{"id":936616,"date":"2026-11-13T13:58:35","date_gmt":"2026-11-13T13:58:35","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/dns-over-tls-windows-11\/"},"modified":"2026-11-13T13:58:36","modified_gmt":"2026-11-13T13:58:36","slug":"dns-over-tls-windows-11","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/nl\/blog\/dns-over-tls-windows-11\/","title":{"rendered":"DNS over TLS (DoT) inschakelen in Windows 11"},"content":{"rendered":"<p>Naarmate het internet zich ontwikkelt, worden aanvalsstrategie\u00ebn schadelijker en geraffineerder. Daarom is het versleutelen van <a href=\"https:\/\/www.ninjaone.com\/nl\/blog\/wat-is-dns\/\">DNS<\/a>-verkeer essentieel om de privacy op internet te verbeteren en ongeoorloofd meekijken of <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-dns-spoofing\/\">DNS-spoofing<\/a>-aanvallen te voorkomen. Een manier om dit te doen is het activeren van <strong>DNS over TLS<\/strong> (DoT), een veilig DNS-protocol dat Domain Name System (DNS)-verkeer versleutelt via <a href=\"https:\/\/www.ninjaone.com\/nl\/blog\/tls-handshake\/\">Transport Layer Security (TLS)<\/a>.<\/p>\n<p>Windows 11 ondersteunt DNS over <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-https\/\">HTTPS<\/a> (DoH) van nature via een methode op basis van het register. In deze gids leest u alles wat u moet weten om DNS over TLS in Windows 11 in te schakelen: de vereisten, de configuratie stap voor stap en manieren om te controleren of alles goed werkt.<\/p>\n<h2>Vereisten<\/h2>\n<p>Voordat u begint, moet uw systeem aan een aantal voorwaarden voldoen:<\/p>\n<ul>\n<li><strong>Geldt voor alle edities van Windows 11: <\/strong>deze stappen werken in Windows 11 Home, Pro en Enterprise.<\/li>\n<li><strong>Toegang tot DoT-compatibele DNS-servers: <\/strong> u hebt DNS-providers nodig die DNS over TLS ondersteunen, zoals <a href=\"https:\/\/www.quad9.net\/\" target=\"_blank\" rel=\"noopener\">Quad9<\/a>, <a href=\"https:\/\/www.cloudflare.com\/\" target=\"_blank\" rel=\"noopener\">Cloudflare<\/a> of <a href=\"https:\/\/nextdns.io\/\" target=\"_blank\" rel=\"noopener\">NextDNS<\/a>.<\/li>\n<li><strong>Beheerdersrechten:<\/strong> voor deze methode hebt u beheerdersrechten nodig.<\/li>\n<li><strong>Build 25158 of hoger vereist:<\/strong> de functie wordt ondersteund vanaf Windows 11 Insider Build 25158+ (de uitrol van de functie kan verschillen).<\/li>\n<\/ul>\n<p>Daarnaast moet u uw netwerkadapter instellen op een DNS-server die DoT ondersteunt. Zo doet u dat:<\/p>\n<ol>\n<li>Druk op <strong>Windows-toets<\/strong> + <strong>I<\/strong> om Instellingen te openen.<\/li>\n<li>Ga naar <strong>Netwerk en internet<\/strong>.\n<ul>\n<li>Voor wifi: <strong>Wi-Fi<\/strong> &gt; <strong>uw verbonden netwerk<\/strong> &gt; <strong>Hardware-eigenschappen<\/strong><\/li>\n<li>Voor ethernet: <strong>Ethernet<\/strong> &gt; <strong>Eigenschappen<\/strong><\/li>\n<\/ul>\n<\/li>\n<li>Klik bij DNS-servertoewijzing op <strong>Bewerken<\/strong>.<\/li>\n<li>Schakel over naar <strong>Handmatig<\/strong> en zet <strong>IPv4<\/strong> aan.<\/li>\n<li>Voer de DNS-adressen van Quad9 in:\n<ul>\n<li>Voorkeurs-DNS: <strong>9.9.9.9<\/strong><\/li>\n<li>Alternatieve DNS: <strong>149.112.112.112<\/strong><\/li>\n<\/ul>\n<\/li>\n<li>(Optioneel) Configureer IPv6:\n<ul>\n<li>Voorkeurs-DNS: <strong>2620:fe::fe<\/strong><\/li>\n<li>Alternatieve DNS: <strong>2620:fe::9<\/strong><\/li>\n<\/ul>\n<\/li>\n<li>Herhaal dit voor zowel de voorkeurs- als de alternatieve vermelding.<\/li>\n<li>Klik op <strong>Opslaan<\/strong> en maak opnieuw verbinding met uw netwerk.<\/li>\n<\/ol>\n<p>Is dit ingesteld, dan kunt u verder met de methode via de Register-editor om versleutelde DNS af te dwingen.