Was ist 1.1.1.1? Ein verständlicher Leitfaden zu öffentlichen DNS-Resolvern

Fragen Sie in einem Heimnetzwerk-Forum, warum eine Seite langsam lädt, und jemand wird es innerhalb von fünf Beiträgen sagen: Stellen Sie Ihr DNS einfach auf 1.1.1.1 um. Es wird angeboten wie Klebeband – als Lösung für alles. Ich habe diese Ziffern selbst in meinen Router eingetippt. Manchmal öffneten sich Seiten danach tatsächlich schneller. Einmal, bei einem Verwandten, „behob“ es ein Problem, das sich als sterbender Router herausstellte, der eine Woche später endgültig den Geist aufgab – und meinen Ruf gleich mit.

Seien wir also präzise: Was sind diese vier Ziffern, was ändert sich, wenn Sie sie nutzen, und was ändert sich ganz sicher nicht.

Zuerst: die Aufgabe, die ein Resolver für Sie erledigt

Jedes Mal, wenn etwas in Ihrem Netzwerk eine Website beim Namen aufruft, muss irgendetwas diesen Namen in eine Adresse übersetzen. Dieses Etwas ist ein rekursiver Resolver, und Sie haben bereits einen: Ihr Internetanbieter betreibt ihn, und Ihr Router übergibt seine Adresse automatisch an jedes Gerät. Sie haben ihn nie gewählt, Sie kennen seine Adresse vermutlich nicht, und er beantwortet Tausende Ihrer Fragen am Tag. Die Grundlagen dazu, was ein DNS-Server ist stellen alle Beteiligten vor; der Resolver ist derjenige, der die Laufarbeit für Sie übernimmt.

Er ist auch ein Zeuge. Ihr Resolver sieht jeden Namen, den Sie nachschlagen – nicht die Seiten selbst, aber die Namen, und das ergibt schon eine recht gute Skizze Ihrer Gewohnheiten. Wer Ihren Resolver betreibt, besitzt dieses Protokoll. Ein Resolverwechsel beseitigt den Zeugen nicht. Er wechselt nur, wer der Zeuge ist.

Was genau ist also 1.1.1.1?

1.1.1.1 ist ein öffentlicher rekursiver Resolver, betrieben von Cloudflare und offen für jeden, kostenlos, unter einer Adresse, die kurz genug ist, um sie sich zu merken – was ehrlich gesagt die Hälfte des Grundes ist, warum er sich so verbreitete. Es gibt eine zweite Adresse, 1.0.0.1, aus dem üblichen Grund: damit eine einzige ausgefallene Adresse Ihre Anfragen nicht mit in den Abgrund reißt. Öffentliche Resolver anderer Unternehmen existieren unter anderen berühmten Adressen; die Idee ist Jahrzehnte alt. 1.1.1.1 ist schlicht derjenige, der zum Haushaltsnamen wurde.

„Öffentlich“ ist der entscheidende Punkt. Der Resolver Ihres Anbieters existiert, um dessen Kunden zu bedienen. Ein öffentlicher Resolver existiert, um jeden zu bedienen, der fragt, und er erhält seine Anweisungen von Ihnen statt von den Voreinstellungen Ihres Anbieters.

Wie er sich von dem Resolver unterscheidet, den Sie schon haben

Der Rest der Familie

Die berühmte Adresse hat Geschwister, und sie zu kennen verhindert eine häufige Verwechslung. Derselbe Betreiber veröffentlicht Varianten unter benachbarten Adressen: eine, die Namen verweigert, von denen bekannt ist, dass sie Malware ausliefern, und eine, die diese plus Inhalte für Erwachsene verweigert und sich an Haushalte richtet. Manchmal landet man, ohne es zu merken, auf einer filternden Variante – durch eine Anleitung, eine Router-Voreinstellung oder einen gutmeinenden Verwandten – und meldet dann verblüfft, bestimmte Websites würden „nicht existieren“. Sie existieren. Der Resolver weigert sich nur, Sie mit ihnen bekannt zu machen – eine Funktion, die jemand in Ihrem Namen gewählt hat.

