NextDNS Opsætning: 300.000 Forespørgsler, 12 Trin [2026]

Din internetudbyder kan se hver eneste adresse, du besøger, fordi almindelig DNS sendes ukrypteret over internettet. Det gælder stadig for de fleste danske hjem i 2026, selv om browserne for længst har fået indbygget support til krypteret DNS. NextDNS løser problemet uden at kræve en server i baggrunden, og tjenesten lægger samtidig et filter ind imellem dine enheder og reklamer, trackere og decideret skadelige domæner. I denne guide sætter vi NextDNS op fra bunden, trin for trin, på computer, mobil og router, og vi bygger et lille automatiseringsprojekt, der skifter profil efter hvilket netværk du er på. Guiden er skrevet til både private husstande, der bare vil have ro i maven om børnenes enheder, og til de små kontorer og hjemmearbejdspladser, der ikke har ressourcer til selv at drive en server.

Hvad er NextDNS, og hvorfor er krypteret DNS relevant i 2026

NextDNS er en cloud-baseret DNS-tjeneste, der kombinerer DNS-over-HTTPS (DoH) og DNS-over-TLS (DoT) med et konfigurerbart filterlag. I stedet for at din router eller telefon spørger din internetudbyders DNS-server i klartekst, sender den krypterede forespørgsler til NextDNS, som så beslutter om domænet skal blokeres, tillades eller omdirigeres. Det gør to ting på én gang: ingen mellemmand på netværket kan læse hvilke domæner du slår op, og du får et filter, der stopper reklamer, trackere og malware-domæner, før de overhovedet rammer din browser.

Prismodellen er enkel. Det gratis niveau giver dig 300.000 DNS-forespørgsler om måneden, ubegrænsede enheder og ubegrænsede konfigurationer med alle funktioner slået til, ifølge NextDNS’ egen prisside. Når kvoten er brugt, stopper filtreringen, men DNS-opløsningen fortsætter uden at blokere noget, så du mister ikke internetforbindelsen, du mister bare beskyttelsen resten af måneden. Pro-abonnementet fjerner den grænse for 1,99 dollar om måneden eller 19,90 dollar om året, mens Business og Education ligger på 19,90 dollar om måneden eller 199 dollar om året per 50 medarbejdere eller 250 studerende. Business- og Education-niveauet er tænkt til organisationer, der har brug for central styring af mange enheder på én gang, mens Pro i praksis dækker langt de fleste private husstandes behov fuldt ud, selv med flere personer og en håndfuld enheder hver.

Det, der adskiller NextDNS fra et simpelt offentligt DNS-opslag som Cloudflare 1.1.1.1 eller Quad9, er profilsystemet. Du opretter en profil med dine egne regler, blokeringslister, forældrekontrol og logningsindstillinger, og den profil får en unik konfigurations-ID. Alle dine enheder peger på den samme profil, uanset om de kører Windows, macOS, iOS, Android eller sidder bag en router. Det betyder, at du kun skal vedligeholde reglerne ét sted, i stedet for at redigere en hosts-fil på hver enhed eller holde en Pi-hole-server kørende døgnet rundt.

En uafhængig gennemgang af tjenesten fra ciroapp.com bekræfter samme billede: NextDNS sælger ikke selve filtreringen som hovedprodukt, men snarere kontrollen over, hvor dine DNS-data ender, kombineret med et filter du selv skruer på. Det er en vigtig nuance, fordi mange brugere forveksler “krypteret DNS” med “anonym DNS”. Kryptering skjuler forespørgslen for netværket imellem dig og resolveren, men NextDNS selv ser stadig opslagene, så det er dine indstillinger for logning og anonymisering, der afgør, hvor meget data der i sidste ende bliver liggende. Vi kommer tilbage til præcis den afvejning i trin 10.

