Was ist CIRA Canadian Shield?
CIRA Canadian Shield ist ein kostenloser öffentlicher DNS-Dienst von CIRA (Kanada). Er beantwortet normales DNS unter 149.112.121.10, 149.112.122.10 (IPv6: 2620:10a:80bb::10, 2620:10a:80bc::10) und verschlüsseltes DNS: DoT, DoH. Er bedient vor allem eine Region (Kanada): In der Nähe kann er der schnellste sein, aus der Ferne ist er meist langsamer als die großen globalen Netze.
Er prüft DNSSEC: Antworten mit ungültiger Signatur werden verworfen. Er filtert nicht: Jeder Name wird so aufgelöst, wie er ist. Er wird gemeinnützig betrieben.
DNS-Server-Adressen von CIRA Canadian Shield
Das tragen Sie ein, um CIRA Canadian Shield zu nutzen:
DNS (IPv4) 149.112.121.10, 149.112.122.10
DNS (IPv6) 2620:10a:80bb::10, 2620:10a:80bc::10
DoT / Privates DNS private.canadianshield.cira.ca
DoH https://private.canadianshield.cira.ca/dns-query
CIRA Canadian Shield einrichten
Windows 11
Einstellungen → Netzwerk und Internet → WLAN oder Ethernet → Hardwareeigenschaften → DNS-Serverzuweisung → Bearbeiten → Manuell. IPv4 einschalten und 149.112.121.10, 149.112.122.10 eintragen. Zum Verschlüsseln DNS über HTTPS auf Ein (manuelle Vorlage) stellen, Vorlage: https://private.canadianshield.cira.ca/dns-query.
macOS
Systemeinstellungen → Netzwerk → WLAN (oder Ethernet) → Details → DNS: auf + klicken und 149.112.121.10, 149.112.122.10 hinzufügen. Verschlüsseltes DNS (https://private.canadianshield.cira.ca/dns-query) braucht ein Konfigurationsprofil.
iPhone und iPad
Einstellungen → WLAN → ⓘ neben dem Netz → DNS konfigurieren → Manuell, dann 149.112.121.10, 149.112.122.10 hinzufügen. Das gilt nur für dieses WLAN; für verschlüsseltes DNS in jedem Netz ein DNS-Profil für https://private.canadianshield.cira.ca/dns-query installieren.
Android
Einstellungen → Netzwerk & Internet → Privates DNS → Hostname des privaten DNS-Anbieters: private.canadianshield.cira.ca. Gilt in jedem Netz und ist verschlüsselt (DoT). Das Menü unterscheidet sich je nach Hersteller etwas: in den Einstellungen nach „Privates DNS“ suchen.
Router
In der Router-Oberfläche (WAN- oder DHCP-Einstellungen) die DNS-Server auf 149.112.121.10, 149.112.122.10 setzen: Dann nutzt ihn jedes Gerät im Netz.
Browser
Chrome: Einstellungen → Datenschutz und Sicherheit → Sicherheit → Sicheres DNS verwenden → Benutzerdefiniert: https://private.canadianshield.cira.ca/dns-query. Edge hat dasselbe unter Datenschutz, Suche und Dienste. Firefox: Einstellungen → Datenschutz & Sicherheit → DNS über HTTPS → Maximaler Schutz → Benutzerdefiniert: https://private.canadianshield.cira.ca/dns-query.
Linux
Mit systemd-resolved: DNS=149.112.121.10 149.112.122.10 in /etc/systemd/resolved.conf eintragen, dann systemctl restart systemd-resolved ausführen. Für DoT die Adresse als 149.112.121.10#private.canadianshield.cira.ca schreiben und DNSOverTLS=yes ergänzen.
Lässt sich CIRA Canadian Shield in Festlandchina nutzen?
Normales DNS antwortet meist, aber langsamer, weil die Server außerhalb Festlandchinas stehen, und Antworten für gesperrte Seiten können unterwegs gefälscht werden. Verschlüsseltes DNS (DoH, DoT) zu ihm ist oft gesperrt oder instabil. Testen Sie es auf dieser Seite: Eine Zeile ohne Antwort heißt, dass er aus Ihrem Netz nicht erreichbar ist.
CIRA Canadian Shield oder Quad9 DNS: Welcher ist schneller?
Keiner ist überall schneller: Entscheidend ist, wie weit der jeweils nächste Server von Ihnen entfernt ist und wie Ihr Anbieter dorthin routet. Diese Seite misst beide und alle anderen DNS der Liste aus Ihrem eigenen Netz in etwa 20 Sekunden; oben steht, auf welchem Platz CIRA Canadian Shield landet und wie weit er hinter dem schnellsten liegt.
Quad9 DNS: Seite, Adressen, Einrichtung →
Warum ist CIRA Canadian Shield bei mir langsam?
