NextDNSのおすすめ設定例｜セキュリティを高めながら「サイトが開かない」を減らす方法

NextDNSは、入れただけで終わりではありません

NextDNSを設定すると

広告が減った。

怪しいサイトを開きにくくなった。

公衆Wi-Fiでも同じDNS設定を使えるようになった。

と、効果を感じやすいサービスです。

一方で、設定画面を開くと項目がかなり多く

「全部ONにした方が安全なのでは？」

と思うことがあります。

ただ、NextDNSでは強くすればするほど使いやすくなるとは限りません。

設定を増やしすぎると

「いつも使っていたアプリが開かない」

「メールのリンクだけ開けない」

「あるサイトだけ表示されない」

といったことも起こります。

そこで今回は、NextDNSを普段使いしやすい状態に保ちながら、セキュリティを高める設定例を紹介します。

最初に結論｜まずは「標準設定」から始める

TrusKiteで一般的なスマートフォンやPCへ設定するなら、まず次のような構成から始めることをおすすめします。

Security

有効化をおすすめ

• Threat Intelligence Feeds
• Google Safe Browsing
• Cryptojacking Protection
• DNS Rebinding Protection
• IDN Homograph Attacks Protection
• Typosquatting Protection
• Domain Generation Algorithms（DGAs）Protection

用途を確認してから有効化

• Block Newly Registered Domains
• Block Dynamic DNS Hostnames
• Block Parked Domains
• Block Top-Level Domains