Forudsætninger: det skal du have klar, før du starter

Du behøver ikke avanceret udstyr for at komme igennem denne guide, men et par ting gør processen markant lettere. Tjek listen nedenfor, før du går videre til trin 1.

En gyldig e-mailadresse til at oprette din NextDNS-konto (ingen betalingskort kræves til gratis-niveauet).
Windows 10 eller 11, macOS 13 Ventura eller nyere, iOS 16 eller nyere, eller Android 10 eller nyere på de enheder, du vil beskytte.
Administratoradgang til din router, hvis du vil filtrere hele hjemmenetværket i stedet for enhed for enhed. De fleste moderne routere fra Asus, GL.iNet og Firewalla har en indbygget sektion til brugerdefineret DNS, mens ældre ISP-routere ofte kun accepterer almindelig, ukrypteret DNS.
Et terminalprogram, hvis du vil bygge automatiseringsprojektet i trin 12 (Terminal på macOS/Linux eller PowerShell på Windows).
Bash version 4 eller nyere, hvis du følger automatiseringsscriptet ordret, samt curl og dig installeret (på de fleste Linux-distributioner og macOS er begge dele allerede til stede).
Omkring 50 minutter til den fulde opsætning på tre enheder plus routeren. Kontooprettelse og første profil tager typisk 5 minutter, hver enkelt enhed 5 til 10 minutter, routeren 10 til 15 minutter afhængig af firmware, og automatiseringsprojektet i trin 12 cirka 15 minutter, hvis du allerede er fortrolig med terminalen.

Trin 1: Opret konto og din første profil på NextDNS

Gå ind på NextDNS’ hjemmeside og opret en konto med din e-mail. Du kan vælge mellem at bekræfte kontoen via et magisk link i indbakken eller sætte en adgangskode op direkte, og begge metoder giver samme adgang til dashboardet. Du bliver i samme flow bedt om at oprette din første profil. En profil er samlingen af regler, blokeringslister og logningsindstillinger, der afgør, hvad der sker med en DNS-forespørgsel, når den rammer NextDNS. Du kan oprette flere profiler under samme konto, hvilket er praktisk, hvis du vil have en strengere profil til børnenes enheder og en mere afslappet profil til dit eget arbejde.

Giv profilen et navn, du kan genkende senere, for eksempel “Hjem” eller “Arbejde-laptop”. Navnet har ingen teknisk betydning, men bliver vigtigt, når du om et par måneder har tre eller fire profiler og skal huske hvilken der gælder for hvilken enhed. Når profilen er oprettet, lander du på dashboardet, hvor analytics, blokeringslister og sikkerhedsindstillinger alle ligger i separate faneblade. Dashboardet opdateres løbende, så du kan lade det stå åbent i en fane, mens du arbejder dig gennem resten af guiden, og se forespørgslerne tikke ind, så snart den første enhed er korrekt forbundet.

Trin 2: Find konfigurations-ID og forstå opsætningssiden

Hver profil har en unik konfigurations-ID, typisk en kort alfanumerisk streng. Den ID er nøglen til alt det følgende, fordi den fortæller NextDNS’ servere, hvilken profils regler der skal anvendes på en given forespørgsel. Du finder den under profilens “Setup”-fane, som også viser de præcise endepunkter til DoH og DoT for netop din konfiguration.

Endepunkterne følger et fast mønster, hvor din konfigurations-ID indsættes i stedet for pladsholderen:

DoH (DNS-over-HTTPS):
https://dns.nextdns.io/KONFIGURATIONS_ID

DoT (DNS-over-TLS):
KONFIGURATIONS_ID.dns.nextdns.io:853

Kopiér altid den nøjagtige streng fra Setup-siden i stedet for at skrive den manuelt. Det undgår simple tastefejl, der gør, at en enhed slet ikke finder din profil og i stedet falder tilbage til din almindelige internetudbyders DNS uden at give nogen synlig fejl. Hold også øje med, om din profil er markert som “linked” til en bestemt enhed i dashboardet, fordi enhedsspecifikke links kan gøre analytics mere præcise, men samtidig kræver, at du opdaterer linket, hvis du skifter enhed senere.

