DNS-Test
185.228.168.9 185.228.169.92a0d:2a00:1::2 2a0d:2a00:2::2security-filter-dns.cleanbrowsing.orghttps://doh.cleanbrowsing.org/doh/security-filter/Browser können UDP und DoT nur schätzen. Auf einem VPS, einem Linux-Rechner oder einem Router misst dieser Befehl alle fünf Protokolle und vergleicht Ihren aktuellen DNS.
curl -fsSL https://dns.1ms.dog/i | sh -s -- run -r cleanbrowsing,opendns
CloudflareUDPDoTDoH✓1.1.1.1 1.0.0.12606:4700:4700::1111 2606:4700:4700::1001one.one.one.onehttps://cloudflare-dns.com/dns-query
GoogleUDPDoTDoH✓8.8.8.8 8.8.4.42001:4860:4860::8888 2001:4860:4860::8844dns.googlehttps://dns.google/dns-query
Quad9UDPDoTDoH✓9.9.9.9 149.112.112.1122620:fe::fe 2620:fe::9dns.quad9.nethttps://dns.quad9.net/dns-query
OpenDNSUDPDoTDoH✓208.67.222.222 208.67.220.2202620:119:35::35 2620:119:53::53dns.opendns.comhttps://doh.opendns.com/dns-query
AdGuard DNSUDPDoTDoHDoQ✓94.140.14.14 94.140.15.152a10:50c0::ad1:ff 2a10:50c0::ad2:ffdns.adguard-dns.comhttps://dns.adguard-dns.com/dns-queryquic://dns.adguard-dns.com
AdGuard UnfilteredUDPDoTDoHDoQ✓94.140.14.140 94.140.14.1412a10:50c0::1:ff 2a10:50c0::2:ffunfiltered.adguard-dns.comhttps://unfiltered.adguard-dns.com/dns-queryquic://unfiltered.adguard-dns.com
NextDNSUDPDoTDoHDoQ✓45.90.28.0 45.90.30.02a07:a8c0:: 2a07:a8c1::dns.nextdns.iohttps://dns.nextdns.io/quic://dns.nextdns.io
Control DUDPDoTDoHDoQ✓76.76.2.0 76.76.10.02606:1a40:: 2606:1a40:1::p0.freedns.controld.comhttps://freedns.controld.com/p0quic://p0.freedns.controld.com
MullvadDoTDoH✓dns.mullvad.nethttps://dns.mullvad.net/dns-query
DNS.SBUDPDoTDoH✓185.222.222.222 45.11.45.112a09:: 2a11::dot.sbhttps://doh.dns.sb/dns-query
Hurricane ElectricUDPDoTDoH✓74.82.42.422001:470:20::2ordns.he.nethttps://ordns.he.net/dns-query
Wikimedia DNSDoTDoH✓wikimedia-dns.orghttps://wikimedia-dns.org/dns-query
CleanBrowsingUDPDoTDoH–185.228.168.9 185.228.169.92a0d:2a00:1::2 2a0d:2a00:2::2security-filter-dns.cleanbrowsing.orghttps://doh.cleanbrowsing.org/doh/security-filter/
Rethink DNSDoTDoH✓max.rethinkdns.comhttps://sky.rethinkdns.com/dns-query
AliDNSUDPDoTDoHDoQ–223.5.5.5 223.6.6.62400:3200::1 2400:3200:baba::1dns.alidns.comhttps://dns.alidns.com/dns-queryquic://dns.alidns.com
DNSPodUDPDoTDoH–119.29.29.292402:4e00::dot.pubhttps://doh.pub/dns-query
360 DNSUDPDoTDoH–101.226.4.6 218.30.118.6dot.360.cnhttps://doh.360.cn/dns-query
Yandex DNSUDPDoTDoH–77.88.8.8 77.88.8.12a02:6b8::feed:0ff 2a02:6b8:0:1::feed:0ffcommon.dot.dns.yandex.nethttps://common.dot.dns.yandex.net/dns-query
