DNS einrichten

Hier steht, wie du den Resolver auf Handy, Computer, im Browser oder im Router einträgst. Alle Wege sind unten beschrieben, am Handy geht es oft per QR-Code schneller. Diese Seite hat selbst einen QR-Code, damit du sie vom Rechner aufs Handy bekommst:

Diese Seite aufs Handy holen

Wichtig vorab: Beide Varianten sind über IPv6 und IPv4 erreichbar. Teste am besten vorher mit dem Selbsttest auf der Startseite, bevor du dein einziges DNS umstellst. Rückgängig machen kannst du jede Einstellung, indem du sie auf „Automatisch“ zurückstellst.

Deine Werte

Es gibt zwei Varianten. Der normale Resolver validiert DNSSEC und filtert nichts. Die Variante mit Werbeblocker blockt Werbung, Tracking, Phishing und Schadsoftware, validiert aber kein DNSSEC (Details auf der Startseite).

	Normal	Werbeblocker
Hostname (DoT / „Privates DNS“)	`dns.dresel.systems`	`dnsnoad.dresel.systems`
DoH-URL	`https://dns.dresel.systems/dns-query`	`https://dnsnoad.dresel.systems/dns-query`
IPv6-Adresse	`2a06:e881:3408:2::53:1`	`2a06:e881:3408:2::53:2`
IPv4-Adresse	`23.88.50.191`	`157.90.120.47`

Ports: DoH 443, DoT 853, klassisches DNS 53 (UDP/TCP, unverschlüsselt).

Android iPhone und iPad Windows macOS Linux Browser Router Testen

Android

Ab Android 9 gibt es „Privates DNS“, das ist DNS-over-TLS. Das gilt für alle Apps. Ein Import per QR-Code ist bei Android nicht vorgesehen. Der QR-Code enthält deshalb nur den Hostnamen, den du mit der Kamera oder Google Lens als Text kopieren kannst.

Schnell: Hostnamen kopieren

Normal
dns.dresel.systems

Werbeblocker
dnsnoad.dresel.systems

Netzwerk-Einstellungen öffnen

Der letzte Button funktioniert nur in Chrome auf Android und ist ungetestet. Er öffnet die Netzwerk-Einstellungen, nicht direkt „Privates DNS“. Wenn nichts passiert, nimm den manuellen Weg.

Manuell

Öffne Einstellungen → Netzwerk & Internet → Privates DNS. Je nach Hersteller liegt es woanders, bei Samsung unter Verbindungen → Weitere Verbindungseinstellungen → Privates DNS. Findest du es nicht, suche in den Einstellungen nach „DNS“.
Wähle Hostname des Anbieters privater DNS.
Trage dns.dresel.systems oder dnsnoad.dresel.systems ein und tippe auf Speichern.
Prüfe mit dem Selbsttest auf der Startseite oder öffne eine Seite. Kommt keine, blockiert dein Netz vielleicht DoT (Port 853), etwa in manchen Firmen- oder Gäste-WLANs. Stelle dann wieder auf Automatisch.

Hinweis: Mit festem Hostnamen gibt es keinen Rückfall auf ein anderes DNS. Ist der Server einmal nicht erreichbar, stelle wieder auf Automatisch.

iPhone und iPad (iOS, iPadOS)

Ungetestet. Ich habe die Apple-Profile nach der Beschreibung von Apple gebaut, aber nicht auf einem iPhone ausprobiert. Wenn du es testest, freue ich mich über eine kurze Rückmeldung an kontakt@dresel.systems, egal ob es geklappt hat oder nicht.

Mit Profil (verschlüsselt, per DoH)

Scanne den QR-Code oder tippe auf den Link. Das Profil trägt nur die DoH-Adresse sowie die IPv4- und IPv6-Adresse des Servers ein, sonst nichts.

Normal
Profil laden

Werbeblocker
Profil laden

Lade das Profil. Safari meldet, dass die Konfiguration geladen wurde. Andere Browser öffnen es oft nicht, nimm dann Safari.
Öffne Einstellungen → Allgemein → VPN & Geräteverwaltung (bei älteren Versionen Profil geladen ganz oben) und tippe auf das Profil.
Tippe auf Installieren und gib den Code ein. Apple zeigt „Nicht signiert“ an, weil ich das Profil nicht mit einem Apple-Zertifikat signiere. Das ist normal.
Aktiviere danach Einstellungen → Allgemein → VPN & Geräteverwaltung → DNS und wähle den Eintrag aus.

Entfernen: Einstellungen → Allgemein → VPN & Geräteverwaltung → Profil wählen → Profil entfernen. Danach gilt wieder das normale DNS deines Netzes.

Ganz manuell (unverschlüsselt)

Ohne Profil kann iOS verschlüsseltes DNS nicht von Hand eintragen, nur klassisches DNS pro WLAN: Einstellungen → WLAN → (i) beim Netz → DNS konfigurieren → Manuell → Server hinzufügen, dann 23.88.50.191 oder 2a06:e881:3408:2::53:1 (normal) bzw. 157.90.120.47 oder 2a06:e881:3408:2::53:2 (Werbeblocker) eintragen und die alten Server entfernen. Diese Abfragen sind nicht verschlüsselt. Das gilt nur für dieses WLAN, im Mobilfunk gilt die Einstellung nicht.

Windows

Ungetestet (nach der Beschreibung von Microsoft zusammengestellt).

