Encrypted DNS DoH/DoT/DoQ/ODoH 2026（エンクリプテッドディーエヌエス）
Encrypted DNS protocol。DoH DNS over HTTPS (RFC 8484・Port 443)・DoT DNS over TLS (RFC 7858・Port 853)・DoQ DNS over QUIC (RFC 9250)・ODoH Oblivious DoH (Cloudflare/Apple iCloud Private Relay)・DNSSEC RFC 9364 Roadmap・dnscrypt-proxy 2.x・Knot Resolver 5.7・Unbound 1.21・Stubby・Cloudflare 1.1.1.1+WARP・Quad9・Mullvad DNS・¥0、2026年Encrypted Client Hello ECH普及。
概要
Encrypted DNS は、DNS クエリを TLS/HTTPS/QUIC で暗号化し、通信内容を第三者に漏らさない仕組みです。2026 年現在、DoH（DNS over HTTPS, RFC 8484, ポート 443）、DoT（DNS over TLS, RFC 7858, ポート 853）、DoQ（DNS over QUIC, RFC 9250, ポート 853/QUIC）、ODoH（Oblivious DoH, Cloudflare/Apple iCloud Private Relay）といった複数プロトコルが実装され、DNSSEC との併用が標準化されています。2025 年には主要ブラウザが Encrypted Client Hello（ECH）を採用し、DoH でのサーバー名情報漏洩を防止。2026 年には QUIC をベースにした DoQ が RFC 9250 で正式承認され、低レイテンシと多重化が可能に。さらに、Cloudflare WARP が DoH/DoT を組み合わせたパフォーマンス向上を実現し、Quad9 は 2026 年版で DoQ をサポート開始。これらの動向は、プライバシーと速度の両立を追求する自作 PC ユーザーにとって重要です。
主な特徴・仕組み
- 暗号化レイヤー：DoH は HTTPS（TLS 1.3）で、DoT は TLS 1.3、DoQ は QUIC（TLS 1.3 + UDP）で通信。ODoH は DoH の上に匿名化層を追加。
- ポート番号：DoH → 443（TCP/UDP）、DoT → 853（TCP/UDP）、DoQ → 853（UDP/QUIC）。
- ECH 対応：2025 年以降、主要ブラウザが ECH を実装。サーバー名情報を暗号化し、リクエスト元を隠蔽。
- DNSSEC 互換：RFC 9364 に沿い、DoH/DoT/DoQ で DNSSEC を検証。
- パフォーマンス：DoQ は UDP ベースで 0.5 ms 以内のレイテンシを実現。DoH では 1–3 ms、DoT では 2–4 ms。
- サーバー数：2026 年版 Cloudflare 1.1.1.1 は 3,200 台以上、Quad9 は 1,800 台、Mullvad DNS は 1,200 台。
- プロキシ/リゾルバ：dnscrypt-proxy 2.x（CPU 10 %）、Knot Resolver 5.7（256 KB RAM）、Unbound 1.21（128 KB RAM）でローカルリゾルバが可能。
- プライバシー：ODoH では 100 % 匿名化、DoH/DoT/DoQ では 99 % 以上のクエリ情報漏洩防止。
- レジリエンス：DoQ は UDP での再送制御が内蔵され、ネットワーク障害時に 0.8 % の失敗率。
- 互換性：Windows 11 22H2、Ubuntu 24.04、macOS 15 で標準サポート。
スペック比較表
| プロトコル | ポート | 暗号化方式 | レイテンシ（ms） | 主な実装サービス | 主なクライアント |
|---|---|---|---|---|---|
| DoH | 443 | TLS 1.3 | 1–3 | Cloudflare 1.1.1.1, Quad9, Mullvad | Chrome, Firefox |
| DoT | 853 | TLS 1.3 | 2–4 | Cloudflare 1.1.1.1, Google Public DNS | macOS, iOS |
| DoQ | 853/UDP | QUIC 1.0 | <0.5 | Cloudflare 1.1.1.1, Quad9 2026版 | Linux, Android |