DNS4EUUDPDoTDoH✓86.54.11.100 86.54.11.2002a13:1001::86:54:11:100 2a13:1001::86:54:11:200unfiltered.joindns4.euhttps://unfiltered.joindns4.eu/dns-query
CIRA Canadian ShieldUDPDoTDoH✓149.112.121.10 149.112.122.102620:10a:80bb::10 2620:10a:80bc::10private.canadianshield.cira.cahttps://private.canadianshield.cira.ca/dns-query
CZ.NIC ODVRUDPDoTDoH✓193.17.47.1 185.43.135.12001:148f:ffff::1 2001:148f:fffe::1odvr.nic.czhttps://odvr.nic.cz/doh
SWITCHDoTDoH✓dns.switch.chhttps://dns.switch.ch/dns-query
Digitale GesellschaftDoTDoH✓dns.digitale-gesellschaft.chhttps://dns.digitale-gesellschaft.ch/dns-query
DNSForgeUDPDoTDoH✓176.9.93.198 176.9.1.1172a01:4f8:151:34aa::198 2a01:4f8:141:316d::117dnsforge.dehttps://dnsforge.de/dns-query
UncensoredDNSUDPDoTDoH✓91.239.100.100 89.233.43.712001:67c:28a4:: 2a01:3a0:53:53::anycast.uncensoreddns.orghttps://anycast.uncensoreddns.org/dns-query
Applied PrivacyDoTDoH✓dot1.applied-privacy.nethttps://doh.applied-privacy.net/query
NjallaUDPDoTDoH✓95.215.19.532001:67c:2354:2::53dns.njal.lahttps://dns.njal.la/dns-query
DNS4ALLUDPDoTDoH✓194.0.5.32001:678:8::3dot.dns4all.euhttps://doh.dns4all.eu/dns-query
LibreDNSDoTDoH–dot.libredns.grhttps://doh.libredns.gr/dns-query
Comss.one DNSDoTDoH–dns.comss.onehttps://dns.comss.one/dns-query
XfinityDoH✓https://doh.xfinity.com/dns-query
TiarapUDPDoTDoH✓174.138.21.128dot.tiar.apphttps://doh.tiar.app/dns-query
IIJ Public DNSDoTDoH✓public.dns.iij.jphttps://public.dns.iij.jp/dns-queryBild und Link entstehen hier in Ihrem Browser; nichts wird hochgeladen. Der Link enthält nur die Zahlen.
curl -fsSL https://dns.1ms.dog/i | shcurl -fsSL https://dns.1ms.dog/i | sh -s -- runwget -qO- https://dns.1ms.dog/i | shdnstest -p udp,dot,doqdnstest -r cloudflare,google,alidnsdnstest -6dnstest --json > dns.jsonirm https://dns.1ms.dog/i.ps1 | iexMit eingeschaltetem Proxy erreicht der Browser die Resolver über ihn, und der Test misst die Route des Proxys. Diese Regeln schicken nur die Adressen des Tests DIRECT; sonst ändert sich nichts.
Danach die Proxy-Konfiguration neu laden und erneut testen.
CleanBrowsing DNS ist ein kostenloser öffentlicher DNS-Dienst von CleanBrowsing (Vereinigte Staaten). Er beantwortet normales DNS unter 185.228.168.9, 185.228.169.9 (IPv6: 2a0d:2a00:1::2, 2a0d:2a00:2::2) und verschlüsseltes DNS: DoT, DoH. Seine Server stehen an vielen Orten weltweit, und Ihre Anfragen gehen an den nächstgelegenen.
Er prüft DNSSEC nicht. Standardmäßig blockiert er Malware- und Phishing-Domains.
