Naarmate het internet zich ontwikkelt, worden aanvalsstrategieën schadelijker en geraffineerder. Daarom is het versleutelen van DNS-verkeer essentieel om de privacy op internet te verbeteren en ongeoorloofd meekijken of DNS-spoofing-aanvallen te voorkomen. Een manier om dit te doen is het activeren van DNS over TLS (DoT), een veilig DNS-protocol dat Domain Name System (DNS)-verkeer versleutelt via Transport Layer Security (TLS).
Windows 11 ondersteunt DNS over HTTPS (DoH) van nature via een methode op basis van het register. In deze gids leest u alles wat u moet weten om DNS over TLS in Windows 11 in te schakelen: de vereisten, de configuratie stap voor stap en manieren om te controleren of alles goed werkt.
Vereisten
Voordat u begint, moet uw systeem aan een aantal voorwaarden voldoen:
- Geldt voor alle edities van Windows 11: deze stappen werken in Windows 11 Home, Pro en Enterprise.
- Toegang tot DoT-compatibele DNS-servers: u hebt DNS-providers nodig die DNS over TLS ondersteunen, zoals Quad9, Cloudflare of NextDNS.
- Beheerdersrechten: voor deze methode hebt u beheerdersrechten nodig.
- Build 25158 of hoger vereist: de functie wordt ondersteund vanaf Windows 11 Insider Build 25158+ (de uitrol van de functie kan verschillen).
Daarnaast moet u uw netwerkadapter instellen op een DNS-server die DoT ondersteunt. Zo doet u dat:
- Druk op Windows-toets + I om Instellingen te openen.
- Ga naar Netwerk en internet.
- Voor wifi: Wi-Fi > uw verbonden netwerk > Hardware-eigenschappen
- Voor ethernet: Ethernet > Eigenschappen
- Klik bij DNS-servertoewijzing op Bewerken.
- Schakel over naar Handmatig en zet IPv4 aan.
- Voer de DNS-adressen van Quad9 in:
- Voorkeurs-DNS: 9.9.9.9
- Alternatieve DNS: 149.112.112.112
- (Optioneel) Configureer IPv6:
- Voorkeurs-DNS: 2620:fe::fe
- Alternatieve DNS: 2620:fe::9
- Herhaal dit voor zowel de voorkeurs- als de alternatieve vermelding.
- Klik op Opslaan en maak opnieuw verbinding met uw netwerk.
Is dit ingesteld, dan kunt u verder met de methode via de Register-editor om versleutelde DNS af te dwingen.
DNS over TLS (DoT) configureren
⚠️ Waarschuwing: het bewerken van het register kan systeemproblemen veroorzaken. Maak een back-up voordat u verdergaat.
💡 Let op: er bestaat geen registersleutel om uitsluitend DoT af te dwingen. Deze methode schakelt versleutelde DNS in en laat de keuze van het protocol (DoT of DoH) over aan Windows en de resolver.
U kunt DNS over TLS (DoT) in Windows 11 configureren met de Register-editor. Deze methode is het meest geschikt voor gevorderde gebruikers of IT-beheerders die meerdere systemen beheren.
Dit zijn de stappen:
- Open de Register-editor:
- Druk op de Windows-toets + R, typ regedit en druk op Enter.
- Ga naar de parameters van de DNS-client:
- Ga naar: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters
- Maak of wijzig resolver-vermeldingen:
- In deze stap stelt u registerwaarden in die Windows opdragen versleutelde DNS te gebruiken. Microsoft biedt geen registerinstelling voor uitsluitend DoT, maar deze waarden dwingen wel versleuteld DNS-gedrag af. Windows onderhandelt vervolgens over DoT of DoH, afhankelijk van wat de opgegeven DNS-server ondersteunt. Zo gaat u te werk:
- Voeg de sleutel DoHServerList toe. Klik met de rechtermuisknop in het rechterdeelvenster en kies Nieuw > Tekenreekswaarde.
- Geef deze de naam: DoHServerList
- Dubbelklik erop en voer de URL van een veilige resolver in, bijvoorbeeld: https://dns.quad9.net/dns-query
- Voeg de sleutel DoHPolicy toe. Klik met de rechtermuisknop in het rechterdeelvenster en kies Nieuw > DWORD-waarde (32-bits).
- Geef deze de naam: DoHPolicy
- Dubbelklik erop en stel de waarde in op 2
- In deze stap stelt u registerwaarden in die Windows opdragen versleutelde DNS te gebruiken. Microsoft biedt geen registerinstelling voor uitsluitend DoT, maar deze waarden dwingen wel versleuteld DNS-gedrag af. Windows onderhandelt vervolgens over DoT of DoH, afhankelijk van wat de opgegeven DNS-server ondersteunt. Zo gaat u te werk:
Deze instelling dwingt versleutelde DNS-resolutie af (DoH of DoT, afhankelijk van wat wordt ondersteund).
Zo controleert u of DNS over TLS werkt
Nadat u een veilige DNS-resolver hebt geconfigureerd, controleert u of DNS over TLS actief is. Daarvoor hebt u twee methoden:
Methode 1: de eenvoudigste methode – nslookup
De eenvoudigste manier om te bevestigen dat DNS over TLS actief is, is een snelle lookup-test uitvoeren:
- Druk op de Windows-toets, typ cmd en open de Opdrachtprompt.
- Voer de volgende opdracht uit:
nslookup google.com
- Als DoT juist is geconfigureerd, ziet u uw veilige DNS-server bovenaan in de uitvoer staan. Bijvoorbeeld:
Server: dns9.quad9.net
Address: 9.9.9.9
Als het resultaat de door u geconfigureerde DoT-resolver toont (bijvoorbeeld Quad9, Cloudflare of NextDNS), dan werkt versleutelde DNS.
