DoH/DoT/DNSSEC（ディーオーエイチディーオーティー）
暗号化DNS+改竄検知。DNS over HTTPS(RFC 8484・Cloudflare 1.1.1.1・Google 8.8.8.8・Quad9)・DNS over TLS(RFC 7858)・DNS over QUIC(RFC 9250)・DNSSEC(RFC 4033/4034/4035・DS/RRSIG/DNSKEY)・Oblivious DoH・AdGuard DNS・NextDNS・ControlD代表、2026年各OS標準化+IPv6併用。
概要
DoH（DNS over HTTPS）、DoT（DNS over TLS）、DNSSEC（DNS Security Extensions）は、インターネット上の名前解決を暗号化し、改竄検知を行う技術です。
DoHはRFC 8484で定義され、HTTPS（ポート443）を利用してDNSクエリを送受信します。
DoTはRFC 7858で定義され、TLS（ポート853）を介してDNSを暗号化します。
DNSSECはRFC 4033/4034/4035で定義され、DNSレコードにデジタル署名（DS/RRSIG/DNSKEY）を付与し、応答の真正性を保証します。
主な特徴・仕組み
- すべてのDNSトラフィックをTLS/HTTPSで暗号化。
- 既存のUDP/53ポートを使用しないため、ファイアウォールでの遮断が難しい。
- DNSSECはレコード単位で署名を行い、改竄を検知。
- DoH/DoTはIPv6と併用可能で、IPv6専用のエンドポイントも存在。
- 2025年に主要OS（Windows 12、macOS 15、Linux 6.5）で標準化が予定。
- 2026年には「Oblivious DoH」が商用化され、クライアントIPを隠蔽。
- 速度は従来のUDPに比べて若干遅延が増加するが、平均30ms以下。
- Cloudflare 1.1.1.1は1.5Gbpsの帯域を持ち、Google 8.8.8.8は2.5Gbps。
- 1.5GHzのCPUを搭載したルーターであれば、DoH/DoTの処理はほぼオーバーヘッドなし。
- 2026年の標準化により、IPv6とDoH/DoTの統合が推奨される。
スペック/製品比較表
| 製品 | プロトコル | 速度 | 互換性 | 価格 | 2025年展望 |
|---|---|---|---|---|---|
| Cloudflare 1.1.1.1 | DoH/DoT | 1.5Gbps | 100% | 無料 | さらに高速化 |
| Google 8.8.8.8 | DoH/DoT | 2.5Gbps | 100% | 無料 | 2026年にDoT専用サーバー追加 |
| Quad9 | DoH/DoT | 1.2Gbps | 100% | 無料 | セキュリティ機能拡充 |
| AdGuard DNS | DoH/DoT | 1.0Gbps | 100% | 無料 | 2025年に広告ブロック機能統合 |
具体例・対応製品
- Cloudflare 1.1.1.1：世界最大級のDoH/DoTプロバイダー。
- Google 8.8.8.8：Googleが提供する高速DNS。
- Quad9：脅威情報をリアルタイムでフィルタリング。
- AdGuard DNS：広告・トラッカーをブロック。
- NextDNS：プライバシー重視のカスタマイズ可能DNS。
- ControlD：企業向けのDoH/DoT統合ソリューション。
- ASUS ROG ROG-01：1.5GHz CPU、512MB RAM、1TB SSD、DoH/DoT対応。
- Netgear Nighthawk RAX200：3.0GHz CPU、1GB RAM、2TB NVMe、DoH/DoT内蔵。
- TP-Link Archer AX6000：2.5GHz CPU、512MB RAM、1TB SATA、DoH/DoTサポート。
- Synology DS920+：2.5GHz CPU、4GB RAM、4TB HDD、DoH/DoT機能付き。
自作PCでの選び方・注意点
- ルーター/ブリッジにDoH/DoT対応機能があるか確認。
- CPUは1.5GHz以上、RAMは512MB以上が望ましい。
- 1TB SSDまたは2TB HDDを搭載し、データ転送速度を確保。
- ルーターのファームウェアが最新（2025年版）であること。
- IPv6が有効化されているか確認。
- DNSSECを有効にする設定があるかチェック。
- ルーターのポート設定で443/853が開放されているか。
- ルーターのログ機能でDNSトラフィックを監視。
- ルーターの電源供給が安定しているか。
- ルーターのファームウェア更新を定期的に実施。
関連用語との違い
- UDP DNS：暗号化されず、改竄検知機能がない。
- IPv4 DNS：IPv6と比べてアドレス枯渇が懸念。
- DNS over QUIC（RFC 9250）：UDPベースで高速化を図るが、DoH/DoTほど普及していない。
- Oblivious DoH：クライアントIPを隠すことでトラッキングを防止。
- DNS over TLS：DoHと同等の暗号化を行うが、ポート番号が異なる。
よくある質問
Q1: DoHとDoTの違いは何ですか？
A1: DoHはHTTPS（ポート443）を利用し、Webトラフィックと同一ポートで通信します。DoTはTLS（ポート853）を利用し、専用ポートで通信します。
Q2: DNSSECは必須ですか？
A2: 必須ではありませんが、改竄検知が必要な環境では有効化が推奨されます。
Q3: ルーターでDoH/DoTを設定する際の注意点は？
A3: ルーターのファームウェアがDoH/DoTをサポートしているか、ポートが開放されているか、IPv6が有効かを確認してください。
まとめ
DoH/DoTとDNSSECは、インターネット上の名前解決を暗号化し、改竄を検知するための重要な技術です。2025年・2026年の標準化に伴い、主要OSやルーターでのサポートが進むとともに、Oblivious DoHなどのプライバシー強化機能が登場します。自作PCを構築する際は、CPUやRAM、ストレージ容量、ファームウェアの最新版を確認し、DoH/DoTとDNSSECを有効化することで、安全かつ高速なネットワーク環境を実現できます。