Trin 3-6: Opsæt NextDNS på computer og mobil

NextDNS har native apps til Windows, macOS, Linux, iOS, Android og en række routere, men appen er ikke strengt nødvendig. Hvis dit styresystem eller din browser allerede understøtter krypteret DNS, kan du indtaste DoH- eller DoT-adressen direkte uden at installere noget ekstra. Appen giver dig til gengæld automatisk netværksskift, enhedsidentifikation i analytics og en lidt lettere fejlsøgning, så vi anbefaler den til de fleste.

Windows og macOS

På Windows og macOS downloader du NextDNS-klienten fra din profils Setup-side og logger ind med din konfigurations-ID under installationen. Klienten sætter sig som en lokal DNS-proxy, der automatisk krypterer alle udgående forespørgsler, uanset om du er på kontornettet, hjemme-WiFi eller et offentligt hotspot. Vil du i stedet undgå appen helt, kan du på macOS Ventura og nyere gå ind under Netværk → DNS og tilføje din DoH-adresse direkte som en “Encrypted DNS”-profil. På Windows 11 ligger samme mulighed under Indstillinger → Netværk og internet → Ethernet eller WiFi → DNS-serverkryptering, hvor du vælger “Krypteret kun (DoH)” og indsætter adressen fra trin 2.

iPhone og Android

På iPhone installerer du NextDNS-appen fra App Store, logger ind med din konfigurations-ID, og aktiverer en DNS-profil, som iOS herefter bruger for alt trafik, også når du skifter mellem WiFi og mobildata. Uden app kan du installere en “Encrypted DNS Setting”-profil, som NextDNS genererer til dig på Setup-siden, og som iOS selv tilføjer til systemindstillingerne.

Android understøtter krypteret DNS nativt via “Private DNS” under Indstillinger → Netværk og internet → Private DNS. Her er den vigtige detalje, at Android forventer et DoT-værtsnavn, ikke en HTTPS-adresse. Du skal altså indtaste formen KONFIGURATIONS_ID.dns.nextdns.io uden protokolpræfiks, ellers afviser systemet feltet eller falder stille tilbage til automatisk DNS. Alternativt installerer du NextDNS-appen, som håndterer skiftet for dig og samtidig viser hvilken profil, der er aktiv.

Linux

På de fleste moderne Linux-distributioner håndterer systemd-resolved allerede DNS-opløsningen, og den understøtter DoT direkte uden ekstra software. Åbn /etc/systemd/resolved.conf og indsæt din profils DoT-værtsnavn under DNS=, og slå kryptering til med DNSOverTLS=yes:

# /etc/systemd/resolved.conf
[Resolve]
DNS=KONFIGURATIONS_ID.dns.nextdns.io#dns.nextdns.io
DNSOverTLS=yes

Genstart derefter resolver-tjenesten med sudo systemctl restart systemd-resolved, og bekræft ændringen med resolvectl status, som skal vise din NextDNS-konfiguration som aktiv DNS-server med DoT markeret som “supported”. Kører du en ældre distribution uden systemd, er NextDNS’ egen Linux-CLI et lettere alternativ, fordi den selv sætter en lokal lytter op og ikke kræver manuel redigering af resolver-filer.

Trin 7: Opsæt NextDNS på routeren med DNS-over-TLS

At sætte NextDNS op direkte på routeren beskytter hele hjemmet uden at skulle installere noget på hver enkelt enhed, inklusive smarte højttalere og andre ting, der ikke kan køre en app. Fremgangsmåden varierer efter firmware, men de overordnede skridt er ens.

