このサイトに届く検索の一部は「ブロックされたサイトを開く DNS」を求めています。短く答えると、うまくいくこともあれば、いかないこともあり、その違いはプロバイダーがどうやってブロックしているかにあります。この記事はその見分け方の話です。
サイトをブロックする 3 つの方法
プロバイダーがドメインをブロックしなければならないとき、手段は安いものから高いものまで 3 つあります。
DNS ブロック。 プロバイダーは自社リゾルバーを設定し、その名前を問い合わせられたら「存在しない」と答えるか、自社の IP を返して警告ページを表示させます。費用がかからずトラフィックにも触れないので、圧倒的に最も一般的です。効くのはプロバイダーの DNS を使っているときだけで、初期設定では誰もがそうしています。
IP ブロック。 プロバイダーがサーバーの IP アドレス宛てのトラフィックを遮断します。名前をどう解決しても関係なく、接続が届きません。維持コストが高く（IP は変わるし、CDN の IP をブロックすれば無関係な数百のサイトが巻き添えになる）、特定のケースに限られます。
SNI ブロック。 HTTPS 接続では、残りが暗号化されていても、最初にサイト名が平文で流れます（SNI）。一部のプロバイダーはこのフィールドを検査し、リストに一致すれば接続を切ります。トラフィック検査装置が必要で、「本格的な」ブロックの方法です。
DNS で回避できるもの、できないもの
リゾルバーの変更で回避できるのは1 つ目だけです。1.1.1.1 や 9.9.9.9 を設定すると、端末はもうプロバイダーに問い合わせず、本物の IP を得ます。残りの 2 つに対しては何もできません。名前はすでに解決済みで、ブロックはその後、接続に対して働くからです。
重要な補足があります。DNS でブロックするプロバイダーの多くは、従来の DNS トラフィック（ポート 53）を横取りもします。1.1.1.1 を設定しても関係なく、プロバイダーが問い合わせを捕まえて自分で答えます。だからこの目的で DNS を変えるなら、暗号化が必須です。DoH か DoT です。プロバイダーには Cloudflare や Quad9 への TLS 接続が見えるだけで、中身を読むことも差し替えることもできません。Android では「プライベート DNS」設定、Windows 11、macOS、iOS ではネットワーク設定かプロファイルで有効にします。設定ガイドに OS ごとの手順があります。
自分のケースの見分け方
1 分で済みます。
- 暗号化されたパブリック DNS を設定する（たとえば Android のプライベート DNS に
one.one.one.one、またはブラウザで DoH の 1.1.1.1）。 - サイトを開いてみる。開けば、ブロックは DNS でした。終わりです。
- 開かなければ、名前が解決するか確認する。DNS ルックアップツールがドメインの本物の IP を返します。返るのにサイトが読み込めない、または「タイムアウト」になるなら、ブロックは IP か SNI です。DNS を変えても役に立ちません。
3 つ目のケースでブロックを回避できるのは、接続全体を暗号化して別の国から出す VPN か、SNI を暗号化するブラウザ（Encrypted Client Hello。サイト側も対応していれば Firefox と Chrome はすでに対応）です。それはまた別の記事になります。
どの DNS を使うか
この目的には、同じブロック命令の対象になっていないフィルタなしのリゾルバーを。
| リゾルバー | プライベート DNS / DoT 用の名前 | IP |
|---|---|---|
| Cloudflare | one.one.one.one | 1.1.1.1 |
| Quad9（マルウェアのみ） | dns.quad9.net | 9.9.9.9 |
dns.google | 8.8.8.8 | |
| DNS4EU、フィルタなし版 | unfiltered.joindns4.eu | 86.54.11.100 |
この用途では、ファミリーフィルタや広告フィルタ付きのリゾルバーは避けてください。それ自体がブロックを行うので、プロバイダーのブロックとリゾルバーのブロックの区別がつかなくなります。
DNS がしないこと
- IP アドレスも見かけ上の国も変わりません。サイトは相変わらずあなたの居場所を知っています。
- ブラウジングを暗号化するわけではなく、名前解決だけです。プロバイダーはどの IP に接続しているかを引き続き見ています。
- 見てきたとおり、IP ブロックと SNI ブロックは回避できません。
- 落ちているサイトや、サイト自身があなたの国を締め出しているもの（サイト側のジオブロック）は開けません。
これらすべてに対する道具は VPN です。DNS が道具になるのは、問題が具体的に「プロバイダーが名前を解決してくれない」ことであるときです。それが最も多い問題だからこそ、この記事があります。
合法性について
自分の端末の DNS を変えることは一般に合法で、パブリックリゾルバーはまさに各自が自分のものを選べるように存在しています。アクセスするコンテンツは別問題で、国によります。裁判所の命令でブロックされているものにアクセスすれば、技術にかかわらず結果を伴うことがあります。ここでは仕組みを説明しています。それをどう使うかはあなた次第です。