<\/p>\n<h2>DNS over TLS (DoT) configureren<\/h2>\n<p><a href=\"https:\/\/www.google.com\/search?client=safari&#038;rls=en&#038;q=%E2%9A%A0%EF%B8%8F&#038;ie=UTF-8&#038;oe=UTF-8\" target=\"_blank\" rel=\"noopener\">\u26a0\ufe0f<\/a><strong> Waarschuwing: <\/strong>het bewerken van het register kan systeemproblemen veroorzaken. <a href=\"https:\/\/www.ninjaone.com\/blog\/back-up-and-restore-windows-registry\/\">Maak een back-up<\/a> voordat u verdergaat.<\/p>\n<p><strong>\ud83d\udca1 Let op: <\/strong>er bestaat geen registersleutel om uitsluitend DoT af te dwingen. Deze methode schakelt versleutelde DNS in en laat de keuze van het protocol (DoT of DoH) over aan Windows en de resolver.<\/p>\n<p>U kunt DNS over TLS (DoT) in Windows 11 configureren met de Register-editor. Deze methode is het meest geschikt voor gevorderde gebruikers of IT-beheerders die meerdere systemen beheren.<\/p>\n<p>Dit zijn de stappen:<\/p>\n<ol>\n<li>Open de Register-editor:\n<ul>\n<li>Druk op de <strong>Windows-toets<\/strong> + <strong>R<\/strong>, typ <strong>regedit<\/strong> en druk op <strong>Enter<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<li>Ga naar de parameters van de DNS-client:\n<ul>\n<li>Ga naar: <em>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\Dnscache\\Parameters<\/em><\/li>\n<\/ul>\n<\/li>\n<li>Maak of wijzig resolver-vermeldingen:\n<ul>\n<li>In deze stap stelt u registerwaarden in die Windows opdragen versleutelde DNS te gebruiken. Microsoft biedt geen registerinstelling voor uitsluitend DoT, maar deze waarden dwingen wel versleuteld DNS-gedrag af. Windows onderhandelt vervolgens over <strong>DoT of DoH<\/strong>, afhankelijk van wat de opgegeven DNS-server ondersteunt. Zo gaat u te werk:\n<ul>\n<li>Voeg de sleutel DoHServerList toe. Klik met de rechtermuisknop in het rechterdeelvenster en kies <strong>Nieuw <\/strong>&gt;<strong> Tekenreekswaarde<\/strong>.<\/li>\n<li>Geef deze de naam: <strong>DoHServerList<\/strong><\/li>\n<li>Dubbelklik erop en voer de URL van een veilige resolver in, bijvoorbeeld: <strong>https:\/\/dns.quad9.net\/dns-query<\/strong><\/li>\n<li>Voeg de sleutel DoHPolicy toe. Klik met de rechtermuisknop in het rechterdeelvenster en kies <strong>Nieuw<\/strong> &gt; <strong>DWORD-waarde (32-bits)<\/strong>.<\/li>\n<li>Geef deze de naam: <strong>DoHPolicy<\/strong><\/li>\n<li>Dubbelklik erop en stel de waarde in op <strong>2<\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Deze instelling dwingt versleutelde DNS-resolutie af (DoH of DoT, afhankelijk van wat wordt ondersteund).<\/p>\n<h2>Zo controleert u of DNS over TLS werkt<\/h2>\n<p>Nadat u een veilige DNS-resolver hebt geconfigureerd, controleert u of DNS over TLS actief is. Daarvoor hebt u twee methoden:<\/p>\n<h3>Methode 1: de eenvoudigste methode \u2013 nslookup<\/h3>\n<p>De eenvoudigste manier om te bevestigen dat DNS over TLS actief is, is een snelle lookup-test uitvoeren:<\/p>\n<ol>\n<li>Druk op de <strong>Windows-toets<\/strong>, typ <strong>cmd<\/strong> en open de <strong>Opdrachtprompt<\/strong>.<\/li>\n<li>Voer de volgende opdracht uit:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>nslookup google.com<\/code><\/strong><\/p>\n<ol start=\"3\">\n<li>Als DoT juist is geconfigureerd, ziet u uw veilige DNS-server bovenaan in de uitvoer staan. Bijvoorbeeld:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>Server: dns9.quad9.net<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong><code>Address: 9.9.9.9<\/code><\/strong><\/p>\n<p>Als het resultaat de door u geconfigureerde DoT-resolver toont (bijvoorbeeld Quad9, Cloudflare of NextDNS), dan werkt versleutelde DNS.<\/p>\n<h3>Methode 2: geavanceerde controle \u2013 netstat, Wireshark, PowerShell<\/h3>\n<p>Wilt u zekerder weten dat DoT wordt gebruikt (en niet DoH of DNS zonder versleuteling), dan kunt u ook het volgende doen:<\/p>\n<ol>\n<li>Druk op de <strong>Windows-toets <\/strong>om het startmenu te openen en typ <strong>PowerShell<\/strong>. Klik op PowerShell.