Methode 2: geavanceerde controle – netstat, Wireshark, PowerShell
Wilt u zekerder weten dat DoT wordt gebruikt (en niet DoH of DNS zonder versleuteling), dan kunt u ook het volgende doen:
- Druk op de Windows-toets om het startmenu te openen en typ PowerShell. Klik op PowerShell.
- Voer de volgende opdracht uit:
Get-DnsClientDohServerAddress. Hiermee krijgt u een lijst te zien van de versleutelde DNS-servers die op uw systeem zijn geconfigureerd.- Verschijnt uw DoT/DoH-resolver (bijvoorbeeld Quad9, Cloudflare of NextDNS) in de uitvoer, dan is versleutelde DNS actief.
- Staan er geen vermeldingen of alleen resolvers zonder versleuteling, dan is de configuratie niet correct toegepast.
- Om te bevestigen dat DoT wordt gebruikt (en niet DoH of DNS zonder versleuteling), kunt u met netstat zoeken naar uitgaande verbindingen op poort 853, die is gereserveerd voor DNS over TLS.
- Voer de volgende opdracht uit:
netstat -an | findstr :853 - Ziet u vermeldingen met een ESTABLISHED-verbinding met uw DNS-server op poort 853, dan is DoT actief.
- Voer de volgende opdracht uit:
- U kunt ook Wireshark of netstat gebruiken om versleuteld DNS-verkeer op poort 853 (voor DoT) te bevestigen.
- Open Wireshark en start een capture op uw actieve netwerkinterface.
- Voer in de filterbalk het volgende in: tcp.port == 853
- Hiermee ziet u alleen DNS over TLS-verkeer. Ziet u pakketten van of naar uw geconfigureerde DNS-server (bijvoorbeeld 9.9.9.9), dan bevestigt dat dat DoT wordt gebruikt.
- U kunt na de configuratie ook de diagnosepagina van uw DNS-resolver in een browser raadplegen.
⚠️ Waar u op moet letten
| Risico’s | Mogelijke gevolgen | Hoe terug te draaien |
| Verkeerde registerconfiguratie | DNS-resolutie kan mislukken of versleutelde resolvers worden niet toegepast. | Open de Register-editor. Ga naar HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters. Controleer of verwijder onjuiste DoHPolicy– of DoHServerList-sleutels. |
| AllowFallbackToUdp ingesteld op $true | Als fallback is ingeschakeld, kan het systeem terugvallen op onversleutelde DNS wanneer DoT mislukt. | Configureer opnieuw met fallback uitgeschakeld:
|
| Firewall blokkeert poort 853 | DNS over TLS-verkeer wordt geblokkeerd, waardoor DNS kan mislukken of terugvalt op onversleuteld verkeer. | Zorg dat uitgaand TCP-verkeer op poort 853 is toegestaan. Controleer dit met:
|
| Een DNS-provider zonder DoT-ondersteuning gebruiken | Versleutelde DNS werkt niet; het systeem valt mogelijk terug op onversleuteld verkeer of DoH. | Stap over op een resolver die DoT ondersteunt (bijvoorbeeld Quad9 – 9.9.9.9, Cloudflare – 1.1.1.1, NextDNS). |
Waarom DNS over TLS gebruiken?
Er zijn verschillende redenen waarom DNS over TLS onmisbaar is geworden. Een aantal daarvan:
- DNS beschermen: door DNS-lookups te versleutelen schermt DoT query’s van endpoints af tegen meekijken en manipulatie.
- Meer privacy bij DNS-resolutie op endpoints: DoT zorgt ervoor dat domeinopvragingen niet eenvoudig te volgen zijn.
- Veilige DNS-communicatie ondersteunen: DNS over TLS dwingt bescherming af voor communicatie waarbij de kans op DNS-onderschepping groter is, zoals in zakelijke omgevingen en op openbare netwerken.
- Voldoen aan moderne beveiligingsbeleidslijnen: sommige sectoren, regelgevende kaders of beveiligingsbaselines raden versleutelde DNS-protocollen aan of verplichten ze.
Aanvullende aandachtspunten
Houd bij het inschakelen van DNS over TLS (DoT) rekening met de volgende factoren:
- TCP-poort 853: DoT gebruikt poort 853; zorg dat deze niet wordt geblokkeerd door firewalls of netwerkbeleid. Gebruikt u Windows Defender Firewall, dan moet u mogelijk uitgaande TCP-verbindingen op poort 853 toestaan via Windows Defender Firewall met geavanceerde beveiliging.
- Fallback naar onversleutelde DNS uitschakelen: Fallback:
-AllowFallbackToUdp $falsezorgt ervoor dat er geen onversleutelde DNS wordt gebruikt als de versleuteling mislukt. - Split tunneling/VPN’s: versleutelde DNS kan botsen met DNS-instellingen die door bedrijfs-VPN’s worden opgelegd.
- Beperkingen van Groepsbeleid: de native GPO-ondersteuning voor DoT is beperkt. Voor uitrol binnen een organisatie wordt het gebruik van scripts aanbevolen.
DNS over TLS (DoT) inschakelen in Windows 11
In een tijd van geraffineerde online-inbraken en cyberaanvallen is het inschakelen van DNS over TLS een waardevolle verdediging om de privacy van uw systeem te verbeteren. Deze aanpak versleutelt DNS-verkeer en verkleint het risico op onderschepping of spoofing. De configuratie is niet zomaar via een grafische interface beschikbaar, maar DoT kan wel worden ingesteld via het register. Met PowerShell of een netwerktrace kunt u bevestigen dat de configuratie is gelukt en dat poort 853 (DoT) wordt gebruikt.