Meist die Entfernung: Sein nächster Server ist weit weg, oder Ihr Anbieter nimmt einen Umweg. Ein Proxy oder VPN transportiert die Anfragen ebenfalls, dann misst der Test die Route des Proxys (die Direkt-Regeln beheben das). Manche Netze bremsen oder sperren verschlüsseltes DNS. Und ein Name, nach dem ihn noch niemand gefragt hat, dauert immer länger (Spalte Ohne Cache). Ist ein anderer DNS der Liste deutlich schneller, wechseln Sie zu ihm.
Wie funktioniert der Test?
Ihr Browser fragt jeden Resolver direkt; nichts läuft über diese Website. Zuerst öffnet er zu jedem eine Verbindung und fragt drei populäre Namen je einmal ab, die damit im Cache des Resolvers liegen; das zählt nicht. Dann folgen 10 Runden: In jeder wird jeder Resolver noch einmal gefragt, in neuer zufälliger Reihenfolge, einige gleichzeitig, sodass eine kurze Störung in Ihrem Netz alle gleich trifft. Jede zweite Runde fragt zusätzlich einen zufälligen Namen ab, den es nirgends gibt.
Die Zahlen sind Mediane: Eine einzelne langsame Abfrage verschiebt sie nicht. Die Zeiten stammen aus der Netzwerkmessung, die der Browser für jede Anfrage selbst aufzeichnet und die die Skripte der Seite nicht verzögern können. Jede URL ist neu und wird am Cache vorbei abgerufen, daher kann nur der Resolver selbst antworten.
Warum sind UDP und DoT geschätzt?
Browser können nur HTTPS-Anfragen stellen. Sie können keine UDP-Abfrage an Port 53 senden, kein TLS zu Port 853 (DoT) öffnen und kein DoQ sprechen, und keine Website kann das aus Ihrem Netz. Seiten, die solche Zahlen zeigen, messen von ihrem eigenen Server aus oder raten.
Was die Seite kann: DNS over HTTPS an genau den Server senden, der UDP und DoT beantwortet (zum Beispiel https://1.1.1.1/dns-query). Über eine offene Verbindung kostet eine Abfrage einen Hin- und Rückweg zu diesem Server plus die Arbeit des Resolvers, genau das, was eine UDP- oder DoT-Abfrage kostet; HTTP fügt deutlich unter einer Millisekunde hinzu. Daher das ≈. Hat der normale DNS-Server kein HTTPS, steht dort ein – statt einer Zahl.
Was eine Schätzung nicht sieht: ein Netz, das Port 53 oder 853 sperrt, bremst oder verfälscht, HTTPS aber in Ruhe lässt.
Um UDP, DoT und DoQ wirklich zu messen, starten Sie das Kommandozeilen-Tool (der Befehl unter der Tabelle) auf einem Server, Linux-Rechner oder Router: Es spricht jedes Protokoll und nutzt dieselbe Liste.
Wie verlässlich sind die Ergebnisse?
Die Messmethode steht in der ersten Frage. Zusätzlich wird die Liste mit scripts/verify.mjs (im Repository) von mehr als einem Kontinent aus geprüft: Jede Adresse muss auf genau diese Art Abfrage eine echte DNS-Antwort liefern, und die DNSSEC-Prüfung wird getestet statt den Angaben der Anbieter übernommen.
Wo der Resolver es erlaubt (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), liest die Seite außerdem jede Antwort und zählt nur echte. Bei den anderen kann der Browser die Antwort nur zeitlich messen, nicht lesen.
Testen Sie ein paarmal, wenn möglich zu verschiedenen Tageszeiten: Was nachts am schnellsten ist, muss es zur Stoßzeit nicht sein.
Ich nutze einen Proxy. Sind die Ergebnisse noch meine?
Standardmäßig nicht: Mit Proxy oder VPN erreicht Ihr Browser die Resolver über diesen, und der Test misst die Route des Proxys (alle ausländischen Resolver wirken dann etwa so schnell wie Ihr Proxyserver). Der DNS, den Sie am Gerät oder Router einstellen, wird meist direkt gefragt; das ist also nicht das, was Sie bekämen.
Um Ihr eigenes Netz zu messen, fügen Sie die Direkt-Regeln hinzu (der Knopf neben dem Fortschritt): Sie schicken genau die Adressen dieses Tests direkt, per exaktem Hostnamen und einzelner IP, sonst nichts. Unterstützt werden Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box und Xray; die meisten können die Regeln von dieser Seite laden und aktuell halten.
Was bedeutet „ohne Cache“?
Populäre Namen liegen bei jedem viel genutzten Resolver schon im Cache und kommen überall schnell. Bei einem Namen, den länger niemand abgefragt hat, muss der Resolver erst die DNS-Server der Website fragen. Der Test nutzt Zufallsnamen unter einer Zone, die bei Cloudflares DNS liegt, mit Servern fast überall außer in Festlandchina.