<\/li>\n<li>Voer de volgende opdracht uit: <strong><code>Get-DnsClientDohServerAddress<\/code><\/strong>. Hiermee krijgt u een lijst te zien van de versleutelde DNS-servers die op uw systeem zijn geconfigureerd.\n<ul>\n<li>Verschijnt uw DoT\/DoH-resolver (bijvoorbeeld Quad9, Cloudflare of NextDNS) in de uitvoer, dan is versleutelde DNS actief.<\/li>\n<li>Staan er geen vermeldingen of alleen resolvers zonder versleuteling, dan is de configuratie niet correct toegepast.<\/li>\n<\/ul>\n<\/li>\n<li>Om te bevestigen dat DoT wordt gebruikt (en niet DoH of DNS zonder versleuteling), kunt u met netstat zoeken naar uitgaande verbindingen op poort 853, die is gereserveerd voor DNS over TLS.\n<ul>\n<li>Voer de volgende opdracht uit: <strong><code>netstat -an | findstr :853<\/code><\/strong><\/li>\n<li>Ziet u vermeldingen met een <strong>ESTABLISHED<\/strong>-verbinding met uw DNS-server op poort 853, dan is DoT actief.<\/li>\n<\/ul>\n<\/li>\n<li>U kunt ook <strong>Wireshark<\/strong> of <strong>netstat<\/strong> gebruiken om versleuteld DNS-verkeer op poort 853 (voor DoT) te bevestigen.\n<ul>\n<li>Open Wireshark en start een capture op uw actieve netwerkinterface.<\/li>\n<li>Voer in de filterbalk het volgende in: <strong>tcp.port == 853<\/strong><\/li>\n<li>Hiermee ziet u alleen DNS over TLS-verkeer. Ziet u pakketten van of naar uw geconfigureerde DNS-server (bijvoorbeeld <strong>9.9.9.9<\/strong>), dan bevestigt dat dat DoT wordt gebruikt.<\/li>\n<\/ul>\n<\/li>\n<li>U kunt na de configuratie ook de diagnosepagina van uw DNS-resolver in een browser raadplegen.<\/li>\n<\/ol>\n<h2>\u26a0\ufe0f Waar u op moet letten<\/h2>\n<table>\n<tbody>\n<tr>\n<td><strong>Risico\u2019s<\/strong><\/td>\n<td><strong>Mogelijke gevolgen<\/strong><\/td>\n<td><strong>Hoe terug te draaien<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Verkeerde registerconfiguratie<\/td>\n<td>DNS-resolutie kan mislukken of versleutelde resolvers worden niet toegepast.<\/td>\n<td style=\"word-break: break-word; overflow-wrap: break-word;\">Open de Register-editor. Ga naar <em>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\Dnscache\\Parameters<\/em>. Controleer of verwijder onjuiste <strong>DoHPolicy<\/strong>&#8211; of <strong>DoHServerList<\/strong>-sleutels.<\/td>\n<\/tr>\n<tr>\n<td>AllowFallbackToUdp ingesteld op <strong>$true<\/strong><\/td>\n<td>Als fallback is ingeschakeld, kan het systeem terugvallen op onversleutelde DNS wanneer DoT mislukt.<\/td>\n<td>Configureer opnieuw met fallback uitgeschakeld:<\/p>\n<ul>\n<li><strong><code>-AllowFallbackToUdp $false<\/code> om uitsluitend versleutelde DNS-resolutie af te dwingen.<\/strong><\/li>\n<\/ul>\n<\/td>\n<\/tr>\n<tr>\n<td>Firewall blokkeert poort 853<\/td>\n<td>DNS over TLS-verkeer wordt geblokkeerd, waardoor DNS kan mislukken of terugvalt op onversleuteld verkeer.<\/td>\n<td>Zorg dat uitgaand TCP-verkeer op poort 853 is toegestaan. Controleer dit met:<\/p>\n<p><strong><code>netstat -an<\/code><\/strong><\/td>\n<\/tr>\n<tr>\n<td>Een DNS-provider zonder DoT-ondersteuning gebruiken<\/td>\n<td>Versleutelde DNS werkt niet; het systeem valt mogelijk terug op onversleuteld verkeer of DoH.<\/td>\n<td>Stap over op een resolver die DoT ondersteunt (bijvoorbeeld <strong>Quad9 \u2013 9.9.9.9, Cloudflare \u2013 1.1.1.1, NextDNS<\/strong>).<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Waarom DNS over TLS gebruiken?<\/h2>\n<p>Er zijn verschillende redenen waarom DNS over TLS onmisbaar is geworden. Een aantal daarvan:<\/p>\n<ul>\n<li><strong>DNS beschermen:<\/strong> door DNS-lookups te versleutelen schermt DoT query\u2019s van endpoints af tegen meekijken en manipulatie.<\/li>\n<li><strong>Meer privacy bij DNS-resolutie op endpoints:<\/strong> DoT zorgt ervoor dat domeinopvragingen niet eenvoudig te volgen zijn.