, or something else = redirected

Quad9는 아시아, 아프리카, 중동을 중심으로 일부 ISP가 9.9.9.9로 가는 조회를 자체 서버로 몰래 돌린다고 말합니다. Quad9 문서에는 .rrdns.pch.net으로 끝나는 이름이 나오지만 우리 결과는 더 짧은 res700.bom2였고, proto.on.quad9.net으로도 Quad9가 응답했음을 확인했습니다. 확인 2에서 아무것도 나오지 않거나 관련 없는 이름이 나오면, 그런 식으로 돌릴 수 없는 DoT나 DoH로 바꾸세요. 그런 다음 DNS Leak Test를 실행하세요. 발견된 리졸버는 모두 PCH(WoodyNet), Equinix, i3D처럼 Quad9가 쓰는 네트워크 소속이어야 하며 ISP 소속은 없어야 합니다.

Quad9가 안 될 때: 흔한 원인

• 필요한 사이트가 차단되었습니다. Quad9의 차단 도메인 페이지에서 해당 도메인을 검색하고, 오탐이면 Quad9 지원팀에 신고하세요. 그동안 DNS Lookup으로 그 도메인의 실제 레코드를 볼 수 있습니다.
• VPN이나 브라우저가 덮어쓰고 있습니다. VPN 앱은 자체 DNS를 쓰며, Quad9에 따르면 Firefox는 일부 지역에서 기본으로 Cloudflare의 DoH를 씁니다. VPN이나 브라우저 자체의 DNS 설정에 Quad9를 지정하세요.
• DoH 클라이언트가 너무 오래되었습니다. Quad9의 DoH는 이제 HTTP/2가 필요합니다. DoT를 쓰거나 dnscrypt-proxy, AdGuard Home, Unbound 같은 포워더를 쓰세요.
• ISP가 포트를 막고 있습니다. Quad9는 일반 DNS를 9953번 포트로도 받으며, 우리 회선에서는 이 포트가 작동했습니다. DoT의 853번 포트도 막혀 있다면 443번 포트에서 동작하는 DoH를 쓰세요.
• 동영상이나 다운로드가 먼 서버에서 옵니다. ECS가 없어서일 수 있습니다. 9.9.9.11을 쓰거나, 차단 없이 쓰려면 9.9.9.12를 써 보세요.
• 변경 뒤에도 예전 응답이 나옵니다. Quad9 자체 캐시를 비우는 공개 도구는 없지만 기기의 캐시는 비울 수 있습니다. DNS 캐시 비우는 방법을 참고하세요.