프라이빗 DNS란? 설정 방법과 자동 모드, 단점 정리

Private DNS란?

Private DNS(갤럭시 메뉴 이름은 프라이빗 DNS, Pixel 등 기본 Android에서는 비공개 DNS)는 Android의 암호화 DNS 설정입니다. 기기가 조회하는 웹사이트 이름을 암호화된 연결로 보내므로 Wi-Fi 네트워크와 통신사(ISP)가 그 내용을 읽거나 바꿀 수 없습니다. 켜려면 설정 → 네트워크 및 인터넷 → 비공개 DNS에서 비공개 DNS 제공업체 호스트 이름을 선택하고 dns.google이나 one.one.one.one 같은 호스트 이름을 입력합니다. 갤럭시에서는 설정 → 연결 → 기타 연결 설정 → 프라이빗 DNS → 프라이빗 DNS 공급자 호스트 이름입니다.

Android 9(2018년)부터 DNS over TLS 방식으로 제공되었고, 2022년 Google Play 시스템 업데이트 이후 Android 11 이상에서는 Android가 인식하는 제공업체(Google의 dns.google, 그리고 cloudflare-dns.com이라는 이름으로 지정한 Cloudflare)에 한해 DNS over HTTP/3를 대신 사용합니다(one.one.one.one으로 지정하면 DNS over TLS를 그대로 사용합니다). iPhone, Windows, Mac, 웹 브라우저도 '암호화 DNS'라는 이름으로 같은 보호 기능을 제공합니다.

회사나 클라우드 네트워크에서 말하는 Private DNS는 뜻이 다릅니다. 그 네트워크 안에만 존재하는 내부 DNS 영역을 가리키며, 아래에서 설명합니다.

일반 DNS의 작동 방식 (그리고 왜 문제인가)

전통적인 DNS는 1987년부터 쿼리를 평문으로 전송해왔습니다. 브라우저에 도메인 이름을 입력하면 기기가 DNS 리졸버(보통 ISP 서버)로 UDP 포트 53을 통해 DNS 쿼리를 보냅니다. 리졸버는 IP 주소로 응답하며, 이 모든 과정이 완전히 암호화되지 않은 상태로 진행됩니다.

이는 네트워크 경로상의 누구나 여러분이 방문하는 모든 도메인을 볼 수 있다는 것을 의미합니다. ISP는 완전한 브라우징 프로필을 구축할 수 있습니다. 공용 Wi-Fi의 공격자가 쿼리를 가로챌 수 있습니다. 일부 ISP는 DNS 응답을 변조해 잘못 입력한 주소를 자체 검색이나 광고 페이지로 보내기도 했습니다.

DNS는 또한 공격자가 위조된 응답을 보내 여러분을 악성 웹사이트로 리다이렉트하는 캐시 포이즈닝 및 스푸핑 공격에 취약합니다. 전통적인 DNS에는 응답이 실제 DNS 서버에서 온 것인지 확인할 수 있는 기본 메커니즘이 없습니다.

Private DNS의 작동 원리

Private DNS는 DNS 쿼리를 암호화된 연결 내부에 감쌉니다. UDP 포트 53으로 평문 쿼리를 보내는 대신, 기기가 먼저 DNS 리졸버와 암호화된 세션을 설정한 다음 해당 보안 터널을 통해 쿼리를 전송합니다.

DNS 리졸버는 쿼리를 복호화하고, 도메인 이름을 IP 주소로 변환한 후, 응답을 암호화하여 다시 보냅니다. 전체 교환 과정은 네트워크를 모니터링하는 누구에게도 보이지 않습니다. DNS 서버와 통신하고 있다는 것은 볼 수 있지만, 어떤 도메인을 쿼리하는지는 볼 수 없습니다.

현재 사용 중인 암호화 DNS 프로토콜은 세 가지입니다: DNS over TLS(DoT), DNS over HTTPS(DoH), DNS over QUIC(DoQ). 각각 동일한 기본 DNS 쿼리를 암호화하는 데 서로 다른 접근 방식을 취합니다.

DNS over TLS vs DNS over HTTPS vs DNS over QUIC

DoT(RFC 7858)는 DNS를 TLS 안에 넣어 전용 포트 853으로 보냅니다. Android의 Private DNS는 Android 9부터 이 방식을 사용하며, 포트가 전용이라 네트워크에서 쉽게 차단할 수 있습니다.