Diese Zeit hängt davon ab, wo die DNS-Server der jeweiligen Website stehen, was sich unterscheidet; sie wird daher angezeigt, aber nicht gewertet. Resolver in Festlandchina wirken hier langsam, weil die Server der Zone im Ausland stehen; für chinesische Websites, deren DNS in China liegt, sind sie schnell.
Welchen soll ich nehmen?
Der oberste ist eine gute Wahl. Liegen mehrere nur wenige ms auseinander, wählen Sie nach dem, was Ihnen sonst wichtig ist: Quad9 und OpenDNS sperren bekannte Malware- und Phishing-Seiten; Mullvad, Quad9 und Wikimedia speichern nicht, wer was abgefragt hat; Resolver mit DNSSEC-Prüfung lehnen gefälschte Antworten für signierte Domains ab.
Wenn Ihr Gerät nur normale DNS-Serveradressen erlaubt (die meisten Router, ältere Systeme), schauen Sie auf die UDP-Spalte: Die Zeile unter dem Sieger nennt den schnellsten normalen DNS, wenn es ein anderer ist.
Damit Netz und Provider nicht sehen, was Sie abfragen, nutzen Sie die DoT- oder DoH-Adresse: Normales DNS läuft unverschlüsselt.
Wie ändere ich meinen DNS?
Android 9+: Einstellungen → Netzwerk → Privates DNS → DoT-Hostname eingeben (zum Beispiel one.one.one.one).
iPhone und Mac: je WLAN die DNS-Server eintragen; für verschlüsseltes DNS ein Konfigurationsprofil von der Website des Resolvers installieren.
Windows 11: Einstellungen → Netzwerk → Ihre Verbindung → DNS-Serverzuweisung → Manuell, Server eintragen und DNS over HTTPS einschalten.
Router: DNS-Server in den DHCP- oder WAN-Einstellungen eintragen, dann nutzen sie alle Geräte im Netz.
Nur im Browser: Chrome, Edge und Firefox haben eine Einstellung „Sicheres DNS“, in der Sie einen Anbieter wählen oder die DoH-Adresse einfügen.
Klicken Sie auf eine Adresse auf dieser Seite, um sie zu kopieren.
Was ist DNSSEC?
Mit DNSSEC signiert eine Domain ihre DNS-Einträge. Ein prüfender Resolver kontrolliert die Signaturen und lehnt nicht passende Antworten ab, sodass niemand unterwegs Ihnen eine gefälschte Adresse für eine signierte Domain unterschieben kann. Die Seite zeigt ✓ bei Resolvern, die das tun (getestet mit einer absichtlich kaputten Domain, dnssec-failed.org, die sie ablehnen müssen). Es hilft nur bei signierten Domains, kostet aber nichts.
Warum werden 114DNS und Baidu DNS nicht getestet?
Sie bieten nur normales DNS, und ihre Server antworten überhaupt nicht auf HTTPS, ein Browser erreicht sie also auf keine Weise. Quad101 (Taiwan) fehlt, weil sein DoH bei unseren Prüfungen aus dem Ausland nicht antwortete.
Was ist ECS, und warum wird es nicht angezeigt?
EDNS Client Subnet: Manche Resolver teilen den DNS-Servern einer Website einen Teil Ihrer Adresse mit, damit ein CDN einen Server in Ihrer Nähe statt in der Nähe des Resolvers wählt. Das kann Downloads und Videos beschleunigen, kostet aber etwas Privatsphäre.
Es steht nicht in der Tabelle, weil es keine feste Eigenschaft ist: Bei unseren Prüfungen gab derselbe Resolver es von manchen Orten und Protokollen weiter und von anderen nicht, ein Ja oder Nein wäre irreführend.
Werden meine Daten gesammelt?
Nein. Die Abfragen gehen direkt von Ihrem Browser an jeden Resolver, abgefragt werden populäre öffentliche Websites und Zufallsnamen; nichts über Sie. Diese Website erhält keine Ergebnisse. Jeder Resolver sieht Ihre Adresse, wie bei jeder DNS-Abfrage; es gelten deren eigene Datenschutzbestimmungen. Der Code ist Open Source auf GitHub.
Cloudflare
Google
Quad9
OpenDNS
AdGuard DNS
AdGuard Unfiltered
NextDNS
Control D
Mullvad
DNS.SB
Hurricane Electric
Wikimedia DNS
CleanBrowsing
Rethink DNS
AliDNS
DNSPod
360 DNS
Yandex DNS
DNS4EU
CIRA Canadian Shield
CZ.NIC ODVR
SWITCH
Digitale Gesellschaft
DNSForge
UncensoredDNS
Applied Privacy
Njalla
DNS4ALL
LibreDNS
Comss.one DNS
Xfinity
Tiarap
IIJ Public DNS