<\/li>\n<li><strong>Veilige DNS-communicatie ondersteunen:<\/strong> DNS over TLS dwingt bescherming af voor communicatie waarbij de kans op DNS-onderschepping groter is, zoals in zakelijke omgevingen en op openbare netwerken.<\/li>\n<li><strong>Voldoen aan moderne beveiligingsbeleidslijnen:<\/strong> sommige sectoren, regelgevende kaders of beveiligingsbaselines raden versleutelde DNS-protocollen aan of verplichten ze.<\/li>\n<\/ul>\n<h2>Aanvullende aandachtspunten<\/h2>\n<p>Houd bij het inschakelen van DNS over TLS (DoT) rekening met de volgende factoren:<\/p>\n<ul>\n<li><strong>TCP-poort 853:<\/strong> DoT gebruikt poort 853; zorg dat deze niet wordt geblokkeerd door firewalls of netwerkbeleid. Gebruikt u Windows Defender Firewall, dan moet u mogelijk uitgaande TCP-verbindingen op poort 853 toestaan via <em>Windows Defender Firewall met geavanceerde beveiliging<\/em>.<\/li>\n<li><strong>Fallback naar onversleutelde DNS uitschakelen:<\/strong> <strong>Fallback: <code>-AllowFallbackToUdp $false<\/code><\/strong> zorgt ervoor dat er geen onversleutelde DNS wordt gebruikt als de versleuteling mislukt.<\/li>\n<li><strong>Split tunneling\/VPN\u2019s:<\/strong> versleutelde DNS kan botsen met DNS-instellingen die door bedrijfs-VPN\u2019s worden opgelegd.<\/li>\n<li><strong>Beperkingen van Groepsbeleid:<\/strong> de native GPO-ondersteuning voor DoT is beperkt. Voor uitrol binnen een organisatie wordt het gebruik van scripts aanbevolen.<\/li>\n<\/ul>\n<h2>DNS over TLS (DoT) inschakelen in Windows 11<\/h2>\n<p>In een tijd van geraffineerde online-inbraken en cyberaanvallen is het inschakelen van DNS over TLS een waardevolle verdediging om de privacy van uw systeem te verbeteren. Deze aanpak versleutelt DNS-verkeer en verkleint het risico op onderschepping of spoofing. De configuratie is niet zomaar via een grafische interface beschikbaar, maar DoT kan wel worden ingesteld via het register. Met PowerShell of een netwerktrace kunt u bevestigen dat de configuratie is gelukt en dat poort 853 (DoT) wordt gebruikt.<\/p>\n<h3><strong>Gerelateerde onderwerpen:<\/strong><\/h3>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/nl\/blog\/wat-is-dns\/\">Wat is DNS? Definitie en werking<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/blog\/how-to-configure-a-dns-server\/\">Een DNS-server configureren: een stappenplan<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/nl\/blog\/tls-handshake\/\">Wat is een TLS-handshake en hoe werkt het?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-https\/\">Wat is HTTPS?<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Naarmate het internet zich ontwikkelt, worden aanvalsstrategie\u00ebn schadelijker en geraffineerder. Daarom is het versleutelen van DNS-verkeer essentieel om de privacy op internet te verbeteren en ongeoorloofd meekijken of DNS-spoofing-aanvallen te voorkomen. Een manier om dit te doen is het activeren van DNS over TLS (DoT), een veilig DNS-protocol dat Domain Name System (DNS)-verkeer versleutelt via [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":539668,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4358],"tags":[],"class_list":["post-936616","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops-nl"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/936616","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/comments?post=936616"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/936616\/revisions"}],"predecessor-version":[{"id":936617,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/936616\/revisions\/936617"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/media\/539668"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/media?parent=936616"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/categories?post=936616"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/tags?post=936616"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}