Windows 11 testet automatische Erkennung verschlüsselter DNS-Server

Microsoft testet die Unterstützung des DNR-Internetstandards (Discovery of Network-designated Resolvers), der die automatische, clientseitige Erkennung von verschlüsselten DNS-Servern in lokalen Netzwerken ermöglicht.

Automatische Erkennung verschlüsselter DNS-Server

Das hat Microsoft in einem Beitrag in der Techcommunity erläutert. Dazu ist ein Windows Insider Build ab 25982 oder neuer nötig. Ohne DNR-Unterstützung müssen Nutzer die Informationen zu verschlüsselten DNS-Servern in ihrem lokalen Netzwerk manuell in die Netzwerkeinstellungen eingeben.

Mit dem clientseitigen DNR werden Geräte jedoch automatisch so konfiguriert, dass sie solche verschlüsselten DNS-Resolver erreichen und verschlüsselte DNS-Protokolle wie DNS over TLS (DoT), DNS over HTTPS (DoH) und DNS over QUIC (DoQ) verwenden.


Wenn ein Gerät mit aktiviertem clientseitigem DNR einem neuen Netzwerk beitritt, fragt es den lokalen DHCP-Server an und fordert eine IP-Adresse und DNR-spezifische Optionen an.

Der Server, der mit serverseitigem DNR arbeitet, antwortet mit verschlüsselten DNS-Details, einschließlich Server-IP, unterstützten Protokollen, Portnummern und Authentifizierungsdaten, sodass der Client mit den bereitgestellten Informationen automatisch einen verschlüsselten DNS-Tunnel aufbauen kann.

Manuelle Eingaben entfallen

"Bis heute mussten Windows Insider-Nutzer die IP-Adresse ihres gewünschten verschlüsselten DNS-Servers herausfinden und manuell eingeben, um clientseitiges verschlüsseltes DNS auf ihrem Rechner zu konfigurieren", erläutern Amanda Langowski und Brandon LeBlanc vom Insider-Team.

Die Unterstützung für clientseitiges DNR wird derzeit nur für Windows Insider getestet. Die Funktion ist also für Windows-Versionen außerhalb des Insider-Programms bislang nicht verfügbar.

Nach der Installation eines kompatiblen Windows Insider-Builds muss man dazu einen neuen EnableDnr-Registrierungsschlüssel unter Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache erstellen, um DNR auf dem Gerät zu aktivieren. Das geht mit der folgenden Eingabeaufforderung:


Nach den Änderungen in der Registrierung muss der PC neu gestartet werden, damit die aktualisierten Einstellungen wirksam werden. Um DNR dann in Aktion zu sehen, muss dazu eine Verbindung zu einem Netzwerk hergestellt werden, in dem ein DHCPv4- oder DHCPv6-Server die serverseitige DNR aktiviert hat.

Derzeit unterstützt die clientseitige DNR-Implementierung von Microsoft nur die folgenden Konfigurationsmodi (IPv6 RA Encrypted DNS wird bislang nicht unterstützt):


Um die clientseitige DNR auf Ihrem System zu deaktivieren, können Sie den folgenden Befehl in einer Administrator-Eingabeaufforderung ausführen und das System neu starten, damit die Änderung wirksam wird:


Nach der Testphase wird die Unterstützung für alle Windows 11-Nutzer freigegeben, vermutlich nicht vor dem neuen Jahr.


Alle Infos zu Windows Server Windows Server Special