DoH(RFC 8484)는 DNS 쿼리를 포트 443의 HTTPS 요청으로 보내므로 다른 웹 트래픽처럼 보이고, 알려진 DoH 서버를 차단하는 방법으로만 막을 수 있습니다. Chrome, Firefox, Edge에 기본 내장되어 있고 Windows 11은 시스템 전체에서 사용할 수 있습니다. Android 11 이상에서는 Private DNS가 Android가 인식하는 제공업체(Google의 dns.google, 그리고 cloudflare-dns.com이라는 이름으로 지정한 Cloudflare)에 대해 HTTP/3 기반 DoH(DoH3)를 사용합니다. one.one.one.one으로 지정하면 DNS over TLS를 그대로 사용합니다.

DoQ(RFC 9250, 2022년)는 DNS를 QUIC 위에서 직접 UDP 포트 853으로 보냅니다. HOL(head-of-line) 블로킹을 피하고 연결을 빠르게 재개할 수 있습니다. 지원하는 리졸버는 많지 않습니다. AdGuard DNS와 Quad9이 지원하고(Quad9은 DDR 응답에 DoQ를 포함합니다. 2026년 10월 26일 확인), Cloudflare 1.1.1.1은 DoT, DoH, Oblivious DoH를 지원하지만 DoQ는 지원하지 않으며, Android도 DoQ를 사용하지 않습니다.

Android에서 Private DNS 설정하는 방법

Android는 Android 9(2018년)부터 Private DNS를 지원합니다. Wi-Fi와 모바일 데이터 모두에서 모든 앱에 적용되며 모드는 세 가지입니다. 사용 안함, 기본값인 자동(네트워크의 DNS 서버가 지원하면 암호화하고, 지원하지 않으면 일반 DNS 사용), 그리고 입력한 제공자를 항상 사용하는 비공개 DNS 제공업체 호스트 이름입니다. 갤럭시에서는 메뉴 이름이 프라이빗 DNS이고 세 번째 모드는 프라이빗 DNS 공급자 호스트 이름으로 표시됩니다.

• 1단계: 설정 > 네트워크 및 인터넷(갤럭시는 연결) 열기
• 2단계: 비공개 DNS(갤럭시는 프라이빗 DNS) 탭 (먼저 고급 또는 기타 연결 설정을 탭해야 할 수 있음)
• 3단계: 비공개 DNS 제공업체 호스트 이름(갤럭시는 프라이빗 DNS 공급자 호스트 이름) 선택
• 4단계: 제공자의 호스트 이름 입력. 예: 1dot1dot1dot1.cloudflare-dns.com(Cloudflare), dns.google(Google), dns.quad9.net(Quad9), dns.adguard-dns.com(AdGuard)
• 5단계: 저장 탭. Android가 제공자에 연결할 수 없으면 '비공개 DNS 서버에 액세스할 수 없습니다.'라는 경고가 표시됩니다(Pixel 등 기본 Android 기준)

iPhone 및 iPad에서 Private DNS 설정하는 방법

iPhone과 iPad(iOS 14 이상)는 DNS over HTTPS와 DNS over TLS를 지원하지만 Android처럼 스위치 하나로 켜는 기능은 없습니다. 암호화 DNS 앱이나 구성 프로필을 추가해야 합니다.

• 방법 1: DNS 앱 — 사용할 제공자의 앱(예: Cloudflare의 1.1.1.1, NextDNS, AdGuard)을 App Store에서 설치하고 켭니다. DNS 설정은 설정 > 일반 > VPN 및 기기 관리에 표시됩니다.
• 방법 2: 구성 프로필 — DNS 제공자(또는 paulmillr/encrypted-dns GitHub 저장소 같은 신뢰할 수 있는 모음)에서 .mobileconfig 파일을 Safari로 다운로드한 다음, 설정 > 일반 > VPN 및 기기 관리에서 다운로드한 프로필을 선택하고 설치를 탭합니다.
• 방법 3: 네트워크별 DNS — 설정 > Wi-Fi에서 네트워크 옆의 (i)를 탭하고 DNS 구성에서 수동을 선택한 뒤 DNS 서버 IP(예: 1.1.1.1, 1.0.0.1)를 추가합니다. 참고: 이 방법은 DNS를 암호화하지 않고 조회할 서버만 바꿉니다.

