Fast jedes DNS-Formular verlangt zwei Adressen, und kaum jemand weiß, was die zweite tut. Daher kommen Kombinationen wie „Cloudflare als primärer und Google als sekundärer, dann habe ich das Beste aus beiden“. Klingt vernünftig, tut aber nicht, was es zu tun scheint.
Was der sekundäre wirklich macht
Dein Betriebssystem fragt immer den primären. Nur wenn dieser Server nicht innerhalb einer Frist antwortet (ein bis zwei Sekunden, je nach System), versucht es den sekundären. Es wechselt nicht ab, verteilt keine Last und vergleicht keine Antworten. Solange der primäre antwortet, bekommt der sekundäre keine einzige Anfrage.
Es gibt Nuancen je nach System: Windows kehrt nach einer Weile zum primären zurück; manche Linux-Resolver können rotieren, wenn man es ihnen sagt; der Router reicht beide an jedes Gerät weiter, und jedes entscheidet selbst. Aber die Grundidee ist überall dieselbe: Der sekundäre ist ein Ersatz für den Fall, dass der primäre ausgefallen oder nicht erreichbar ist, mehr nicht.
Und ein Detail, das verwirrt: Antwortet der primäre „diese Domain existiert nicht“, ist das eine gültige Antwort, und das System fragt den sekundären nicht. Es wechselt nur, wenn gar keine Antwort kommt.
Was man kombiniert und was nicht
Daraus folgen drei einfache Regeln.
Beide vom selben Anbieter. Jeder Anbieter veröffentlicht genau dafür zwei Adressen: 1.1.1.1 und 1.0.0.1, 8.8.8.8 und 8.8.4.4, 9.9.9.9 und 149.112.112.112, 86.54.11.1 und 86.54.11.201. Sie liegen in verschiedenen Netzen desselben Betreibers, fällt eines aus, läuft das andere weiter, und beide wenden dieselbe Richtlinie an.
Gefiltert nicht mit ungefiltert mischen. Trägst du AdGuard als primären ein, um Werbung loszuwerden, und Google als sekundären „für alle Fälle“, geht jede Anfrage, bei der AdGuard etwas länger braucht, ungefiltert über Google raus. Du merkst es nicht, aber die Blockierung hat Löcher. Dasselbe gilt für einen Familienfilter: Der sekundäre muss dieselbe Filterstufe haben oder die Partneradresse aus derselben Familie sein (CleanBrowsing und OpenDNS veröffentlichen zu jedem Filter ein Paar).
Wenn schon mischen, dann zwei ungefilterte. Cloudflare als primärer und Quad9 als sekundärer ist eine vernünftige Kombination: Hat Cloudflare ein Problem, antwortet Quad9, und keiner von beiden verändert das Ergebnis normaler Anfragen (Quad9 blockiert nur Malware-Domains).
In welcher Reihenfolge
Der primäre macht die Arbeit, also trag zuerst den aus deinem Netz schnellsten ein, nicht den bekanntesten. Der Geschwindigkeitstest sagt es dir in zwei Minuten. Aus Madrid antworteten Cloudflare, Quad9, CleanBrowsing und DNS4EU in 5 bis 6 ms aus dem Cache; bei deinem Provider kann die Reihenfolge anders sein.
Und wenn dein Router nur einen Eintrag zulässt, passiert nichts Schlimmes: Die großen Resolver sind Anycast und tragen ihre Redundanz in sich. Der sekundäre schützt vor allem gegen ein Netzproblem zwischen dir und diesem Anbieter.
IPv6 kommt ebenfalls im Paar
Hat dein Anschluss IPv6, fragt das System auch darüber, und dort gilt das IPv6-Paar des Anbieters: 2606:4700:4700::1111 und ::1001 bei Cloudflare, 2001:4860:4860::8888 und ::8844 bei Google, 2620:fe::fe und 2620:fe::9 bei Quad9. IPv4 von einem und IPv6 von einem anderen Anbieter, und du bist wieder beim Richtlinienmix. Jede Anbieterseite listet alle vier Adressen.
„Öffentlicher DNS“ gegen „privater DNS“
Diese beiden Begriffe tauchen in den Suchanfragen, die diese Website erreichen, ständig auf, und sie bedeuten je nach Sprecher etwas anderes.
Öffentlicher DNS ist ein Resolver, der jedem im Internet offensteht. Cloudflare, Google, Quad9, DNS4EU oder AdGuard sind öffentlich: Man muss bei niemandem Kunde sein. Der DNS deines Providers ist in diesem Sinn privat: Er antwortet nur den Anschlüssen seiner Kunden. Wer sagt „nimm einen öffentlichen DNS“, meint „hör auf, den des Providers zu nutzen“.
Privater DNS kann dreierlei heißen:
- Die Android-Einstellung „Privates DNS“. Das ist verschlüsseltes DNS (DNS über TLS) zu dem Anbieter, den du einträgst, für WLAN und Mobilfunk. „Privat“ heißt hier, dass der Provider deine Anfragen weder lesen noch manipulieren kann. Eingetragen wird ein Name (
one.one.one.one,dns.quad9.net), keine IP. Wir erklären es im Artikel zum Smartphone. - Ein Resolver, der nichts protokolliert. In diesem Sinn beschreibt „privat“ die Richtlinie des Anbieters: Quad9, Cloudflare oder Mullvad erklären, keine identifizierbaren Anfragen zu speichern; OpenDNS oder Google speichern etwas. Der Vergleich hat eine Spalte dafür.
- Ein eigener Resolver. Ein Pi-hole zu Hause, ein AdGuard Home oder der DNS der Firma: ein Server, der nur dein Netz bedient. Die wörtlichste Bedeutung und die seltenste in Suchanfragen.
„Kostenloser öffentlicher DNS“ und „kostenloser privater DNS“ sind also meist dieselbe Suche von zwei verschiedenen Leuten: Beide wollen einen Resolver, der nicht der des Providers ist, schnell antwortet und nicht schnüffelt. Jeder der öffentlichen ohne Protokolle erfüllt das.
Die Kurzfassung
Primär: der aus deinem Netz schnellste. Sekundär: die zweite Adresse desselben Anbieters. IPv6: das Paar desselben Anbieters. Keine Filter mischen. Und wenn du zwischen zweien schwankst, stellt der Vergleich sie nebeneinander, und die Anleitungen zeigen, wo unter Windows, macOS, Android, iOS und im Router welcher hingehört.