Das tragen Sie ein, um CleanBrowsing DNS zu nutzen:
DNS (IPv4) 185.228.168.9, 185.228.169.9
DNS (IPv6) 2a0d:2a00:1::2, 2a0d:2a00:2::2
DoT / Privates DNS security-filter-dns.cleanbrowsing.org
DoH https://doh.cleanbrowsing.org/doh/security-filter/
Einstellungen → Netzwerk und Internet → WLAN oder Ethernet → Hardwareeigenschaften → DNS-Serverzuweisung → Bearbeiten → Manuell. IPv4 einschalten und 185.228.168.9, 185.228.169.9 eintragen. Zum Verschlüsseln DNS über HTTPS auf Ein (manuelle Vorlage) stellen, Vorlage: https://doh.cleanbrowsing.org/doh/security-filter/.
Systemeinstellungen → Netzwerk → WLAN (oder Ethernet) → Details → DNS: auf + klicken und 185.228.168.9, 185.228.169.9 hinzufügen. Verschlüsseltes DNS (https://doh.cleanbrowsing.org/doh/security-filter/) braucht ein Konfigurationsprofil.
Einstellungen → WLAN → ⓘ neben dem Netz → DNS konfigurieren → Manuell, dann 185.228.168.9, 185.228.169.9 hinzufügen. Das gilt nur für dieses WLAN; für verschlüsseltes DNS in jedem Netz ein DNS-Profil für https://doh.cleanbrowsing.org/doh/security-filter/ installieren.
Einstellungen → Netzwerk & Internet → Privates DNS → Hostname des privaten DNS-Anbieters: security-filter-dns.cleanbrowsing.org. Gilt in jedem Netz und ist verschlüsselt (DoT). Das Menü unterscheidet sich je nach Hersteller etwas: in den Einstellungen nach „Privates DNS“ suchen.
In der Router-Oberfläche (WAN- oder DHCP-Einstellungen) die DNS-Server auf 185.228.168.9, 185.228.169.9 setzen: Dann nutzt ihn jedes Gerät im Netz.
Chrome: Einstellungen → Datenschutz und Sicherheit → Sicherheit → Sicheres DNS verwenden → Benutzerdefiniert: https://doh.cleanbrowsing.org/doh/security-filter/. Edge hat dasselbe unter Datenschutz, Suche und Dienste. Firefox: Einstellungen → Datenschutz & Sicherheit → DNS über HTTPS → Maximaler Schutz → Benutzerdefiniert: https://doh.cleanbrowsing.org/doh/security-filter/.
Mit systemd-resolved: DNS=185.228.168.9 185.228.169.9 in /etc/systemd/resolved.conf eintragen, dann systemctl restart systemd-resolved ausführen. Für DoT die Adresse als 185.228.168.9#security-filter-dns.cleanbrowsing.org schreiben und DNSOverTLS=yes ergänzen.
Normales DNS antwortet meist, aber langsamer, weil die Server außerhalb Festlandchinas stehen, und Antworten für gesperrte Seiten können unterwegs gefälscht werden. Verschlüsseltes DNS (DoH, DoT) zu ihm ist oft gesperrt oder instabil. Testen Sie es auf dieser Seite: Eine Zeile ohne Antwort heißt, dass er aus Ihrem Netz nicht erreichbar ist.
Keiner ist überall schneller: Entscheidend ist, wie weit der jeweils nächste Server von Ihnen entfernt ist und wie Ihr Anbieter dorthin routet. Diese Seite misst beide und alle anderen DNS der Liste aus Ihrem eigenen Netz in etwa 20 Sekunden; oben steht, auf welchem Platz CleanBrowsing DNS landet und wie weit er hinter dem schnellsten liegt.
Meist die Entfernung: Sein nächster Server ist weit weg, oder Ihr Anbieter nimmt einen Umweg. Ein Proxy oder VPN transportiert die Anfragen ebenfalls, dann misst der Test die Route des Proxys (die Direkt-Regeln beheben das). Manche Netze bremsen oder sperren verschlüsseltes DNS. Und ein Name, nach dem ihn noch niemand gefragt hat, dauert immer länger (Spalte Ohne Cache). Ist ein anderer DNS der Liste deutlich schneller, wechseln Sie zu ihm.