Windows 11에서 DNS over HTTPS 설정하는 방법

Windows 11은 DNS over HTTPS를 기본 지원합니다. Cloudflare, Google, Quad9을 포함한 인식된 DoH 제공자 목록이 내장되어 있습니다.

• 1단계: 설정 > 네트워크 및 인터넷 > Wi-Fi(또는 이더넷) 열기
• 2단계: 연결의 하드웨어 속성 클릭
• 3단계: DNS 서버 할당 옆의 편집 클릭
• 4단계: 수동을 선택하고 IPv4 활성화
• 5단계: 기본 설정 DNS 입력(예: 1.1.1.1), DNS over HTTPS를 자동 템플릿으로 켜기(영문 UI: On (automatic template))
• 6단계: 대체 DNS 입력(예: 1.0.0.1), DoH를 마찬가지로 켜기
• 7단계: 저장 클릭. DNS 항목에 암호화되었다는 표시(영문 UI: Encrypted)가 나타나야 합니다.

# View pre-configured DoH providers in Windows 11
netsh dns show encryption

# Add a custom DoH provider via PowerShell
Add-DnsClientDohServerAddress -ServerAddress '1.1.1.1' -DohTemplate 'https://cloudflare-dns.com/dns-query' -AllowFallbackToUdp $False -AutoUpgrade $True

macOS에서 Private DNS 설정하는 방법

macOS(Big Sur 11 이상)는 iOS와 같은 구성 프로필 또는 DNS 앱을 통해 암호화 DNS를 지원합니다.

• 방법 1: DNS 앱 — Cloudflare 1.1.1.1 앱(또는 유사한 앱)을 설치하고 활성화합니다. 앱이 시스템 레벨에서 DoH 또는 DoT를 설정합니다.
• 방법 2: 구성 프로필 — .mobileconfig 파일을 다운로드하고 더블클릭하여 설치한 다음 시스템 설정에서 승인합니다(위치는 macOS 버전마다 다르며, Apple의 최신 도움말 기준으로는 일반 > 기기 관리입니다. 찾기 어려우면 시스템 설정 검색창에서 '프로필'을 검색하세요).
• 방법 3: 터미널(고급) — networksetup을 사용하여 DNS 서버를 변경할 수 있지만, 명령줄 DNS 변경만으로는 암호화가 활성화되지 않습니다. 암호화 DNS를 위해서는 프로필 또는 앱이 여전히 필요합니다.

최고의 Private DNS 제공자 (2026)

Cloudflare 1.1.1.1은 DoT와 DoH(및 Oblivious DoH)를 지원하며, 필터링 버전인 security.cloudflare-dns.com(맬웨어 차단)과 family.cloudflare-dns.com(맬웨어 + 성인 콘텐츠 차단)도 제공합니다. 출발지 IP 주소를 디스크에 저장하지 않고 로그는 25시간 이내에 삭제하며, 외부 감사 기관이 이 약속을 점검합니다.

Google Public DNS는 DoT와 DoH를 지원합니다. 임시 로그에는 전체 IP 주소가 남고 24~48시간 이내에 삭제되며, 영구 보관되는 샘플에는 도시 수준의 위치만 남습니다. 로그 최소화가 우선이라면 Cloudflare나 Quad9이 더 잘 맞습니다.

Quad9은 스위스 비영리 재단이 운영하며 IP 주소를 저장하지 않고, 보안 파트너의 위협 인텔리전스로 알려진 악성 도메인을 차단합니다. 보안을 중시하는 사용자에게 좋은 선택입니다.

AdGuard DNS는 DNS 레벨에서 광고와 트래커를 차단하므로 별도의 광고 차단 앱 없이도 기기 전체에서 광고가 사라집니다. DNS over QUIC도 지원합니다.

NextDNS는 가장 세밀하게 제어할 수 있습니다. 맞춤 호스트 이름, 설정 가능한 차단 목록, 기기별 분석, 자녀 보호, 무엇이 차단되는지 확인하는 대시보드를 제공합니다. 무료 요금제는 월 300,000건의 쿼리를 포함합니다.

속도는 위치에 따라 다르니 감으로 고르지 마세요. 무료 DNS 속도 테스트로 Cloudflare, Google, Quad9을 내 네트워크에서 암호화된 DNS over HTTPS로 비교한 다음, 실제로 가장 빠른 제공자로 Private DNS를 설정하세요.