Opret profilen og hent konfigurations-ID som beskrevet i trin 1-2.
Log ind på routerens administrationsside, og find sektionen til brugerdefineret eller krypteret DNS.
Vælg DoT, hvis routeren understøtter det, og indtast værtsnavnet fra trin 2 på port 853.
Deaktivér routerens automatiske overstyring af DNS fra internetudbyderen, hvis firmwaren tilbyder den indstilling.
Konfigurér både IPv4 og IPv6 DNS, for en router, der kun opdaterer IPv4, lader IPv6-trafik gå uden om filteret.
Gem ændringerne, og genstart routeren eller forny DHCP-lejemålene på klienterne.
Sørg for, at routeren fortsat annoncerer sig selv som DNS-server via DHCP, så klienterne rent faktisk bruger routerens krypterede opslag.
Test fra mindst to forskellige enheder, en bærbar og en telefon uden aktiv VPN, for at bekræfte at hele netværket rent faktisk går gennem den nye konfiguration og ikke kun den enhed, du selv sidder ved.

På OpenWrt-baserede routere installerer du typisk en DoT- eller DoH-kapabel resolver og indsætter NextDNS’ endepunkt i dens konfigurationsfil. Et typisk uddrag til en stubby- eller unbound-baseret opsætning ser sådan ud:

# /etc/stubby/stubby.yml (uddrag)
upstream_recursive_servers:
  - address_data: KONFIGURATIONS_ID.dns.nextdns.io
    tls_auth_name: "dns.nextdns.io"
    tls_port: 853

Routere fra Asus, GL.iNet og Firewalla har som regel en færdig sektion til “Encrypted DNS” eller “Custom DNS” i webgrænsefladen, hvor du bare indsætter adressen fra Setup-siden uden at røre en konfigurationsfil. Hvis din router kun leveres af internetudbyderen og ikke tillader brugerdefineret DNS overhovedet, er løsningen enten at sætte en downstream-router op bag den, bruge bridge-mode, eller installere NextDNS-appen på hver enkelt enhed i stedet. Et detaljeret, community-vedligeholdt opsæt per router-model findes i serversathome-wikien på GitHub.

Vil du sikre dig, at ingen enhed på netværket kan springe routeren over og spørge en anden DNS-server direkte, bør du også lukke almindelig DNS-trafik på port 53 ud mod internettet i routerens firewall, så alt tvinges gennem den krypterede forbindelse. Det er et vigtigt skridt på et kontornetværk eller en delt bolig, hvor du ikke har kontrol over hver enkelt enheds indstillinger, men det er overkill til et simpelt privat hjemmenetværk med få brugere, hvor appen eller operativsystemets egne indstillinger er nok.

Trin 8-9: Vælg blokeringslister og byg allow- og denylist

Når forbindelsen er krypteret, er næste skridt at bestemme, hvad NextDNS skal blokere. Under fanen “Security” i dashboardet slår du threat intelligence til, som stopper kendte malware- og phishing-domæner baseret på løbende opdaterede feeds. Under “Privacy” vælger du blandt en række community-vedligeholdte lister til reklame- og trackerblokering, hvor du typisk starter med en bred liste og lægger flere til, hvis du vil strammere filtrering.

Forældrekontrol ligger under “Parental Control” og dækker kategorier som voksenindhold, gambling og specifikke streamingtjenester, som du kan slå fra for bestemte profiler uden at ændre resten af opsætningen. Fordi reglerne sidder på profilen og ikke på enheden, kan du have en restriktiv profil til børnenes tablets og en løsere profil til din egen bærbare, begge forbundet til samme NextDNS-konto. Du kan også sætte tidsbaserede regler op, så en profil for eksempel blokerer specifikke sociale medier eller streamingdomæner i skoletiden, og åbner dem igen om eftermiddagen, hvilket gør det til et alternativ til separate forældrekontrol-apps på hver enkelt enhed.

