INAL DNS

1. Öffnen Sie die Einstellungen.
2. Tippen Sie auf Netzwerk & Internet (bei Samsung: Verbindungen → Weitere Verbindungseinstellungen).
3. Wählen Sie Privates DNS.
4. Wählen Sie Hostname des privaten DNS-Anbieters und tragen Sie ein: dns.inal.cloud
5. Tippen Sie auf Speichern. Fertig, das gilt für WLAN und mobile Daten.

Je nach Hersteller heißen die Menüpunkte etwas anders. Am schnellsten finden Sie die Option über die Suche in den Einstellungen mit dem Begriff „Privates DNS“.

iPhone und iPad

1. Öffnen Sie diese Seite in Safari und tippen Sie auf Profil herunterladen. Bestätigen Sie die Frage „Diese Website versucht, ein Konfigurationsprofil zu laden“ mit Erlauben und schließen Sie den Hinweis.
2. Öffnen Sie die Einstellungen. Oben erscheint Profil geladen. Tippen Sie darauf (alternativ: Allgemein → VPN und Geräteverwaltung, bei älteren Versionen Allgemein → Profile).
3. Tippen Sie oben rechts auf Installieren, geben Sie Ihren Gerätecode ein und bestätigen Sie noch zweimal mit Installieren.
4. Fertig. Das Profil ist sofort aktiv und gilt für WLAN und Mobilfunk. Unter Allgemein → VPN und Geräteverwaltung → DNS muss „INAL DNS“ ausgewählt sein.

Mac

1. Laden Sie das Profil herunter und öffnen Sie die Datei im Ordner Downloads per Doppelklick. macOS meldet „Profil wurde geladen“.
2. Öffnen Sie die Systemeinstellungen und dort die Profilverwaltung:
   • macOS 15 und neuer: Allgemein → Geräteverwaltung
   • macOS 13 und 14: Datenschutz & Sicherheit → Profile
   • macOS 11 und 12: Profile
3. Doppelklicken Sie auf „INAL DNS“, klicken Sie auf Installieren und bestätigen Sie mit Ihrem Passwort.

Hinweis „Nicht signiert“: Das Profil ist nicht digital signiert. Deshalb zeigt Apple bei der Installation die Warnung „Nicht signiert“ bzw. „Nicht überprüft“. Das ist bei selbst erstellten Profilen normal. Das Profil enthält ausschließlich die DNS-Einstellung, keine Zertifikate und keine Fernverwaltung. Entfernen können Sie es jederzeit an derselben Stelle über Profil entfernen.

1. Öffnen Sie Einstellungen → Netzwerk und Internet. Bei WLAN klicken Sie auf WLAN → Hardwareeigenschaften, bei Kabel auf Ethernet.
2. Klicken Sie bei DNS-Serverzuweisung auf Bearbeiten und stellen Sie auf Manuell um.
3. Schalten Sie IPv4 ein und tragen Sie als Bevorzugter DNS-Server ein: 148.251.162.153
4. Setzen Sie darunter DNS über HTTPS auf Ein (manuelle Vorlage) und tragen Sie als DNS-über-HTTPS-Vorlage ein: https://dns.inal.cloud/dns-query
5. Stellen Sie Fallback auf Klartext auf Aus.
6. Lassen Sie Alternativer DNS-Server leer und IPv6 ausgeschaltet, da INAL DNS kein IPv6 anbietet. Klicken Sie auf Speichern.

Danach steht in der Übersicht der Verbindung hinter der IPv4-DNS-Adresse der Zusatz „(Verschlüsselt)“. Die Einstellung gilt pro Netzwerk: Für ein anderes WLAN wiederholen Sie die Schritte.

Alternative per Befehl

In einer Eingabeaufforderung als Administrator registriert dieser Befehl die DoH-Vorlage für die IP-Adresse. Den DNS-Server müssen Sie anschließend trotzdem wie oben (Schritte 1–3) bei der Verbindung eintragen.

netsh dns add encryption server=148.251.162.153 dohtemplate=https://dns.inal.cloud/dns-query autoupgrade=yes udpfallback=no

1. Öffnen Sie Einstellungen → Datenschutz & Sicherheit (oder geben Sie about:preferences#privacy in die Adresszeile ein).
2. Scrollen Sie zum Abschnitt DNS über HTTPS.
3. Wählen Sie Maximaler Schutz.
4. Wählen Sie bei Anbieter auswählen den Eintrag Benutzerdefiniert und tragen Sie ein: https://dns.inal.cloud/dns-query

Mit „Maximaler Schutz“ nutzt Firefox ausschließlich INAL DNS und fällt nicht auf unverschlüsseltes DNS zurück. Andere Programme auf dem Gerät nutzen weiter den DNS-Server aus den Netzwerkeinstellungen.