Privacy

まずは

NextDNS Ads & Trackers Blocklistを1つ

程度から始めます。

最初から大量のブロックリストを追加する必要はありません。

Logs

トラブル確認に使うなら

まず1週間程度

を一つの目安にします。

長期間残す必要がない会社や個人利用では、問題を確認できる範囲で短くする考え方でも構いません。

これはNextDNS公式の推奨設定そのものではなく、使いやすさとセキュリティのバランスを考えたTrusKiteの設定例です。

Securityは、基本的な保護から有効にする

NextDNSのSecurityには、危険なドメインや不自然なDNS通信を検知する機能があります。

例えばThreat Intelligence Feedsでは、さまざまな脅威情報をもとに危険なドメインへのアクセスを防ぎます。

Google Safe Browsingも、フィッシングや悪意のあるサイトへのアクセスを判断する材料になります。

Cryptojacking Protectionは、ユーザーの端末を使って不正に暗号資産を採掘しようとするサイトへの対策です。

まずはこうした

「通常利用で必要になる可能性が低い危険な通信を止める機能」

から有効にすると分かりやすいです。

似たURLを使った攻撃も防ぐ

NextDNSには、見た目や文字列を悪用した攻撃への対策もあります。

IDN Homograph Attacks Protection

例えば、アルファベットの「a」によく似た別の文字を使い、本物そっくりのドメインを作る攻撃があります。

見た目だけでは気付きにくい偽サイトへの誘導を防ぐための機能です。

Typosquatting Protection

有名サイトのURLを少しだけ間違えたドメインを悪用する手法への対策です。

例えば1文字だけ違うURLへアクセスしてしまった場合などです。

Domain Generation Algorithms Protection

マルウェアなどが自動生成した大量のドメインへ接続する通信を検知・制限します。

一般的な業務利用で、こうした通信が必要になるケースは多くありません。

そのため、標準設定でも有効化しやすい項目です。

Newly Registered Domainsは少し慎重に

セキュリティを重視すると魅力的なのが

Block Newly Registered Domains

です。

これは、登録されてから間もないドメインを制限する機能です。

攻撃者は、新しいドメインを取得してすぐフィッシングなどに利用することがあります。

そのため防御として意味があります。

ただし、新しく立ち上がった正規サービスや、新しく公開された企業サイトまで対象になる可能性があります。

そのため普段使いでは、私は最初から必須にはしません。

セキュリティ優先の端末ならON。

一般利用では、必要になってから検討。

くらいが扱いやすいと思います。

Dynamic DNSを使っている会社は注意

Block Dynamic DNS Hostnames

も強力な設定です。

Dynamic DNSは、変化するIPアドレスへ同じ名前でアクセスするために使われます。

攻撃にも利用されることがありますが

• 自宅NAS
• 遠隔アクセス
• ネットワークカメラ
• 一部のVPN環境

など、正規用途でも使われます。

会社や自宅でDynamic DNSを利用している場合、この設定を有効にすると正常なサービスまで使えなくなる可能性があります。

分からない機能を、とりあえずONにしない。

NextDNSではこれも大切です。

Privacyのブロックリストは「数」より「安定性」

Privacyを開くと、さまざまなブロックリストを追加できます。

ここで

「たくさん追加した方が広告も追跡も止められる」

と思いたくなります。

実際、ブロック対象は増えます。

ただし同時に、正常なサービスまで止める可能性も増えていきます。

そのため最初は

NextDNS Ads & Trackers Blocklistを1つ

くらいから始める方法をおすすめします。

数日使ってみて

広告や追跡をもう少し抑えたい。

特定の用途だけ強化したい。

となってから追加します。

10種類のリストを入れて

「どれが原因でサイトが壊れたのか分からない」

となるより、ずっと管理しやすくなります。

「メールのリンクだけ開かない」が起きる理由

NextDNSを使っていると

普通のWebサイトは開くのに、メールで届いた

「詳しくはこちら」

「注文内容を見る」

「キャンペーンを見る」

というリンクだけ開かないことがあります。

これはメール内のリンクに、クリック数などを計測するためのトラッキングドメインが使われている場合があるためです。

Privacyには

Allow Affiliate & Tracking Links

という考え方があります。

これを利用すると、一部の追跡リンクについて通信を許可しつつ、追跡を抑える仕組みを利用できます。

それでも開かない場合は、Logsを確認します。

NextDNSで一番覚えてほしいのは「Logs」です

NextDNSを使いこなすうえで、私はLogsがかなり重要だと考えています。

例えば

「あるアプリだけ動かなくなった」

という相談があったとします。

設定を片っ端からOFFにする必要はありません。

まずNextDNSのLogsを開きます。

そして

問題のアプリをもう一度操作する。

すると、その瞬間にどのドメインへアクセスしようとしたのか確認できます。

ブロックされた通信には、その理由も表示されます。

つまり

「NextDNSが原因なのか」

「どの設定が原因なのか」

を切り分けられます。

サイトが開かないときの基本的な直し方

例えば、NextDNS導入後にいつも使うサービスが開かなくなったとします。

まず

① Logsを開く

↓

② 問題のサイト・アプリをもう一度開く

↓

③ 直前にBlockedになったドメインを確認

↓

④ なぜブロックされたか確認

↓

⑤ 正規の通信だと確認できたらAllowlistへ追加

という順番です。

Allowlistは

「このドメインだけはブロック対象から除外する」

ために使います。

ここで注意したいのが、Allowlistへ入れるのは基本的にWebページのURL全体ではなくドメイン名だということです。

例えば

https://example.com/shop/item?id=123

ではなく

example.com

のような単位で考えます。

Allowlistへ何でも追加しない

サイトが開かないからといって、ブロックされたものをすべて許可するのもおすすめしません。

広告や追跡用ドメインが複数表示されることもあります。

重要なのは

本当にそのサービスの動作に必要な通信なのか

を見ることです。

一つ追加する。

動作を確認する。

まだ動かなければ次を見る。

このくらい慎重に進める方が安全です。

Denylistは「自分で明示的に止めたいもの」に使う

Allowlistとは反対に、Denylistもあります。

これは

「他の設定に関係なく、このドメインを止めたい」

というときに使います。

例えば社内ルールとして特定サービスへのアクセスを制限したい場合などです。

ただし、むやみに追加すると管理が難しくなるため

「なぜ止めたのか」

を社内で分かる状態にしておくことをおすすめします。

Logsは長く残せばよいわけではありません

Logsには

「どのドメインへアクセスしたか」

という情報が残ります。

これはトラブル調査には非常に便利です。

一方で、閲覧・利用状況に関係する情報でもあります。

NextDNSではログを保存しない設定から、長期間保存する設定まで利用者側で選択できます。

そのため会社利用では

必要な期間だけ残す

という考え方をおすすめします。

例えば

個人・標準設定

1週間程度

会社支給スマートフォン

トラブル解析や管理方針に応じて1週間〜数週間程度

プライバシー最優先

短期間またはログを保存しない

といった考え方です。

社員端末のログを保存する場合は

誰が閲覧できるのか、何のために残すのか

も決めておくとよいでしょう。

設定例① 普段使いの標準設定

個人スマートフォンや一般的なPCなら、私はまずこの方向から始めます。

Security

基本的な脅威保護をON。

NRDやDynamic DNSなど、正常利用にも影響しやすい項目は必要に応じて追加。

Privacy

ブロックリストはまず1種類。

Allow Affiliate & Tracking Links

メールやショッピングのリンクをよく利用するならONを検討。

Logs

1週間程度から開始。

安全性を上げながら、日常利用で困りにくい

ことを重視した設定です。

設定例② セキュリティ重視

多少の誤検知が発生しても、防御を強めたい端末です。

例えば

管理者用PC。

業務専用端末。

重要な情報を扱うスマートフォン。

などです。

標準設定に加えて

• Newly Registered Domains
• Dynamic DNS Hostnames
• Parked Domains

などの利用も検討します。

ただし、その会社で必要なサービスまで止めていないかLogsを確認します。

強く設定するなら、確認する運用もセット。

これが大切です。

設定例③ 会社支給スマートフォン

会社支給スマートフォンなら、広告を徹底的に消すことより

危険なサイトへアクセスしにくくすること

を優先します。

例えば

• Threat Intelligence
• Safe Browsing
• Typosquatting
• Homograph Attack
• DGA
• Cryptojacking

