Was ist Xfinity DNS?
Xfinity DNS ist ein kostenloser öffentlicher DNS-Dienst von Comcast (Vereinigte Staaten). Er bietet nur verschlüsseltes DNS (DoH); eine öffentliche Adresse für normales DNS gibt es nicht. Er bedient vor allem eine Region (Vereinigte Staaten): In der Nähe kann er der schnellste sein, aus der Ferne ist er meist langsamer als die großen globalen Netze.
Er prüft DNSSEC: Antworten mit ungültiger Signatur werden verworfen. Er filtert nicht: Jeder Name wird so aufgelöst, wie er ist.
DNS-Server-Adressen von Xfinity DNS
Das tragen Sie ein, um Xfinity DNS zu nutzen:
DoH https://doh.xfinity.com/dns-query
Xfinity DNS einrichten
Windows 11
Windows braucht eine normale DNS-Adresse, bevor es verschlüsseltes DNS nutzt, und Xfinity DNS veröffentlicht keine: Nutzen Sie ihn im Browser (unten) oder mit einem lokalen DNS-Client wie dnscrypt-proxy.
macOS
macOS nutzt verschlüsseltes DNS über ein Konfigurationsprofil: Installieren Sie ein DNS-Profil für https://doh.xfinity.com/dns-query.
iPhone und iPad
Ein DNS-Profil für https://doh.xfinity.com/dns-query installieren und unter Einstellungen → Allgemein → VPN & Geräteverwaltung → DNS einschalten.
Android
Android hat dafür keine Einstellung: Xfinity DNS bietet weder DoT-Hostnamen noch normale Adresse. Nutzen Sie ihn im Browser.
Router
Router nehmen normale DNS-Adressen, und Xfinity DNS veröffentlicht keine; unter OpenWrt kann https-dns-proxy an https://doh.xfinity.com/dns-query weiterleiten.
Browser
Chrome: Einstellungen → Datenschutz und Sicherheit → Sicherheit → Sicheres DNS verwenden → Benutzerdefiniert: https://doh.xfinity.com/dns-query. Edge hat dasselbe unter Datenschutz, Suche und Dienste. Firefox: Einstellungen → Datenschutz & Sicherheit → DNS über HTTPS → Maximaler Schutz → Benutzerdefiniert: https://doh.xfinity.com/dns-query.
Lässt sich Xfinity DNS in Festlandchina nutzen?
Normales DNS antwortet meist, aber langsamer, weil die Server außerhalb Festlandchinas stehen, und Antworten für gesperrte Seiten können unterwegs gefälscht werden. Verschlüsseltes DNS (DoH, DoT) zu ihm ist oft gesperrt oder instabil. Testen Sie es auf dieser Seite: Eine Zeile ohne Antwort heißt, dass er aus Ihrem Netz nicht erreichbar ist.
Xfinity DNS oder Google Public DNS: Welcher ist schneller?
Keiner ist überall schneller: Entscheidend ist, wie weit der jeweils nächste Server von Ihnen entfernt ist und wie Ihr Anbieter dorthin routet. Diese Seite misst beide und alle anderen DNS der Liste aus Ihrem eigenen Netz in etwa 20 Sekunden; oben steht, auf welchem Platz Xfinity DNS landet und wie weit er hinter dem schnellsten liegt.
Google Public DNS: Seite, Adressen, Einrichtung →
Warum ist Xfinity DNS bei mir langsam?
Meist die Entfernung: Sein nächster Server ist weit weg, oder Ihr Anbieter nimmt einen Umweg. Ein Proxy oder VPN transportiert die Anfragen ebenfalls, dann misst der Test die Route des Proxys (die Direkt-Regeln beheben das). Manche Netze bremsen oder sperren verschlüsseltes DNS. Und ein Name, nach dem ihn noch niemand gefragt hat, dauert immer länger (Spalte Ohne Cache). Ist ein anderer DNS der Liste deutlich schneller, wechseln Sie zu ihm.
Wie funktioniert der Test?
Ihr Browser fragt jeden Resolver direkt; nichts läuft über diese Website. Zuerst öffnet er zu jedem eine Verbindung und fragt drei populäre Namen je einmal ab, die damit im Cache des Resolvers liegen; das zählt nicht. Dann folgen 10 Runden: In jeder wird jeder Resolver noch einmal gefragt, in neuer zufälliger Reihenfolge, einige gleichzeitig, sodass eine kurze Störung in Ihrem Netz alle gleich trifft. Jede zweite Runde fragt zusätzlich einen zufälligen Namen ab, den es nirgends gibt.