가장 큰 두 제공자의 모든 주소와 설정 방법은 Cloudflare DNS 서버와 Google DNS 서버 가이드에 정리되어 있습니다.

Private DNS 호스트 이름(코드) 목록: Android 입력란에 넣을 주소

Private DNS 호스트 이름(Private DNS 코드라고도 부릅니다)은 Android의 설정 → 네트워크 및 인터넷 → 비공개 DNS → '비공개 DNS 제공업체 호스트 이름'(갤럭시: 프라이빗 DNS 공급자 호스트 이름)에 입력하는 주소입니다.

아래 중 하나를 입력란에 복사해 넣으세요. 주요 제공자의 공식 호스트 이름입니다.

저장한 뒤에는 적용됐는지 확인하세요. DNS Robot의 DNS 누출 테스트에 ISP가 아니라 선택한 제공자의 서버가 표시되어야 합니다. 특정 네트워크에서만 설정이 실패한다면 아래의 암호화 DNS 차단 부분에서 이유를 확인할 수 있습니다.

퍼블릭 DNS vs 프라이빗 DNS: 기업 환경에서의 의미

헷갈리게도 Private DNS(프라이빗 DNS)에는 기업과 클라우드 환경에서 쓰는 두 번째 의미가 있으며, 휴대폰의 암호화 DNS 설정과는 아무 관련이 없습니다.

이 경우 Private DNS는 프라이빗 DNS 영역(zone)을 뜻합니다. intranet.corp.local이나 db1.internal 같은 내부 이름 레코드를 회사 네트워크나 클라우드 VPC 안에서만 접근할 수 있는 서버에 두는 것입니다. AWS는 이를 Route 53 프라이빗 호스팅 영역이라고 부르고, Azure에는 Azure Private DNS가 있으며, Oracle과 Google Cloud도 비슷한 서비스를 제공합니다. 이 레코드는 공용 인터넷에 공개되지 않으므로 공용 리졸버에서는 보이지 않습니다.

구별하는 방법은 간단합니다. 휴대폰이나 노트북 설정에 호스트 이름을 입력하고 있다면 암호화 DNS(이 글의 주제)입니다. IT 팀이나 클라우드 콘솔에서 말하는 Private DNS는 내부 영역입니다. 어떤 이름이 공용 인터넷에서 어떻게 보이는지는 DNS 조회로 확인할 수 있으며, 프라이빗 영역에만 있는 레코드는 아예 나타나지 않습니다.

Private DNS 사용의 장점

기기에서 Private DNS를 활성화하면 즉각적인 보안 및 프라이버시 개선 효과를 얻을 수 있습니다.

• ISP 감시 차단 — ISP가 더 이상 여러분이 쿼리하는 도메인을 보거나 DNS 트래픽으로 브라우징 프로필을 구축할 수 없습니다
• 경로상의 DNS 스푸핑 방지 — TLS 인증서가 실제 DNS 제공자와 통신하고 있음을 증명하므로, 그 사이에 있는 누구도 응답을 위조할 수 없습니다
• 공용 Wi-Fi 보호 — 같은 네트워크의 다른 사용자가 여러분의 DNS 쿼리를 가로챌 수 없습니다
• DNS 하이재킹 차단 — 손상된 라우터나 악성 네트워크에 의해 쿼리가 몰래 리다이렉트될 수 없습니다
• 투명 DNS 프록시 우회 — 일부 ISP는 서드파티 서버를 사용해도 포트 53에서 DNS를 가로챕니다. 암호화 DNS는 다른 포트를 사용하여 이러한 프록시를 우회합니다
• 선택적 광고 및 맬웨어 차단 — AdGuard, NextDNS, Quad9 같은 제공자가 DNS 레벨에서 광고, 트래커, 악성 도메인을 차단할 수 있습니다
• 시스템 전체 적용 — 한 번 활성화하면 Private DNS가 브라우저뿐만 아니라 기기의 모든 앱을 보호합니다

Private DNS의 잠재적 단점

Private DNS가 완벽하지는 않습니다. 알아야 할 트레이드오프를 정리했습니다.