| ODoH | 443 | TLS 1.3 + 隠蔽層 | 1–2 | Cloudflare, Apple iCloud Private Relay | iOS, macOS |
具体例・対応製品
- Cloudflare 1.1.1.1 + WARP
- IP: 1.1.1.1 / 1.0.0.1
- DoH/DoT/DoQ すべてサポート。WARP により 30 % 速度向上。
- Quad9 9.9.9.9
- IP: 9.9.9.9 / 149.112.112.112
- DoH/DoT/DoQ 2026 版で 99.9 % のフィルタリング。
- Mullvad DNS 194.242.0.1
- IP: 194.242.0.1 / 194.242.0.2
- DoH/DoT で 100 % 匿名化。プライベートリレーは未実装。
- dnscrypt-proxy 2.x
- CPU 使用率: 10 % (Intel i5-12600K)
- 256 KB RAM でローカルリゾルバ。DoH/DoT/DoQ をフロントエンドに。
- Knot Resolver 5.7
- RAM: 256 KB
- DoH/DoT/DoQ で高速キャッシュ。
- Unbound 1.21
- RAM: 128 KB
- DoH/DoT でセキュリティ強化。
自作PCでの選び方・注意点
- ハードウェア：CPU は 10 % 以上の暗号化負荷を許容できるものを選ぶ。例：AMD Ryzen 9 7950X、Intel Core i9‑14900K。
- メモリ：ローカルリゾルバを利用する場合、256 KB 以上の RAM を確保。
- ネットワークカード：UDP/QUIC を高速に処理できる 10 GbE カード推奨。
- OS 設定：
/etc/resolv.confにoptions single-request-reopenを追加し、DoH/DoT での DNSSEC 検証を有効化。 - ファイアウォール：ポート 443/853 を許可し、QUIC の UDP 0.0.0.0:853 を開放。
- ソフトウェア：dnscrypt-proxy 2.x をインストールし、
dnscrypt-proxy.tomlで DoH/DoT/DoQ を有効化。 - プライバシー：ODoH を利用する場合は Cloudflare ODoH エンドポイントを設定。
- 更新：2026 年版の Quad9 で DoQ がサポートされるため、
dnscrypt-proxyの設定ファイルを最新版に更新。
関連用語との違い
- DNS over TLS (DoT)：TCP ベースで 853 番ポート。レイテンシは DoH より高い。
- DNS over HTTPS (DoH)：HTTP/2 で 443 番ポート。ウェブアプリケーションの混在が容易。
- DNS over QUIC (DoQ)：UDP/QUIC ベースで 853 番ポート。レイテンシ 0.5 ms 以内。
- Oblivious DoH (ODoH)：DoH の上に匿名化層を追加。リクエスト元 IP を隠す。
- Encrypted Client Hello (ECH)：TLS ハンドシェイク時にサーバー名を暗号化。DoH/DoT/DoQ でのリクエスト元情報漏洩を防止。
よくある質問 (FAQ)
Q1. DoH と DoT の違いは何ですか？
A1. DoH は HTTPS（ポート 443）を使い、Web 風に通信。DoT は TLS（ポート 853）を使い、従来の DNS で使われる TCP/UDP をそのまま暗号化。レイテンシは DoH が 1–3 ms、DoT が 2–4 ms。
Q2. DoQ は 2026 年版で正式に標準化されたのですか？
A2. はい。RFC 9250 が 2026 年に承認され、Cloudflare と Quad9 が 2026 年版で DoQ をサポート開始。UDP/QUIC で 0.5 ms 以内のレスポンスが可能です。
Q3. ODoH を使うと完全に匿名化されますか？
A3. ODoH はリクエスト元 IP を隠すため、クエリ内容は暗号化されますが、DNSSEC の検証情報は公開されます。完全な匿名化ではなく、99 % 以上のプライバシーを提供します。
まとめ
2026 年の Encrypted DNS は DoH/DoT/DoQ/ODoH の各プロトコルが実際に運用され、ECH でサーバー名情報漏洩を防止。自作 PC では CPU、メモリ、ネットワークカードの性能を考慮し、dnscrypt-proxy などのローカルリゾルバを設定して高い速度とプライバシーを両立できます。2025–2026 年の動向を踏まえて、DoQ への移行や ODoH の導入を検討すれば、将来にわたって安全かつ高速な DNS 通信を確保できます。