Ihr Browser fragt jeden Resolver direkt; nichts läuft über diese Website. Zuerst öffnet er zu jedem eine Verbindung und fragt drei populäre Namen je einmal ab, die damit im Cache des Resolvers liegen; das zählt nicht. Dann folgen 10 Runden: In jeder wird jeder Resolver noch einmal gefragt, in neuer zufälliger Reihenfolge, einige gleichzeitig, sodass eine kurze Störung in Ihrem Netz alle gleich trifft. Jede zweite Runde fragt zusätzlich einen zufälligen Namen ab, den es nirgends gibt.
Die Zahlen sind Mediane: Eine einzelne langsame Abfrage verschiebt sie nicht. Die Zeiten stammen aus der Netzwerkmessung, die der Browser für jede Anfrage selbst aufzeichnet und die die Skripte der Seite nicht verzögern können. Jede URL ist neu und wird am Cache vorbei abgerufen, daher kann nur der Resolver selbst antworten.
Browser können nur HTTPS-Anfragen stellen. Sie können keine UDP-Abfrage an Port 53 senden, kein TLS zu Port 853 (DoT) öffnen und kein DoQ sprechen, und keine Website kann das aus Ihrem Netz. Seiten, die solche Zahlen zeigen, messen von ihrem eigenen Server aus oder raten.
Was die Seite kann: DNS over HTTPS an genau den Server senden, der UDP und DoT beantwortet (zum Beispiel https://1.1.1.1/dns-query). Über eine offene Verbindung kostet eine Abfrage einen Hin- und Rückweg zu diesem Server plus die Arbeit des Resolvers, genau das, was eine UDP- oder DoT-Abfrage kostet; HTTP fügt deutlich unter einer Millisekunde hinzu. Daher das ≈. Hat der normale DNS-Server kein HTTPS, steht dort ein – statt einer Zahl.
Was eine Schätzung nicht sieht: ein Netz, das Port 53 oder 853 sperrt, bremst oder verfälscht, HTTPS aber in Ruhe lässt.
Um UDP, DoT und DoQ wirklich zu messen, starten Sie das Kommandozeilen-Tool (der Befehl unter der Tabelle) auf einem Server, Linux-Rechner oder Router: Es spricht jedes Protokoll und nutzt dieselbe Liste.
Die Messmethode steht in der ersten Frage. Zusätzlich wird die Liste mit scripts/verify.mjs (im Repository) von mehr als einem Kontinent aus geprüft: Jede Adresse muss auf genau diese Art Abfrage eine echte DNS-Antwort liefern, und die DNSSEC-Prüfung wird getestet statt den Angaben der Anbieter übernommen.
Wo der Resolver es erlaubt (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), liest die Seite außerdem jede Antwort und zählt nur echte. Bei den anderen kann der Browser die Antwort nur zeitlich messen, nicht lesen.
Testen Sie ein paarmal, wenn möglich zu verschiedenen Tageszeiten: Was nachts am schnellsten ist, muss es zur Stoßzeit nicht sein.
Standardmäßig nicht: Mit Proxy oder VPN erreicht Ihr Browser die Resolver über diesen, und der Test misst die Route des Proxys (alle ausländischen Resolver wirken dann etwa so schnell wie Ihr Proxyserver). Der DNS, den Sie am Gerät oder Router einstellen, wird meist direkt gefragt; das ist also nicht das, was Sie bekämen.
Um Ihr eigenes Netz zu messen, fügen Sie die Direkt-Regeln hinzu (der Knopf neben dem Fortschritt): Sie schicken genau die Adressen dieses Tests direkt, per exaktem Hostnamen und einzelner IP, sonst nichts. Unterstützt werden Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box und Xray; die meisten können die Regeln von dieser Seite laden und aktuell halten.
Populäre Namen liegen bei jedem viel genutzten Resolver schon im Cache und kommen überall schnell. Bei einem Namen, den länger niemand abgefragt hat, muss der Resolver erst die DNS-Server der Website fragen. Der Test nutzt Zufallsnamen unter einer Zone, die bei Cloudflares DNS liegt, mit Servern fast überall außer in Festlandchina.