Es gibt auch IPv6-Formen, lange Hex-Zeichenfolgen wie 2606:4700:4700::1111, weshalb sie niemand auf Abendgesellschaften zitiert. Läuft Ihre Verbindung über IPv6 und Sie tragen nur die IPv4-Adressen ein, verwenden manche Geräte still weiter den IPv6-Resolver, der ihnen zugeteilt wurde, und Ihre Abfragen teilen sich auf zwei Dienste auf – was jeden Test danach verwirrt. Ein Gerät, das einen Bildschirm für eine Familie anbietet, hat meist auch einen für die andere. Füllen Sie beide aus.

Lesen Sie diese Tabelle noch einmal und beachten Sie, was nicht darin steht: eine Zeile, die Geschwindigkeit verspricht. Geschwindigkeit ist eine eigene Frage, und sie verdient unten ihren eigenen ehrlichen Abschnitt.

Was zum Datenschutz versprochen wird – Grenzen inklusive

Ein Wechsel ändert, wer Ihre Anfragen protokollieren kann. Der Betreiber von 1.1.1.1 sieht Ihre Anfragen weiterhin – er muss sie sehen, um sie zu beantworten –, also wählen Sie in Wahrheit, wessen Datenschutzrichtlinie Sie bevorzugen. Kombinieren Sie ihn mit verschlüsseltem DNS, gewinnen Sie etwas Echtes: Mit DNS over HTTPS oder seinem TLS-Geschwister ist die Strecke zwischen Ihnen und dem Resolver verschlüsselt, sodass Ihr Anbieter und das Café-WLAN die Fragen unterwegs nicht mehr mitlesen können.

Nun die Grenzen. Die Seiten, die Sie besuchen, sehen Ihre Verbindung weiterhin von Ihrer eigenen Adresse ankommen. Ihr Anbieter sieht weiterhin, mit welchen Adressen Sie sich verbinden, selbst wenn er die erfragten Namen nicht mehr sehen kann. 1.1.1.1 ist kein VPN, behauptet auch nicht, eines zu sein, und jeder Leitfaden, der Sie mit einem anderen Eindruck gehen lässt, will Ihnen etwas verkaufen.

Warum es sich schneller anfühlen kann – und warum vielleicht nicht

Zwei echte Mechanismen sprechen für ihn. Der erste ist Anycast: Dieselbe Adresse wird von Standorten auf der ganzen Welt angekündigt, sodass Ihre Anfrage bei einer nahen Instanz landet, statt einen Ozean zu überqueren. Der zweite ist der Cache. Ein Resolver, der Fragen für eine riesige Menge beantwortet, wurde nach den beliebten Namen vermutlich schon gefragt, und eine zwischengespeicherte Antwort kommt sofort zurück statt nach einer vollständigen Abfragekette. Treffen Sie den ganzen Tag auf einen warmen Cache, fühlt sich das Surfen tatsächlich flotter an.

Der Cache schneidet allerdings in beide Richtungen. Ein obskurer Name, nach dem noch niemand gefragt hat, braucht weiterhin die volle Kette von Nachschlagevorgängen, wo auch immer Ihr Resolver steht. Und Geografie ist persönlich: Der Resolver Ihres Anbieters sitzt vielleicht nur einen kurzen Sprung von Ihrem Haus entfernt, während die nächste Anycast-Instanz aus Ihrem speziellen Netzwerk seltsam routet. Ich habe beide gewinnen sehen. Messen Sie es an Ihrem eigenen Surfen über einige Tage, nicht am Glauben.

Ein Wort zu den Geschwindigkeitsranglisten der Resolver, denn Sie werden sie finden, wenn Sie suchen. Benchmarks messen, wie schnell Resolver von Ihrer Verbindung aus eine Liste von Namen beantworten, und die Ergebnisse sind echt – für diese Namen, zu dieser Stunde, auf dieser Verbindung. Was sie nicht erfassen können, ist Ihre Mischung. Die obskuren Namen, die ein Haushalt tatsächlich abfragt, beginnen überall uncached, und ein Resolver, der den Benchmark um Millisekunden gewinnt, kann Ihren Dienstagabend an eine Routing-Eigenheit verlieren, die niemand gemessen hat. Nutzen Sie Ranglisten, um ein Unentschieden zu brechen, nicht, um die Entscheidung zu treffen.

