Windows 10でDNS over HTTPS（DoH）を有効化する方法【レジストリ設定手順】

DNS over HTTPS（DoH）とは？

DNS over HTTPS（DoH）のサポートは、Windows 10 2004ビルド（2020年5月アップデート）から搭載されました。これにより、Windows 10は内蔵のDoHクライアントを使用して、HTTPS経由でDNS名前解決を行えるようになっています。

通常、パソコンがDNSサーバーに接続して名前解決を行う際、DNSのリクエストやレスポンスは平文（暗号化されていない状態）でインターネット上を送受信されます。そのため、攻撃者にトラフィックを傍受されれば、どのサイトにアクセスしたかが盗み見られたり、中間者攻撃（Man-in-the-Middle）によってDNSトラフィックを改ざんされたりする危険性があります。

DoHプロトコルは、すべてのDNSクエリをHTTPSで暗号化することで、ユーザーのプライバシーを保護します。DNSクエリをHTTPSトラフィックにカプセル化し、DoH対応のDNSサーバーへ送信する仕組みです。

レジストリでDoHを有効にする手順

Windows 10 2004には、グループポリシー（GPO）やGUIでのDoH有効化オプションがまだ用意されていません。現時点では、最新のWindows 10ビルドにおいてレジストリ経由でのみDoHを有効化できます。

手順1：レジストリエディターを起動

1. regedit.exeを実行します。
2. 以下のレジストリキーへ移動します。
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters

手順2：DWORD値を作成

新しいDWORD値としてEnableAutoDohを作成し、値を2に設定します。

PowerShellを使えば、以下のコマンドでも同じ設定が可能です。

$EnableDNSoverHTTPSKey = 'HKLM:\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters'
$EnableDNSoverHTTPSParameter = 'EnableAutoDoh'
New-ItemProperty -Path $EnableDNSoverHTTPSKey -Name $EnableDNSoverHTTPSParameter -Value 2 -PropertyType DWord –Force

手順3：PCを再起動

設定を反映させるには、DNSクライアントサービスの再起動が必要です。ただし、dnscacheサービスは通常の手順では再起動できず、Restart-Service -Name Dnscache –forceを実行すると「Collection was modified; enumeration operation may not execute」というエラーが返されるため、パソコンの再起動を行ってください。

DoH対応のパブリックDNSサーバーを設定する

次に、ネットワーク接続のDNS設定を変更し、DoHに対応したDNSサーバーを指定します。すべてのDNSサーバーがDoHに対応しているわけではない点に注意してください。主なDoH対応パブリックDNSサーバーは以下のとおりです。

GUIでDNSサーバーを変更する方法

ネットワーク接続画面（コントロールパネル → ネットワークとインターネット → ネットワークと共有センター、または ncpa.cpl）を開き、ネットワークアダプターのプロパティから現在のDNSサーバーのIPアドレスを、DoH対応のアドレスに変更します。

PowerShellでDNSサーバーを変更する方法

PowerShellを使用すれば、コマンド一つでDNSサーバーアドレスを変更できます。

$PhysAdapter = Get-NetAdapter -Physical
$PhysAdapter | Get-DnsClientServerAddress -AddressFamily IPv4 | Set-DnsClientServerAddress -ServerAddresses '8.8.8.8', '1.1.1.1'

PktMonでDoHの動作を確認する

設定完了後、DNSクライアントは名前解決に標準のUDP/TCPポート53ではなく、HTTPS（443番ポート）を使用するようになります。

ネットワークトラフィックをキャプチャできるツール「PktMon.exe」を使えば、コンピュータからポート53へのDNSリクエストが送信されていないことを確認できます。

まず、既存のパケットモニターフィルタをすべて削除します。

pktmon filter remove

次に、デフォルトのDNSポート（53番）に対する新しいフィルタを作成します。

pktmon filter add -p 53

リアルタイムのトラフィック監視を開始します（トラフィックはコンソールに表示されます）。

pktmon start --etw -p 0 -l real-time

DoHが正しく設定されていれば、ポート53上のトラフィックは一切表示されません。DoH有効時と無効時の出力結果を見比べることで、動作確認が可能です。

また、Cloudflareが提供するオンラインチェックツール（https://www.cloudflare.com/ssl/encrypted-sni/）でも、お使いのパソコンでDNS over HTTPSが機能しているかを確認できます。

ブラウザ側のDoHサポートについて

ここ数年で、DNS over HTTPSは主要なブラウザ（Google Chrome、Mozilla Firefox、Microsoft Edge、Opera）すべてに実装されています。それぞれのブラウザ設定からDoHを有効化すれば、ブラウザからのDNSクエリは暗号化されます（ただし、他のアプリケーションのDNSトラフィックは依然として平文で送信される点に注意してください）。

一方で、DoHやDoT（DNS over TLS）の普及は企業ネットワーク管理者にとって頭痛の種にもなります。内部ネットワークから外部リソースへのアクセス制限が難しくなるため、運用ポリシーの見直しが必要となるケースもあるでしょう。