Ingen blokeringsliste er perfekt, og du vil før eller senere opleve, at et legitimt site ikke virker. Løsningen er en allowlist, hvor du tilføjer det specifikke domæne, der blev blokeret ved en fejl. Omvendt kan du bruge en denylist til at blokere domæner manuelt, som ingen af de offentlige lister fanger, for eksempel et bestemt trackingdomæne fra en app, du ikke selv kan styre. Begge lister redigeres under samme profil og træder i kraft øjeblikkeligt, uden at du skal genstarte noget.

Den mest holdbare fremgangsmåde er at starte stille. Slå kun threat intelligence og en enkelt, bred reklame- og trackerliste til i den første uge, og brug analytics-fanen til at se, hvad der rent faktisk bliver blokeret, før du lægger flere lister til. Går du all-in med samtlige tilgængelige lister fra dag ét, ender du typisk med en lang række falske positiver, som du så skal bruge timer på at rede ud med allowlisten, i stedet for gradvist at stramme filtreringen i takt med at du lærer, hvad husstanden rent faktisk bruger.

Trin 10: Styr logning, anonymisering og dataopbevaring

NextDNS’ analytics-fane viser dig, hvilke domæner der er blevet forespurgt, blokeret og tilladt, hvilket er uvurderligt, når du skal fejlsøge en blokeret side. Den samme logning er imidlertid en privatlivsafvejning i sig selv, fordi den kobler en lang liste af domæner til din konfigurations-ID og dermed indirekte til dig.

Under “Logs” kan du vælge en kort opbevaringsperiode, slå logning helt fra, eller aktivere anonymisering, som reducerer muligheden for at knytte forespørgslerne til en bestemt enhed eller bruger. Vores anbefaling til en privatlivsfokuseret profil er at bruge den korteste tilgængelige opbevaringsperiode og slå anonymisering til, hvis du stadig ønsker analytics til fejlsøgning. Vil du udelukkende have kryptering og filtrering uden nogen logning overhovedet, kan du deaktivere logs fuldstændigt, men husk, at det også gør det sværere at se, hvorfor et bestemt site pludselig ikke virker.

For danske og nordiske brugere, der allerede er vant til at tænke i GDPR-termer fra deres arbejdsplads, er princippet det samme hjemme: du minimerer den data, der bliver liggende, til det, du faktisk har brug for. Har du kun brug for filtrering uden historik, er kort opbevaringstid plus anonymisering den kombination, der giver mest beskyttelse uden at gå helt glip af fejlsøgningsværktøjet. Har du derimod børn i husstanden, kan det være en fordel at beholde lidt længere logning på netop deres profil, så du kan se, om en blokering rammer forkert, uden at det samme gælder resten af husstandens profiler.

Trin 11: Test opsætningen, så du ved den faktisk virker

En opsætning, der ser rigtig ud i indstillingerne, virker ikke altid i praksis. Test derfor altid efter hvert trin. NextDNS har en indbygget testside, som viser, om trafikken rent faktisk går gennem din profil, og hvilken konfigurations-ID der bliver brugt. Åbn den på hver enhed, du lige har konfigureret.

Fra en terminal kan du også selv slå op, hvilken resolver der svarer, og bekræfte at et kendt blokeret testdomæne rent faktisk bliver stoppet:

# Tjek hvilken DNS-server, systemet reelt bruger
dig +short test.nextdns.io TXT

# Bekræft at et blokeret testdomæne stopper
dig +short blocked-test-domain.example

Kør også en almindelig DNS-leak-test i browseren på hver enhed. Hvis testen viser din internetudbyders navn i stedet for NextDNS, bruger enheden stadig den gamle, ukrypterede DNS, typisk fordi en VPN-klient, en browser-indbygget DoH-indstilling eller en manuelt sat IPv6-DNS overskriver din nye konfiguration. Til sidst tjekker du NextDNS’ egen analytics-fane og ser, at forespørgsler fra netop den enhed rent faktisk dukker op i loggen inden for få minutter. Gentag testen efter et par dage, ikke kun med det samme efter opsætningen, fordi nogle fejl, som en router der falder tilbage til gammel DNS efter en genstart, først viser sig efter en strømafbrydelse eller en firmwareopdatering.