Die Zahlen sind Mediane: Eine einzelne langsame Abfrage verschiebt sie nicht. Die Zeiten stammen aus der Netzwerkmessung, die der Browser für jede Anfrage selbst aufzeichnet und die die Skripte der Seite nicht verzögern können. Jede URL ist neu und wird am Cache vorbei abgerufen, daher kann nur der Resolver selbst antworten.
Warum sind UDP und DoT geschätzt?
Browser können nur HTTPS-Anfragen stellen. Sie können keine UDP-Abfrage an Port 53 senden, kein TLS zu Port 853 (DoT) öffnen und kein DoQ sprechen, und keine Website kann das aus Ihrem Netz. Seiten, die solche Zahlen zeigen, messen von ihrem eigenen Server aus oder raten.
Was die Seite kann: DNS over HTTPS an genau den Server senden, der UDP und DoT beantwortet (zum Beispiel https://1.1.1.1/dns-query). Über eine offene Verbindung kostet eine Abfrage einen Hin- und Rückweg zu diesem Server plus die Arbeit des Resolvers, genau das, was eine UDP- oder DoT-Abfrage kostet; HTTP fügt deutlich unter einer Millisekunde hinzu. Daher das ≈. Hat der normale DNS-Server kein HTTPS, steht dort ein – statt einer Zahl.
Was eine Schätzung nicht sieht: ein Netz, das Port 53 oder 853 sperrt, bremst oder verfälscht, HTTPS aber in Ruhe lässt.
Um UDP, DoT und DoQ wirklich zu messen, starten Sie das Kommandozeilen-Tool (der Befehl unter der Tabelle) auf einem Server, Linux-Rechner oder Router: Es spricht jedes Protokoll und nutzt dieselbe Liste.
Wie verlässlich sind die Ergebnisse?
Die Messmethode steht in der ersten Frage. Zusätzlich wird die Liste mit scripts/verify.mjs (im Repository) von mehr als einem Kontinent aus geprüft: Jede Adresse muss auf genau diese Art Abfrage eine echte DNS-Antwort liefern, und die DNSSEC-Prüfung wird getestet statt den Angaben der Anbieter übernommen.
Wo der Resolver es erlaubt (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), liest die Seite außerdem jede Antwort und zählt nur echte. Bei den anderen kann der Browser die Antwort nur zeitlich messen, nicht lesen.
Testen Sie ein paarmal, wenn möglich zu verschiedenen Tageszeiten: Was nachts am schnellsten ist, muss es zur Stoßzeit nicht sein.
Ich nutze einen Proxy. Sind die Ergebnisse noch meine?
Standardmäßig nicht: Mit Proxy oder VPN erreicht Ihr Browser die Resolver über diesen, und der Test misst die Route des Proxys (alle ausländischen Resolver wirken dann etwa so schnell wie Ihr Proxyserver). Der DNS, den Sie am Gerät oder Router einstellen, wird meist direkt gefragt; das ist also nicht das, was Sie bekämen.
Um Ihr eigenes Netz zu messen, fügen Sie die Direkt-Regeln hinzu (der Knopf neben dem Fortschritt): Sie schicken genau die Adressen dieses Tests direkt, per exaktem Hostnamen und einzelner IP, sonst nichts. Unterstützt werden Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box und Xray; die meisten können die Regeln von dieser Seite laden und aktuell halten.
Was bedeutet „ohne Cache“?
Populäre Namen liegen bei jedem viel genutzten Resolver schon im Cache und kommen überall schnell. Bei einem Namen, den länger niemand abgefragt hat, muss der Resolver erst die DNS-Server der Website fragen. Der Test nutzt Zufallsnamen unter einer Zone, die bei Cloudflares DNS liegt, mit Servern fast überall außer in Festlandchina.
Diese Zeit hängt davon ab, wo die DNS-Server der jeweiligen Website stehen, was sich unterscheidet; sie wird daher angezeigt, aber nicht gewertet. Resolver in Festlandchina wirken hier langsam, weil die Server der Zone im Ausland stehen; für chinesische Websites, deren DNS in China liegt, sind sie schnell.
Welchen soll ich nehmen?
