暗号化 DNS と VPN：別々のプライバシーのための別々の道具

暗号化 DNS をオンにするとプライバシーが一段上がった気がします。実際に上がっているのですが、たいていのガイドがほのめかすよりずっと小さな一段です。DNS-over-HTTPS と VPN は別々の場所の別々の漏れを塞ぐ道具で、片方をもう片方の代わりに使うと、いざというときまで気づかない形で露出が残ります。

暗号化 DNS が実際に守るもの

DoH と DoT が暗号化するのはただ一つ、マシンがドメイン名を IP アドレスへ変換する工程です。それがないと、この検索は平文で流れ、プロバイダー（や同じネットワーク上の誰もが）、サイト自体が HTTPS を使っていても関係なく、訪問するすべてのドメインを記録できます。それがあると、クエリは暗号化された接続で自分が選んだリゾルバーへ向かい、プロバイダーの DNS ログは真っ暗になります。

やらないのはトラフィックの隠蔽です。プロバイダーは接続先の IP アドレスを見続け、SNI フィールドは開く HTTPS サイトのホスト名を告げ続け、Web サイトは本物の IP アドレスとフィンガープリントを見続けます。暗号化 DNS は、穴がいくつもある配管のひとつの穴を閉じるだけ。有効にする価値はありますが、VPN とは程遠いのです。

VPN がやって DNS には決してできないこと

VPN は配管ごと動かします。DNS を含むすべての接続が暗号化トンネルで事業者のサーバーへ向かい、訪問先のサイトはあなたの IP ではなくそのサーバーの IP を見ます。これが公共 Wi-Fi で役立ち、位置を隠し、自宅の IP を見せたくないネットワークに届く理由です。代償は信頼です。VPN 事業者はかつてプロバイダーが見ていたすべてを見るので、観察者を排除するのではなく、別の観察者を選ぶことになります。どちらの道具も他方を内包しません：

DoH オンでもプロバイダーは宛先 IP と SNI ホスト名を見る — 見えなくなるのは DNS クエリだけ
DNS プロバイダーはあなたが解決するすべてのドメインを見るので、ログ方針を本当に信頼できる事業者を選ぶ
暗号化 DNS ではサイトに本物の IP を見られる。VPN なら見られるのは VPN サーバーの IP
VPN 事業者は全トラフィックとそのタイミングを見る — 観察者としてプロバイダーと入れ替わる
公共 Wi-Fi では、接続そのもののローカルな盗聴に効くのは VPN だけ
二つは重ねられる：VPN トンネルの中で DoH を流せば、VPN 自身の平文 DNS サイドチャネルが消える

実際に必要なのはどちらか

家にいる大多数の人には、暗号化 DNS が無償で手に入る利益です。Windows 11 では設定 → ネットワークとインターネットからアダプターごとに DoH を設定でき、ブラウザーも独自に設定できます。VPN が購読料に見合うのは、敵対的なネットワーク上のとき、隠すべきものが IP そのものであるとき、そして使っているネットワークが DNS をブロックまたは汚染しているときです。脅威モデルが「プロバイダーに閲覧ログを売られたくない」なら、DoH と正直な期待から始めてください。「このネットワークの誰にも、自分が何をしているか知られたくない」なら、それは VPN の仕事で — 多くの場合、両方同時です。