当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
DoTの基本
DoTとは
DNS over TLS（DoT）とは、DNS問い合わせと応答をTLS（Transport Layer Security）によって暗号化して送受信する技術である。
従来のDNSは問い合わせ内容が平文で送信されていたため、通信経路上で盗聴される可能性があった。DoTを利用することでその盗聴リスクを低減できる。
なお、DoTはDNS通信を保護する技術であり、Webサイトとの通信そのものを暗号化する技術ではない。
なぜDoTが利用されるのか
現在、多くのWebサイトではHTTPSによって通信内容が暗号化されている。
しかし、一般的にはHTTPS通信を開始する前にDNSによる名前解決が行われる。このDNS問い合わせが平文のままだと、どのドメインへ接続しようとしているかを通信経路上から把握される可能性がある。
DoTは、このDNS問い合わせを暗号化することで、プライバシーとセキュリティを向上させる目的で利用される。
DoTはどのように利用するのか
DoT対応機能を利用する
DoTは、DNSサーバのポート番号をDoT用の853へ変更するだけで利用できるものではない。
OSやルーター、DNSクライアントなどがDoTへ対応し、TLSによるDNS通信を行う必要がある。また、問い合わせ先となるDNSサーバもDoTへ対応している必要がある。
つまり、通信する双方がDoTへ対応して初めて、暗号化されたDNS通信が行われる。
どこで設定するのか
DoTを設定する場所は利用環境によって異なる。
主な設定場所は次のとおりである。
- ルーター
- OS（Android Private DNSなど）
- DNSクライアントや専用ソフト
利用する機器やソフトウェアによって設定場所や設定方法は異なる。
DoTを意識せず利用している例
Android Private DNS
Android 9以降にはPrivate DNS機能が搭載されている。
利用者は対応するDNSサーバ名を設定するだけで、内部ではDoTを利用したDNS通信が行われる。
DNSフィルタリングサービス
AdGuard DNSやNextDNSなどのDNSフィルタリングサービスでも、DoTが利用されることがある。
利用者はDNSサーバを指定し、管理画面でホワイトリストやブラックリストを設定するだけである。
しかし、利用環境によってはDNSサーバとの通信にDoTが利用される。例えば、Android Private DNSやDoT対応ルーターを利用している場合は、利用者が意識しなくてもDoTによるDNS通信が行われる。
DoTのメリット
DNS問い合わせを暗号化できる
DNS問い合わせが暗号化されるため、通信経路上で問い合わせ内容を盗聴されるリスクを低減できる。
OSやLAN全体へ適用しやすい
ルーターやOSで設定すれば、ブラウザだけではなく端末全体、あるいはLAN全体のDNS通信へ適用できる。
DoTのデメリット
DoT対応環境が必要になる
利用するOSやルーター、DNSクライアント、およびDNSサーバがDoTへ対応している必要がある。
対応していない環境では利用できない。
環境によって設定方法が異なる
設定場所や設定方法は利用するOSやルーター、サービスによって異なる。
導入前には、自分の利用環境がDoTへ対応しているかを確認する必要がある。
関連する技術との違い
DoHとの違い
DoTはTLSを利用してDNS専用の通信を行う。
一方、DoH（DNS over HTTPS）はHTTPS通信としてDNS問い合わせを送信する。
そのため、DoTはOSやルーターで利用されることが多く、DoHはブラウザやOS、アプリケーションで利用されることが多い。
VPNとの違い
VPNは端末とVPNサーバの間の通信全体を暗号化する技術であり、多くのVPNサービスではDNS問い合わせもVPNトンネル内で保護される。
一方、DoTはDNS通信だけを暗号化する技術である。
そのため、一般的なVPNサービスでは利用者がDoTを設定する必要はないが、それはVPNがDoTを利用していることを意味するものではない。
DNSリークとの違い
DoTはDNS問い合わせを暗号化する技術であり、
DNSリークは意図したDNSサーバではなく、別のDNSサーバへ問い合わせが送信される現象を指す。
参考：DNSリークとは
関連する用語
まとめ
DoTはDNS問い合わせをTLSによって暗号化する技術であり、従来平文で送信されていたDNS通信を保護する仕組みである。
AndroidのPrivate DNSやDoT対応ルーター、DNSフィルタリングサービスなどのように、利用者が意識しなくてもDoTが利用されている場合がある。
一方、DoHやVPNもDNS通信を保護する場面があるが、それぞれ仕組みや役割は異なる。これらの違いを理解することで、自分の利用環境に適したDNS保護の方法を選択しやすくなる。