Chrome

1. Öffnen Sie Einstellungen → Datenschutz und Sicherheit → Sicherheit.
2. Aktivieren Sie unter Erweitert die Option Sicheres DNS verwenden.
3. Wählen Sie im Menü daneben Benutzerdefiniert und tragen Sie ein: https://dns.inal.cloud/dns-query

Edge

1. Öffnen Sie Einstellungen → Datenschutz, Suche und Dienste → Sicherheit.
2. Aktivieren Sie Sicheres DNS verwenden und wählen Sie Dienstanbieter auswählen.
3. Tragen Sie in das Feld ein: https://dns.inal.cloud/dns-query

Brave

1. Öffnen Sie Einstellungen → Datenschutz und Sicherheit → Sicherheit.
2. Aktivieren Sie Sicheres DNS verwenden und wählen Sie Benutzerdefiniert.
3. Tragen Sie in das Feld ein: https://dns.inal.cloud/dns-query

Ist die Option ausgegraut, wird der Browser durch Ihre Organisation verwaltet oder ein Jugendschutz-Programm ist aktiv. Andere Programme auf dem Gerät nutzen weiter den DNS-Server aus den Netzwerkeinstellungen.

1. Legen Sie den Ordner /etc/systemd/resolved.conf.d/ an (falls noch nicht vorhanden) und darin als root die Datei inal-dns.conf mit diesem Inhalt:

   [Resolve]
   DNS=148.251.162.153#dns.inal.cloud
   DNSOverTLS=yes
   Domains=~.

   Oder alles in einem Schritt im Terminal:

   sudo mkdir -p /etc/systemd/resolved.conf.d
   printf '[Resolve]\nDNS=148.251.162.153#dns.inal.cloud\nDNSOverTLS=yes\nDomains=~.\n' | sudo tee /etc/systemd/resolved.conf.d/inal-dns.conf

   Die Hauptdatei /etc/systemd/resolved.conf bleibt unverändert und muss eine normale Datei sein, kein Ordner. Tragen Sie auch nichts von Hand in /etc/resolv.conf ein.

2. Starten Sie den Dienst neu:

   sudo systemctl restart systemd-resolved

3. Prüfen Sie mit resolvectl status: Unter Global muss bei Protocols +DNSOverTLS und bei DNS Servers 148.251.162.153#dns.inal.cloud stehen. Bei resolv.conf mode muss stub stehen.

Steht bei resolv.conf mode foreign, umgehen Programme systemd-resolved. Verknüpfen Sie /etc/resolv.conf dann wieder mit dem Stub:

sudo ln -sf /run/systemd/resolve/stub-resolv.conf /etc/resolv.conf

INAL DNS antwortet nur verschlüsselt (Port 853), nicht über klassisches DNS auf Port 53. Trägt eine Verbindung, zum Beispiel ein VPN, 148.251.162.153 selbst als DNS-Server ein und zeigt resolvectl status dort -DNSOverTLS, laufen Anfragen ins Leere. Schalten Sie DNS-over-TLS dann für diese Verbindung ein:

sudo nmcli connection modify "VERBINDUNGSNAME" connection.dns-over-tls yes
sudo nmcli connection up "VERBINDUNGSNAME"

Der Teil nach # ist der Servername für die Zertifikatsprüfung. Domains=~. leitet alle Anfragen bevorzugt an INAL DNS.

Verteilt Ihr Router per DHCP eigene DNS-Server, kann systemd-resolved diese zusätzlich nutzen. Mit NetworkManager schalten Sie das pro Verbindung ab (den Namen zeigt nmcli connection show):

sudo nmcli connection modify "VERBINDUNGSNAME" ipv4.ignore-auto-dns yes ipv6.ignore-auto-dns yes
sudo nmcli connection up "VERBINDUNGSNAME"

In GNOME geht das auch grafisch: Einstellungen → Netzwerk → Zahnrad der Verbindung → IPv4 und dort bei DNS den Schalter Automatisch ausschalten.

Richten Sie INAL DNS direkt im Router ein, nutzen alle Geräte im Heimnetz den Dienst automatisch, auch Fernseher, Spielkonsolen und Gäste. Von der FRITZ!Box bis zu INAL DNS sind die Anfragen verschlüsselt.

1. Öffnen Sie im Browser fritz.box und melden Sie sich an.
2. Gehen Sie zu Internet → Zugangsdaten und öffnen Sie den Reiter DNS-Server.
3. Lassen Sie bei DNSv4-Server die Einstellung Vom Internetanbieter zugewiesene DNSv4-Server verwenden ausgewählt. Darüber findet die FRITZ!Box die Adresse von dns.inal.cloud.
4. Aktivieren Sie im Bereich DNS over TLS (DoT) die Option Verschlüsselte Namensauflösung im Internet (DNS over TLS).
5. Aktivieren Sie Zertifikatsprüfung für verschlüsselte Namensauflösung im Internet erzwingen.
6. Deaktivieren Sie Auch nicht verschlüsselte Namensauflösung im Internet zulassen. Sonst weicht die FRITZ!Box bei Problemen still auf unverschlüsseltes DNS aus.
7. Tragen Sie bei Auflösungsnamen der DNS-Server ein: dns.inal.cloud und klicken Sie auf Übernehmen.

Je nach FRITZ!OS-Version heißen die Menüpunkte leicht anders. Bei älteren Versionen schalten Sie vorher unten links die Erweiterte Ansicht ein. Bedenken Sie: Die Filter gelten danach für alle im Heimnetz. Geräte, die selbst schon INAL DNS nutzen (etwa Android mit „Privates DNS“), funktionieren unverändert weiter.

Auch Ihre VPN-Verbindungen zur FRITZ!Box profitieren davon, siehe VPN über die FRITZ!Box.