• 첫 조회가 조금 느려짐 — 암호화된 연결을 설정하느라 첫 쿼리 전에 왕복 한두 번의 시간이 더 듭니다. 그 이후에는 연결이 재사용됩니다.
• 캡티브 포털 문제 발생 가능 — 로그인 페이지가 필요한 호텔, 공항, 카페 Wi-Fi 네트워크는 리다이렉트를 위해 비암호화 DNS가 필요한 경우가 많습니다. Private DNS가 이러한 포털 로딩을 방해할 수 있습니다.
• 기업 네트워크에서 차단 가능 — IT 부서는 보안 모니터링을 위해 DNS 가시성이 필요합니다. 많은 기업 네트워크가 의도적으로 외부 리졸버로의 암호화 DNS를 차단합니다.
• 중앙화 우려 — 암호화 DNS는 소수의 대형 리졸버(Cloudflare, Google) 사용을 촉진하여 DNS 트래픽을 더 적은 수의 회사에 집중시킵니다.
• 모든 것을 암호화하지는 않음 — Private DNS는 도메인 쿼리를 암호화하지만, ISP는 여전히 TLS 핸드셰이크의 SNI를 통해 여러분이 연결하는 IP 주소를 볼 수 있습니다(ECH도 함께 사용하지 않는 한).
• 분할 호라이즌 DNS 문제 — 내부와 외부에서 다른 DNS를 사용하는 조직에서는 기기가 내부 리졸버를 우회할 때 문제가 발생할 수 있습니다.

'이 네트워크가 암호화된 DNS 트래픽을 차단하고 있습니다' - 의미

iPhone, iPad, Mac의 Wi-Fi 설정에서 네트워크 이름 아래에 암호화된 DNS 트래픽이 차단되고 있다는 경고(영문 표시: "This network is blocking encrypted DNS traffic")가 나타날 수 있습니다. 기기가 암호화 DNS를 사용하려 했지만 네트워크가 막았다는 뜻으로, 그 네트워크에서는 여러분이 조회하는 이름이 네트워크에 그대로 보입니다.

회사·학교 Wi-Fi, 로그인 페이지가 있는 호텔·공항 네트워크, 일부 가정용 라우터에서 흔히 나타납니다. 원인별 해결법은 전체 가이드 이 네트워크는 암호화된 DNS 트래픽을 차단하고 있습니다에 정리되어 있으며, 빠른 해결 방법은 다음과 같습니다.

• 기기와 라우터 재시작 — 멈춘 연결이 풀리며, 집에서는 이것만으로 해결되는 경우가 많습니다
• Wi-Fi 네트워크를 지우고 다시 연결 — Wi-Fi 설정에서 네트워크를 지운 다음 다시 연결합니다
• VPN 사용 — VPN은 DNS를 포함한 모든 트래픽을 암호화하여 네트워크 레벨의 DNS 차단을 우회합니다
• 관리형 네트워크에서는 수용 — 기업이나 학교 네트워크에서 암호화 DNS 차단은 보안 모니터링을 위한 의도적인 조치인 경우가 많습니다. 우회하지 못할 수 있습니다

Private DNS가 작동하는지 확인하는 방법

Private DNS를 활성화한 후, 쿼리가 실제로 암호화되고 선택한 제공자를 통해 라우팅되고 있는지 확인해야 합니다.

• DNS Robot의 DNS 유출 테스트 — 기기에서 DNS 누출 테스트를 실행하면 실제로 조회에 응답하는 리졸버가 표시됩니다. ISP가 아니라 선택한 제공자가 보여야 합니다
• Cloudflare 확인 페이지 — Cloudflare를 사용한다면 1.1.1.1/help에서 DoH, DoT, 일반 DNS 중 무엇을 쓰고 있는지 확인할 수 있습니다
• Android — 호스트 이름을 설정했는데 연결할 수 없으면 '비공개 DNS 서버에 액세스할 수 없습니다.'(Pixel 등 기본 Android 기준)라는 경고가 표시됩니다. 경고가 없으면 정상적으로 작동하는 것입니다
• Windows 11 — DoH가 켜져 있으면 연결 속성에서 각 DNS 서버 옆에 암호화 표시(영문 UI: (Encrypted))가 붙습니다

# Test DNS over TLS with kdig
kdig -d @1.1.1.1 +tls-ca +tls-host=cloudflare-dns.com example.com

# Which resolver asks on this computer's behalf? (DNS Robot's test nameserver replies with its IP)
dig +short TXT whoami.leak.dnsrobot.net

# Test DNS over HTTPS with curl
curl -s -H 'accept: application/dns-json' \
  'https://cloudflare-dns.com/dns-query?name=example.com&type=A'