Eine weitere Grenze des Geltungsbereichs, die Sie sich klarmachen sollten: Ein Resolver hilft immer nur beim ersten Schritt, der Abfrage. Sobald Ihr Gerät eine Adresse hat und mit einer Website zu sprechen beginnt, verlässt der Resolver die Geschichte vollständig – er wird nicht wieder befragt, bis die gecachte Antwort abläuft. Ein langsamer Stream, ein stockender Anruf, ein kriechender Download: Nichts davon ist ein verkleidetes DNS-Problem, und kein Resolver, wie schnell oder berühmt auch immer, wird daran etwas ändern. Schuld ist ein Budget. Geben Sie es für die Schicht aus, die tatsächlich langsam ist.

Wann ich nicht wechseln würde

• Ein Arbeits- oder Schul-Laptop. Seine Resolver-Einstellungen können bewusste Richtlinie sein, und interne Namen – der Drucker, der Dateiserver, das Intranet – lösen oft nur über den Resolver des Büros auf. Zeigen Sie ihn woandershin, und Dinge gehen auf mysteriöse Weise kaputt.
• Ein Netzwerk hinter einem Captive Portal. Der Anmeldetanz in Hotels und Flughäfen ist schon fragil genug; Ihre Anfragen vor der Anmeldung an einen ungewöhnlichen Ort zu schicken, kann ihn noch seltsamer machen.
• Wenn Sie sich still auf die Familien- oder Malware-Filterung Ihres Anbieters verlassen. Ein einfacher öffentlicher Resolver filtert nicht. Ein Wechsel kann einen Schutz entfernen, dessen Existenz Sie vergessen hatten.
• Mitten in einer Störung, die Ihr Anbieter beheben soll. Dessen Support wird, durchaus zu Recht, die eine Sache verantwortlich machen, die Sie geändert haben, und Ihnen wird die Antwort fehlen.

Wenn nichts davon auf Sie zutrifft und Sie es ausprobieren möchten, dauert das Ändern Ihres DNS-Servers wenige Minuten – tun Sie es zuerst auf einem einzigen Gerät, leben Sie einige Tage damit und nehmen Sie sich den Router zuletzt vor.

Ein Namensvetter, den Sie auseinanderhalten sollten: die App

Suchen Sie in einem App Store nach diesen Ziffern, finden Sie eine App desselben Betreibers, aufgebaut auf einer Begleittechnologie, die etwas tut, was der einfache Resolver nicht tut: Sie leitet den Verkehr eines Telefons durch das Netzwerk des Betreibers, was dem, was ein VPN tut, weit näher kommt als einem Resolverwechsel. Die beiden unter einer Marke zu bündeln, stiftet echte Verwirrung. Manche installieren die App in der Erwartung von „nur DNS“ und bekommen einen Tunnel; andere tippen die Ziffern in einen Einstellungsbildschirm, erwarten einen Tunnel und bekommen nur DNS. Es sind verschiedene Werkzeuge, die zufällig einen berühmten Namen teilen – entscheiden Sie also, welches der beiden Sie tatsächlich wollen, bevor Sie irgendetwas installieren oder eintippen. Meine Faustregel: Wenn Sie Ziffern in einen Einstellungsbildschirm getippt haben, haben Sie einen Resolver geändert. Wenn Sie etwas installiert haben, das nach VPN-Berechtigungen fragte, haben Sie einen Tunnel installiert.

Meine eigene Einrichtung ist inzwischen ein Kompromiss: Der Hausrouter zeigt auf einen öffentlichen Resolver, der Laptop nimmt, was ihm jedes Netzwerk übergibt. Keine Ideologie – einfach die Anordnung, die am wenigsten kaputt gemacht hat. Das ist der ehrliche Rahmen für 1.1.1.1 insgesamt. Die Ziffern sind keine Magie, und sie sind auch kein Betrug. Sie sind eine Entscheidung darüber, wer Ihre Fragen beantwortet, getroffen von Ihnen statt standardmäßig.