Windows 11

Einstellungen → Netzwerk & Internet → WLAN oder Ethernet → Hardwareeigenschaften (bzw. die Eigenschaften der Verbindung).
Bei DNS-Serverzuweisung auf Bearbeiten klicken, Manuell wählen und IPv4 und IPv6 einschalten.
Als bevorzugten DNS-Server bei IPv4 23.88.50.191 und bei IPv6 2a06:e881:3408:2::53:1 eintragen (Werbeblocker: 157.90.120.47 und 2a06:e881:3408:2::53:2).
Jeweils bei DNS-Verschlüsselung bevorzugt die Option Nur verschlüsselt (DNS über HTTPS) wählen. Erscheint ein Feld für die Vorlage, trage https://dns.dresel.systems/dns-query bzw. https://dnsnoad.dresel.systems/dns-query ein, dann Speichern.

Zeigt Windows das Vorlagenfeld nicht, geht es auch auf der Kommandozeile (als Administrator, Beispiel normal):

netsh dns add encryption server=23.88.50.191 dohtemplate=https://dns.dresel.systems/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2a06:e881:3408:2::53:1 dohtemplate=https://dns.dresel.systems/dns-query autoupgrade=yes udpfallback=no

Für den Werbeblocker entsprechend mit 157.90.120.47, 2a06:e881:3408:2::53:2 und https://dnsnoad.dresel.systems/dns-query. Danach die Adressen wie oben als DNS-Server eintragen.

Windows 10

Windows 10 kann kein DoH in den Einstellungen. Klassisch geht es über Netzwerkverbindungen → Adapter → Eigenschaften → Internetprotokoll, Version 4 (TCP/IPv4) bzw. Version 6 (TCP/IPv6) → Eigenschaften → Folgende DNS-Serveradressen verwenden, dort jeweils die IPv4- bzw. IPv6-Adresse eintragen. Das ist unverschlüsselt. Für Verschlüsselung brauchst du Windows 11 oder ein Programm wie dnscrypt-proxy.

macOS

Verschlüsselt: Lade das Profil von oben (normal oder Werbeblocker), öffne es per Doppelklick und bestätige es unter Systemeinstellungen → Datenschutz & Sicherheit → Profile (je nach Version Allgemein → Geräteverwaltung). Wie bei iOS: ungetestet.
Unverschlüsselt von Hand: Systemeinstellungen → Netzwerk → Verbindung → Details → DNS → mit + die IPv4- und die IPv6-Adresse hinzufügen und alte Einträge entfernen.

Linux

Mit systemd-resolved und DNS-over-TLS (Datei /etc/systemd/resolved.conf, normal):

[Resolve]
DNS=23.88.50.191#dns.dresel.systems 2a06:e881:3408:2::53:1#dns.dresel.systems
DNSOverTLS=yes
Domains=~.

Für den Werbeblocker 157.90.120.47#dnsnoad.dresel.systems 2a06:e881:3408:2::53:2#dnsnoad.dresel.systems eintragen. Dann sudo systemctl restart systemd-resolved und mit resolvectl status prüfen. Bei NetworkManager kannst du die DNS-Adresse auch in der Verbindung setzen. Ohne systemd-resolved trägst du die Adressen nur klassisch in /etc/resolv.conf ein, das ist unverschlüsselt.

Browser

Die Browser-Einstellung gilt nur für den Browser, nicht für andere Programme. Sie braucht die DoH-URL.

Firefox: Einstellungen → Datenschutz & Sicherheit → DNS über HTTPS. Wähle Maximaler Schutz, bei Anbieter wählen Benutzerdefiniert und trage https://dns.dresel.systems/dns-query (oder https://dnsnoad.dresel.systems/dns-query) ein. Bei Erhöhter Schutz fällt Firefox bei Fehlern still auf das normale System-DNS zurück. Dann sieht es so aus, als würde der Werbeblocker nicht wirken, obwohl er nur nicht erreicht wird.
Chrome, Edge, Brave: Einstellungen → Datenschutz und Sicherheit → Sicherheit → Sicheres DNS verwenden, Mit: benutzerdefiniert und die DoH-URL eintragen.
Safari: hat keine eigene Einstellung, es nutzt das System-DNS (Profil siehe iPhone/Mac).

Router und Heimnetz

Trägst du den Resolver im Router ein, nutzen ihn alle Geräte im Netz. Für den normalen Resolver trägst du IPv4 23.88.50.191 oder IPv6 2a06:e881:3408:2::53:1 ein, für den Werbeblocker IPv4 157.90.120.47 oder IPv6 2a06:e881:3408:2::53:2. Bei der FRITZ!Box geht das unter Internet → Zugangsdaten → DNS-Server: dort „Andere DNSv4-Server verwenden“ und „Andere DNSv6-Server verwenden“ mit den Adressen oben, für die verschlüsselte Variante zusätzlich „DNS over TLS“ mit dem Hostnamen. Die Menüs ändern sich je nach Firmware, daher ohne Gewähr. Bei anderen Routern suche nach „DNS-Server“, „DNSv6“ oder „DNS over TLS“.

Testen

Die Seite Welchen DNS nutze ich? zeigt dir, welcher Resolver wirklich für dich arbeitet. Das ist der schnellste Weg zu sehen, ob deine Einstellung greift.
Der Selbsttest auf der Startseite fragt direkt aus deinem Browser per DoH ab. Er zeigt dir, ob der Server erreichbar ist, nicht, ob dein System ihn nutzt.
Am Rechner: dig @23.88.50.191 example.com bzw. dig @2a06:e881:3408:2::53:1 example.com oder nslookup example.com 23.88.50.191. Beim Werbeblocker liefert eine Werbedomain 0.0.0.0 statt einer echten Adresse.
Zeigt sich kein Unterschied, prüfe, ob eine andere Einstellung (Browser-DNS, VPN, „Sicheres DNS“) vorrangig ist.

Rückmeldungen, vor allem zu den ungetesteten Wegen (iPhone, Windows, Router), sind willkommen: kontakt@dresel.systems.