Diese Zeit hängt davon ab, wo die DNS-Server der jeweiligen Website stehen, was sich unterscheidet; sie wird daher angezeigt, aber nicht gewertet. Resolver in Festlandchina wirken hier langsam, weil die Server der Zone im Ausland stehen; für chinesische Websites, deren DNS in China liegt, sind sie schnell.
Der oberste ist eine gute Wahl. Liegen mehrere nur wenige ms auseinander, wählen Sie nach dem, was Ihnen sonst wichtig ist: Quad9 und OpenDNS sperren bekannte Malware- und Phishing-Seiten; Mullvad, Quad9 und Wikimedia speichern nicht, wer was abgefragt hat; Resolver mit DNSSEC-Prüfung lehnen gefälschte Antworten für signierte Domains ab.
Wenn Ihr Gerät nur normale DNS-Serveradressen erlaubt (die meisten Router, ältere Systeme), schauen Sie auf die UDP-Spalte: Die Zeile unter dem Sieger nennt den schnellsten normalen DNS, wenn es ein anderer ist.
Damit Netz und Provider nicht sehen, was Sie abfragen, nutzen Sie die DoT- oder DoH-Adresse: Normales DNS läuft unverschlüsselt.
Android 9+: Einstellungen → Netzwerk → Privates DNS → DoT-Hostname eingeben (zum Beispiel one.one.one.one).
iPhone und Mac: je WLAN die DNS-Server eintragen; für verschlüsseltes DNS ein Konfigurationsprofil von der Website des Resolvers installieren.
Windows 11: Einstellungen → Netzwerk → Ihre Verbindung → DNS-Serverzuweisung → Manuell, Server eintragen und DNS over HTTPS einschalten.
Router: DNS-Server in den DHCP- oder WAN-Einstellungen eintragen, dann nutzen sie alle Geräte im Netz.
Nur im Browser: Chrome, Edge und Firefox haben eine Einstellung „Sicheres DNS“, in der Sie einen Anbieter wählen oder die DoH-Adresse einfügen.
Klicken Sie auf eine Adresse auf dieser Seite, um sie zu kopieren.
Mit DNSSEC signiert eine Domain ihre DNS-Einträge. Ein prüfender Resolver kontrolliert die Signaturen und lehnt nicht passende Antworten ab, sodass niemand unterwegs Ihnen eine gefälschte Adresse für eine signierte Domain unterschieben kann. Die Seite zeigt ✓ bei Resolvern, die das tun (getestet mit einer absichtlich kaputten Domain, dnssec-failed.org, die sie ablehnen müssen). Es hilft nur bei signierten Domains, kostet aber nichts.
Sie bieten nur normales DNS, und ihre Server antworten überhaupt nicht auf HTTPS, ein Browser erreicht sie also auf keine Weise. Quad101 (Taiwan) fehlt, weil sein DoH bei unseren Prüfungen aus dem Ausland nicht antwortete.
EDNS Client Subnet: Manche Resolver teilen den DNS-Servern einer Website einen Teil Ihrer Adresse mit, damit ein CDN einen Server in Ihrer Nähe statt in der Nähe des Resolvers wählt. Das kann Downloads und Videos beschleunigen, kostet aber etwas Privatsphäre.
Es steht nicht in der Tabelle, weil es keine feste Eigenschaft ist: Bei unseren Prüfungen gab derselbe Resolver es von manchen Orten und Protokollen weiter und von anderen nicht, ein Ja oder Nein wäre irreführend.
Nein. Die Abfragen gehen direkt von Ihrem Browser an jeden Resolver, abgefragt werden populäre öffentliche Websites und Zufallsnamen; nichts über Sie. Diese Website erhält keine Ergebnisse. Jeder Resolver sieht Ihre Adresse, wie bei jeder DNS-Abfrage; es gelten deren eigene Datenschutzbestimmungen. Der Code ist Open Source auf GitHub.