Et korrekt forbundet NextDNS-testopslag svarer typisk med en kort statustekst, der bekræfter både profil og krypteringsmetode. Et eksempel på svaret fra testkommandoen ser sådan ud:

$ dig +short test.nextdns.io TXT
"status: ok"
"protocol: DOH"
"configuration: KONFIGURATIONS_ID"
"device: MacBook-Pro"

Står der i stedet “status: not configured”, eller mangler svaret helt, bruger enheden ikke NextDNS, og du skal tilbage til det relevante platformstrin og tjekke adressen igen. Det er en hurtigere måde at bekræfte opsætningen på end at læse logfiler, fordi du får et klart ja eller nej uden at skulle tolke på en lang liste af domæner.

Trin 12: Byg et automatiseringsprojekt, der skifter profil efter netværk

Når grundopsætningen fungerer, er det næste naturlige skridt at automatisere profilvalget. Mange brugere vil have en strengere profil på offentlige netværk og en løsere profil hjemme, uden at skulle skifte manuelt hver gang. Nedenfor bygger vi et lille, fuldt fungerende projekt: et bash-script, der registrerer det aktive WiFi-netværk og automatisk peger systemets DNS på den rigtige NextDNS-profil.

Først opretter du to profiler i NextDNS-dashboardet, en kaldet “hjem” og en kaldet “ude”, hver med sin egen konfigurations-ID og sine egne regler. Herefter laver du scriptet, som på macOS og Linux kan køres som en NetworkManager-dispatcher eller et login-hook:

#!/bin/bash
# nextdns-switch.sh — skifter DNS-profil efter SSID

HJEM_SSID="Dit-Hjemmenetværk"
HJEM_ID="abc123"
UDE_ID="def456"

CURRENT_SSID=$(iwgetid -r 2>/dev/null || networksetup -getairportnetwork en0 | awk -F': ' '{print $2}')

if [ "$CURRENT_SSID" = "$HJEM_SSID" ]; then
  PROFILE_ID="$HJEM_ID"
else
  PROFILE_ID="$UDE_ID"
fi

echo "Skifter til NextDNS-profil: $PROFILE_ID (netværk: $CURRENT_SSID)"
nextdns config set -profile "$PROFILE_ID"
nextdns restart

Scriptet forudsætter, at NextDNS CLI-klienten allerede er installeret og konfigureret til at acceptere profilskift via kommandolinjen, og at iwgetid eller networksetup findes på dit system. Gem filen, gør den eksekverbar med chmod +x nextdns-switch.sh, og sæt den ind i en launchd-plist på macOS eller en systemd-service på Linux, som kører hver gang netværksgrænsefladen ændrer status. Resultatet er en opsætning, der selv holder styr på, hvilken profil der passer til, hvor du er, uden at du skal åbne en app eller huske noget manuelt. Har du flere kendte netværk, for eksempel både hjemmet og en arbejdsplads med sin egen strengere profil, udvider du blot scriptets if-sætning til en liste af SSID-til-profil-par i stedet for kun to muligheder, så logikken skalerer uden at du skal skrive et helt nyt script for hvert ekstra sted.

På Linux kan du binde scriptet til NetworkManagers dispatcher-mappe, så det automatisk kører ved hvert netværksskift, i stedet for at du selv skal huske at starte det. Opret filen /etc/NetworkManager/dispatcher.d/99-nextdns-switch med indholdet nedenfor, og gør den eksekverbar:

#!/bin/bash
# /etc/NetworkManager/dispatcher.d/99-nextdns-switch
INTERFACE=$1
STATUS=$2

if [ "$STATUS" = "up" ]; then
  /usr/local/bin/nextdns-switch.sh
fi

NetworkManager kalder selv dette script hver gang en netværksgrænseflade kommer op, så profilskiftet sker i baggrunden uden at du skal tænke på det. Vil du i stedet have det til at køre som en fast baggrundstjeneste, der tjekker netværket hvert minut i stedet for kun ved skift, kan du pakke det originale script ind i en systemd-timer eller en simpel løkke med et kort sleep-ophold mellem hvert tjek, afhængigt af hvor reaktivt du vil have det.

