Jak włączyć DNS over HTTPS w Windows 11

Co DNS over HTTPS zmienia — a czego nie

Za każdym razem, gdy otwierasz stronę, Windows pyta serwer DNS o zamianę nazwy na adres IP — a klasyczny DNS podróżuje jawnym tekstem, po UDP na porcie 53. Każdy, kto siedzi między Twoim komputerem a resolverem — hotelowe Wi-Fi, router w biurze, dostawca internetu — może logować każdą domenę, jaką sprawdzasz, a to zaskakująco kompletny obraz Twojego dnia. DoH pakuje to samo pytanie w połączenie HTTPS, dzięki czemu samo zapytanie staje się po drodze nieczytelne.

Czego DoH nie daje, to anonimowość. Wybrany resolver — Cloudflare, Google, Quad9 — widzi teraz Twoje zapytania zamiast dostawcy internetu, czyli przenosisz zaufanie, a nie likwidujesz je. Strony nadal widzą Twój adres IP, a VPN i tak szyfruje nieporównywalnie więcej niż DNS. Traktuj DoH jak domknięcie jednego konkretnego, szeroko otwartego okienka pocztowego — a nie jak przebranie.

Włączanie DoH ze znanym resolverem

Otwórz Ustawienia → Sieć i Internet, kliknij aktywne połączenie (Wi-Fi lub Ethernet), żeby wejść we właściwości, znajdź „Przypisanie serwera DNS” i kliknij Edytuj. W oknie dialogowym zmień tryb z Automatycznie (DHCP) na Ręcznie, włącz IPv4, wpisz resolver w polu „Preferowany serwer DNS”, potem rozwiń „Szyfrowanie DNS” i wybierz „Tylko szyfrowane”. Zapisz — strona właściwości powinna pokazać serwer z plakietką Szyfrowane. Jeśli sieć używa IPv6, powtórz to dla przełącznika IPv6 z adresem v6 resolwera.

Windows 11 ma wbudowane szablony dla dużych publicznych resolverów, więc wybór jednego z nich to ścieżka bez wysiłku. Praktyczne różnice są niewielkie: przy zdrowej linii prędkość jest niemal identyczna, a różni się polityka logowania i dodatki. Quad9 na przykład oprócz rozwiązywania nazw filtruje znane domeny malware, a Cloudflare obiecuje kasować logi w ciągu 24 godzin.

• Cloudflare — 1.1.1.1 i 1.0.0.1, IPv6 2606:4700:4700::1111 — logi usuwane w ciągu 24 godzin
• Google Public DNS — 8.8.8.8 i 8.8.4.4, IPv6 2001:4860:4860::8888
• Quad9 — 9.9.9.9 i 149.112.112.112 — jako bonus blokuje złośliwe domeny
• Serwery dostawcy internetu — zwykle bez szablonu DoH, więc opcje szyfrowania pozostają wyszarzone

Własne resolwery, sprawdzenie i uczciwe zastrzeżenia

Jeśli chcesz resolvera, którego Windows nie zna — serwer firmowy albo usługę filtrującą — lista szyfrowania będzie tkwić na „Tylko nieszyfrowane”, dopóki nie nauczysz Windowsa szablonu. Uruchom terminal administratora i dodaj go: netsh dns add encryption server=1.2.3.4 dohtemplate=https://dns.example.com/dns-query autoupgrade=yes udpfallback=no — po tym opcje Szyfrowane pojawią się też dla tego adresu. Aby sprawdzić, co jest aktywne, Get-DnsClientDohServerAddress w PowerShellu wypisze każdy serwer z jego szablonem i stanem, a strona kontrolna Cloudflare na one.one.one.one/help pokazuje zwykłe „Using DNS over HTTPS: Yes”, gdy wszystko działa.

Dwa uczciwe zastrzeżenia, zanim zaczniesz świętować. W sieciach firmowych i przy VPN zostaw DNS w spokoju — tunel albo polityka domeny zwykle dostarczają własnych resolverów i nadpisanie ich potrafi zepsuć nazwy wewnętrzne. Niektóre pakiety antywirusowe przechwytują DNS lokalnie, żeby filtrować ruch, co może kolidować z DoH; jeśli internet padnie tuż po przełączeniu, otwórz ponownie okno Edytuj karty sieciowej i ustaw tryb z powrotem na Automatycznie (DHCP). Nic nie tracisz — od starego zachowania dzieli Cię jeden przełącznik.

Pytania i odpowiedzi

Przeczytaj także

Wszystkie poradniki · Pytania i odpowiedzi