Öffentlicher rekursiver DNS-Server mit DNSSEC-Validierung. Erreichbar per DNS-over-HTTPS, DNS-over-TLS und klassischem DNS, über IPv6 und IPv4. Ohne Anmeldung, ohne Protokollierung deiner Abfragen. Zusätzlich gibt es eine Variante mit Werbeblocker.
https://dns.dresel.systems/dns-query
2a06:e881:3408:2::53:1 · 23.88.50.191Dieser Resolver ist ein freies Angebot für alle: ohne Anmeldung, ohne Werbung, ohne Cookies und ohne Protokollierung deiner DNS-Abfragen. Server, Strom und Pflege kosten aber Geld und Zeit. Wenn dir der Dienst nützt, hilft mir schon ein kleiner Betrag, ihn dauerhaft und frei zugänglich zu halten.
Die Abfrage geht direkt von deinem Browser per DoH an diesen Resolver (Wire-Format nach RFC 8484, beim normalen Resolver per POST, beim Werbeblocker per GET). dnssec-failed.org hat absichtlich eine kaputte Signatur: der Standard-Resolver muss mit SERVFAIL antworten. Die Variante mit Werbeblocker prüft DNSSEC nicht (siehe unten) und löst den Namen deshalb auf.
| Protokoll | Adresse | Hinweis |
|---|---|---|
| DNS-over-HTTPS (DoH) | https://dns.dresel.systems/dns-queryhttps://[2a06:e881:3408:2::53:1]/dns-queryhttps://23.88.50.191/dns-query | Firefox: Einstellungen → Datenschutz & Sicherheit → DNS über HTTPS → Benutzerdefiniert. Chrome/Edge: „Sicheres DNS verwenden“ → Benutzerdefiniert. GET und POST (RFC 8484), HTTP/2. |
| DNS-over-TLS (DoT) | dns.dresel.systems, 2a06:e881:3408:2::53:1 oder 23.88.50.191 (Port 853) | Android: Einstellungen → Privates DNS → Hostname des DNS-Anbieters. |
| Klassisches DNS (Do53) | 2a06:e881:3408:2::53:1 oder 23.88.50.191 (Port 53, UDP/TCP) | Unverschlüsselt, für Router und Geräte ohne DoH/DoT. |
Das Zertifikat gilt für den Namen und für die IP-Adressen (IPv6 und IPv4). Dadurch lassen sich DoT und DoH auch direkt mit der IP-Adresse nutzen (ohne Zertifikatsfehler), und Clients, die nur die IP kennen, können über DDR (_dns.resolver.arpa, RFC 9462) automatisch auf die verschlüsselte Verbindung aufrüsten. Das Zertifikat ist nur 6 Tage gültig und wird automatisch erneuert.
dig @2a06:e881:3408:2::53:1 example.org AAAA +dnssec dig @23.88.50.191 example.org AAAA +dnssec kdig @dns.dresel.systems +tls example.org curl --doh-url https://dns.dresel.systems/dns-query https://example.org # systemd-resolved (/etc/systemd/resolved.conf) DNS=23.88.50.191#dns.dresel.systems 2a06:e881:3408:2::53:1#dns.dresel.systems DNSOverTLS=yes
Zusätzlich zum normalen Resolver gibt es eine zweite Adresse, die Werbung, Tracker, Phishing- und Schadsoftware-Domains schon auf DNS-Ebene blockt. Geblockte Namen werden mit 0.0.0.0 beantwortet, die Verbindung kommt dann gar nicht erst zustande. Dahinter arbeitet AdGuard Home mit Blocklisten von Dritten, darunter AdGuard DNS filter, HaGeZi Pro und Threat Intelligence, PhishTank/OpenPhish, URLhaus, Phishing Army, Dandelion Anti-Malware, Scam Blocklist und eine Stalkerware-Liste. Einen Jugendschutz- oder Inhaltsfilter gibt es nicht.
dns.dresel.systems.157.90.120.47 (Weiterleitung bei Hetzner), IPv6: 2a06:e881:3408:2::53:2.| Protokoll | Adresse |
|---|---|
| DNS-over-HTTPS (DoH) | https://dnsnoad.dresel.systems/dns-queryhttps://[2a06:e881:3408:2::53:2]/dns-queryhttps://157.90.120.47/dns-query |
| DNS-over-TLS (DoT) | dnsnoad.dresel.systems, 2a06:e881:3408:2::53:2 oder 157.90.120.47 (Port 853) |
| Klassisches DNS (Do53) | 2a06:e881:3408:2::53:2 oder 157.90.120.47 (Port 53, UDP/TCP) |
dnssec-failed.org liefert eine Adresse statt eines Fehlers.dnsnoad.dresel.systems. Mein DNS-Server leitet die Anfrage an AdGuard Home weiter. Ist der Name gelistet, antwortet AdGuard mit 0.0.0.0. Sonst fragt AdGuard den normalen Resolver (dns.dresel.systems), der rekursiv auflöst, und die Antwort geht zurück zu dir.Normaler ResolverWerbeblocker, durchgelassenWerbeblocker, geblockt
DNS-Container (normal und Weiterleitung)AdGuard-Container (Werbeblocker)
Es werden nur anonyme Zählwerte erfasst (Anzahl der Anfragen und der geblockten Anfragen pro Stunde über alle Protokolle, getrennt nach normalem Resolver und Werbeblocker; Prozessorlast der beiden Container). Keine IP-Adressen, keine Domainnamen, keine Cookies. Zeiten in deiner Ortszeit.
BIND 9.20 als rekursiver Resolver mit DNSSEC-Validierung, QNAME-Minimierung, Prefetch und Serve-stale (veraltete Antworten bis zu 24 h, falls ein Zielserver ausfällt). Der normale Resolver filtert oder leitet keine Antworten um; Filter gibt es nur in der separaten Variante mit Werbeblocker (zweite Adresse, AdGuard Home). EDNS-Puffer 1232 Byte gegen Fragmentierung. Zertifikat von Let’s Encrypt für Name und IP-Adressen (6 Tage gültig, automatisch erneuert). Aufrufe über http werden auf https umgeleitet. Pro Quelladresse sind die Anfragen großzügig begrenzt (Firewall-Regeln mit nftables), um Missbrauch als Verstärker bei DDoS-Angriffen zu verhindern.
Der Server läuft privat und ohne Verfügbarkeitsgarantie. Verlasse dich bei wichtigen Netzen nicht ausschließlich darauf, sondern trage zusätzlich einen zweiten Resolver ein. Bei missbräuchlicher Nutzung (Dauerlast, Verstärkungsangriffe) behalte ich mir Sperren vor.