Et typisk output, når scriptet rammer et velkendt netværk, ser sådan ud:

$ ./nextdns-switch.sh
Skifter til NextDNS-profil: abc123 (netværk: Dit-Hjemmenetværk)
Restarting nextdns service... done

Avancerede tips: DNSSEC, API og flere profiler i husstanden

Når grundopsætningen og automatiseringen kører stabilt, er der et par ekstra greb, der er værd at kende. NextDNS validerer DNSSEC som standard på profilniveau, hvilket beskytter mod DNS-forfalskning, men det er værd at dobbeltchecke indstillingen under “Security”, hvis du selv har rodet i avancerede valgmuligheder tidligere. DNSSEC-validering betyder konkret, at din enhed afviser et DNS-svar, hvis det ikke kan verificeres kryptografisk mod den oprindelige zones signatur, hvilket lukker en hel klasse af angreb, hvor en ondsindet aktør på netværket forsøger at sende falske DNS-svar tilbage til dig.

Har du mere end et par enheder, er det langt lettere at administrere profiler og lister via NextDNS’ API end at klikke sig igennem dashboardet hver gang. Et simpelt eksempel på at hente profilens aktuelle indstillinger via API ser sådan ud:

curl -s -H "X-Api-Key: DIN_API_NØGLE" \
  https://api.nextdns.io/profiles/KONFIGURATIONS_ID

API-nøglen finder du under din kontos indstillinger, og den samme nøgle kan bruges til at skrive scripts, der automatisk opdaterer allowlister, skifter blokeringslister efter tid på dagen, eller samler statistik fra flere profiler i et eget dashboard. For en husstand med flere brugere er det en god idé at give hvert familiemedlem sin egen profil i stedet for at dele én, fordi det gør analytics og fejlsøgning markant lettere at holde styr på, og fordi det følger samme logik som at adskille brugerkonti på en delt computer.

Behandl API-nøglen som en adgangskode. Den giver fuld læse- og skriveadgang til dine profiler, så del den aldrig i et script, du lægger i et offentligt repository. Vil du bruge den i et automatiseringsprojekt som det fra trin 12, er den sikreste løsning at gemme nøglen i en miljøvariabel eller en separat, ikke-indekseret konfigurationsfil, og kun læse den ind i scriptet ved kørsel i stedet for at skrive den direkte i kildekoden. En sidste praktisk detalje er, at NextDNS lader dig regenerere nøglen fra kontoindstillingerne, hvis du på noget tidspunkt er i tvivl om, hvorvidt den er blevet eksponeret.

NextDNS vs. alternativerne: Pi-hole, Cloudflare, Quad9 og AdGuard DNS

NextDNS er langt fra den eneste vej til krypteret og filtreret DNS, og det er værd at kende forskellene, før du binder dig til en løsning. Pi-hole er selvhostet netværksfiltrering, normalt kørende på en lokal server eller en Raspberry Pi. Det giver fuld lokal kontrol, men kræver, at du selv holder hardware, software og opstrøms-DNS opdateret og kørende. Unbound er en anden selvhostet mulighed, men den er en validerende, rekursiv DNS-resolver snarere end et komplet filterpanel, så blokeringslister og forældrekontrol kræver ekstra værktøjer på toppen.