Der oberste ist eine gute Wahl. Liegen mehrere nur wenige ms auseinander, wählen Sie nach dem, was Ihnen sonst wichtig ist: Quad9 und OpenDNS sperren bekannte Malware- und Phishing-Seiten; Mullvad, Quad9 und Wikimedia speichern nicht, wer was abgefragt hat; Resolver mit DNSSEC-Prüfung lehnen gefälschte Antworten für signierte Domains ab.
Wenn Ihr Gerät nur normale DNS-Serveradressen erlaubt (die meisten Router, ältere Systeme), schauen Sie auf die UDP-Spalte: Die Zeile unter dem Sieger nennt den schnellsten normalen DNS, wenn es ein anderer ist.
Damit Netz und Provider nicht sehen, was Sie abfragen, nutzen Sie die DoT- oder DoH-Adresse: Normales DNS läuft unverschlüsselt.
Wie ändere ich meinen DNS?
Android 9+: Einstellungen → Netzwerk → Privates DNS → DoT-Hostname eingeben (zum Beispiel one.one.one.one).
iPhone und Mac: je WLAN die DNS-Server eintragen; für verschlüsseltes DNS ein Konfigurationsprofil von der Website des Resolvers installieren.
Windows 11: Einstellungen → Netzwerk → Ihre Verbindung → DNS-Serverzuweisung → Manuell, Server eintragen und DNS over HTTPS einschalten.
Router: DNS-Server in den DHCP- oder WAN-Einstellungen eintragen, dann nutzen sie alle Geräte im Netz.
Nur im Browser: Chrome, Edge und Firefox haben eine Einstellung „Sicheres DNS“, in der Sie einen Anbieter wählen oder die DoH-Adresse einfügen.
Klicken Sie auf eine Adresse auf dieser Seite, um sie zu kopieren.
Was ist DNSSEC?
Mit DNSSEC signiert eine Domain ihre DNS-Einträge. Ein prüfender Resolver kontrolliert die Signaturen und lehnt nicht passende Antworten ab, sodass niemand unterwegs Ihnen eine gefälschte Adresse für eine signierte Domain unterschieben kann. Die Seite zeigt ✓ bei Resolvern, die das tun (getestet mit einer absichtlich kaputten Domain, dnssec-failed.org, die sie ablehnen müssen). Es hilft nur bei signierten Domains, kostet aber nichts.
Warum werden 114DNS und Baidu DNS nicht getestet?
Sie bieten nur normales DNS, und ihre Server antworten überhaupt nicht auf HTTPS, ein Browser erreicht sie also auf keine Weise. Quad101 (Taiwan) fehlt, weil sein DoH bei unseren Prüfungen aus dem Ausland nicht antwortete.
Was ist ECS, und warum wird es nicht angezeigt?
EDNS Client Subnet: Manche Resolver teilen den DNS-Servern einer Website einen Teil Ihrer Adresse mit, damit ein CDN einen Server in Ihrer Nähe statt in der Nähe des Resolvers wählt. Das kann Downloads und Videos beschleunigen, kostet aber etwas Privatsphäre.
Es steht nicht in der Tabelle, weil es keine feste Eigenschaft ist: Bei unseren Prüfungen gab derselbe Resolver es von manchen Orten und Protokollen weiter und von anderen nicht, ein Ja oder Nein wäre irreführend.
Werden meine Daten gesammelt?
Nein. Die Abfragen gehen direkt von Ihrem Browser an jeden Resolver, abgefragt werden populäre öffentliche Websites und Zufallsnamen; nichts über Sie. Diese Website erhält keine Ergebnisse. Jeder Resolver sieht Ihre Adresse, wie bei jeder DNS-Abfrage; es gelten deren eigene Datenschutzbestimmungen. Der Code ist Open Source auf GitHub.
Cloudflare
Google
Quad9
OpenDNS
AdGuard DNS
AdGuard Unfiltered
NextDNS
Control D
Mullvad
DNS.SB
Hurricane Electric
Wikimedia DNS
CleanBrowsing
Rethink DNS
AliDNS
DNSPod
360 DNS
Yandex DNS
DNS4EU
CIRA Canadian Shield
CZ.NIC ODVR
SWITCH
Digitale Gesellschaft
DNSForge
UncensoredDNS
Applied Privacy
Njalla
DNS4ALL
LibreDNS
Comss.one DNS
Xfinity
Tiarap
IIJ Public DNS