などを中心にします。

Privacyは強くしすぎず、業務アプリの正常動作を優先します。

業務スマホでは

「広告を1つも表示させない」

ことより

メール、クラウド、業務アプリが安定して動きながら危険な通信を減らす

方が重要だからです。

AndroidならPrivate DNSで端末全体を保護できる

Androidでは、OSのPrivate DNSを利用してNextDNSを設定できます。

NextDNSのSetup画面に表示される専用ホスト名を設定すれば、対応するWi-Fiだけではなく、モバイル通信時にもNextDNSを利用できます。

つまり

会社のWi-Fiでは守られている。

外へ出たら普通のDNSに戻る。

という状態を避けやすくなります。

公衆Wi-Fiを利用する社員スマートフォンでも有効です。

AndroidのメーカーやOSバージョンによって設定画面の名称は異なりますが、基本的には

設定 → ネットワーク関連 → Private DNS

から設定します。

iPhone・iPadでも設定できます

iPhoneやiPadでは、NextDNSが提供する構成プロファイルを利用できます。

プロファイルを端末へインストールすると、NextDNSの設定をシステム側へ適用できます。

会社支給iPhoneを複数管理する場合は、以前紹介したMDMと組み合わせて設定を配布する方法も考えられます。

一台ずつ社員へ設定してもらうのではなく

会社として同じセキュリティ設定を適用する

という運用につなげられます。

設定したら「本当にNextDNSを使っているか」確認する

設定が終わったら、そこで安心せず

NextDNSが実際に使われているか

を確認します。

NextDNSのSetup画面では、現在の端末がその設定を利用しているか確認できます。

さらにAnalyticsやLogsに、その端末のDNS通信が表示されているか確認します。

設定したつもり。

ではなく

動いていることを確認して完了

です。

無料プランを会社で使う場合はクエリ数にも注意

NextDNSの無料プランでは、月30万DNSクエリまでフィルタリング機能を利用できます。

上限を超えると、DNSとしての名前解決は継続しますが

フィルタリングやログなどの機能が停止し、通常のDNSリゾルバーとして動作します。

一人で使う場合には十分なケースもありますが、複数端末をまとめて会社で使えばクエリ数も増えます。

会社全体のセキュリティ対策として利用する場合は、利用量を確認してプランを検討した方がよいでしょう。

NextDNSだけで端末が完全に安全になるわけではありません

NextDNSは非常に便利なサービスです。

ただしDNSレベルで危険な通信を止める仕組みなので、何でも防げるわけではありません。

NextDNS自身も、マルウェア対策機能について

アンチウイルスの代わりになるものではない

と説明しています。

そのため

• OSアップデート
• セキュリティソフト
• 多要素認証
• パスワード管理
• MDM
• バックアップ

などと組み合わせて使います。

NextDNSは

防御を一層増やす仕組み

と考えると分かりやすいです。

TrusKiteでは「強くする」より「使える状態」を重視します

セキュリティ設定では

ONが多い方が安全。

ブロック数が多い方が安全。

と思いたくなります。

でも、仕事で必要なサービスまで止まってしまえば、社員はセキュリティ機能そのものをOFFにしたくなります。

それでは逆効果です。

TrusKiteではNextDNSを導入する場合も

まず標準的な設定から始める。

↓

Logsを見る。

↓

実際に使うアプリやサイトを確認する。

↓

必要な部分だけ調整する。

という方法をおすすめしています。

安全にすることと、普通に使えること。

どちらか一方ではなく、両方を維持することが長く使えるセキュリティ対策につながります。

NextDNSは「設定して育てる」くらいがちょうどいい

最初から完璧な設定を作る必要はありません。

基本的なセキュリティ設定を有効にする。

しばらく使う。

問題があればLogsを見る。

必要ならAllowlistへ追加する。

もっと強くしたければ、設定を一つ追加する。

この繰り返しで十分です。

全部ONにするより、自分の環境に合った設定を作る。

NextDNSを長く使うなら、それが一番大切だと考えています。

※NextDNSの設定項目や画面構成は今後変更される可能性があります。

※本記事の設定は、すべての環境に適した公式推奨設定ではなく、TrusKiteが一般利用を想定して整理した設定例です。

※会社端末へ導入する場合は、業務で利用するサービスやログの取り扱い、社内規程なども確認してください。

※本記事は2026年9月時点のNextDNS公式情報を参考にしています。