Cloudflare 1.1.1.1 er primært en hurtig, offentlig resolver med varianter til malware- og familiefiltrering, men med langt mindre per-profil-tilpasning end NextDNS. Quad9 fokuserer på at blokere kendte skadelige domæner via threat intelligence og er mere et sikkerhedsorienteret, offentligt alternativ end en tilpasbar filtreringsplatform til husstanden. AdGuard DNS ligger tættest på NextDNS i funktion, med hostede reklame- og trackerlister samt familiefiltrering, men adskiller sig i listeøkosystem og dashboard-design, som en direkte sammenligning af de to tjenester også konkluderer.

Valget mellem dem afhænger mest af, hvor meget vedligeholdelse du selv har lyst til at tage på dig. Vil du ikke bruge tid på hardware, opdateringer eller opstrøms-DNS-konfiguration, og vil du gerne have beskyttelse der følger med dig uden for hjemmenetværket automatisk, er NextDNS det mest ligetil valg. Har du allerede en Raspberry Pi liggende, nyder du at pille ved konfigurationsfiler, og vil du for alt i verden undgå at sende DNS-forespørgsler til en tredjepart, er Pi-hole eller Unbound det rigtige valg, selv om det kræver mere af dig løbende. De to tilgange udelukker heller ikke hinanden, for nogle brugere kører Pi-hole lokalt og sender dens opstrøms-forespørgsler videre gennem NextDNS for at få kryptering på toppen af den lokale filtrering.

Tjeneste	Type	Filtrering/profiler	Kræver egen server	Pris (ca.)
NextDNS	Cloud DoH/DoT	Ja, ubegrænsede profiler	Nej	Gratis / 1,99 $ pr. md.
Pi-hole	Selvhostet	Ja, kræver egen konfiguration	Ja	Gratis (egen hardware)
Unbound	Selvhostet resolver	Begrænset uden tillægsværktøjer	Ja	Gratis (egen hardware)
Cloudflare 1.1.1.1	Cloud, offentlig	Få foruddefinerede varianter	Nej	Gratis
Quad9	Cloud, sikkerhedsfokus	Minimal tilpasning	Nej	Gratis
AdGuard DNS	Cloud DoH/DoT	Ja, hostede lister	Nej	Gratis / betalt niveau

6 almindelige faldgruber, når du sætter NextDNS op

De fleste problemer med NextDNS skyldes ikke tjenesten selv, men små detaljer i opsætningen, der er let at overse. En gennemgående guide til at blokere reklamer på alle enheder fra whysogeek.com nævner flere af de samme faldgruber, og de går igen uanset om målet er ren reklameblokering eller fuld sikkerhedsfiltrering. Her er de seks, vi oftest ser gå galt.

At glemme IPv6. Hvis routeren kun får sat DNS på IPv4, kan enheder med aktiv IPv6-forbindelse gå helt uden om filteret, fordi de henter en anden DNS-sti automatisk.
At blande DoH-adresse og DoT-værtsnavn sammen. Android forventer et rent værtsnavn til Private DNS, ikke en fuld HTTPS-URL. Indsætter du den forkerte form, fejler feltet eller falder stille tilbage til standard-DNS uden en klar fejlmeddelelse.
At tro appen er aktiv, selv om en VPN tager over. En VPN-klient sætter som regel sin egen DNS, som har højere prioritet end NextDNS-appen. Resultatet er, at appen viser “forbundet”, men filtreringen reelt er fraværende.
At overse den gratis kvote. Når de 300.000 månedlige forespørgsler er opbrugt, stopper filtreringen stille, mens internettet fortsætter med at virke. Det kan ligne, at en blokeringsliste pludselig er holdt op med at virke, når den egentlige årsag er kvoten.
At blokere for bredt og ramme apps, ikke bare websites. Mobilapps afhænger ofte af flere baggrundsdomæner, som ikke er synlige, når du bare tester det tilsvarende website i browseren. Test derfor altid selve appen, ikke kun sitet, før du antager at en blokering er sikker at lade stå.
At dele API-nøglen i et script, der ender i et offentligt repository. En eksponeret nøgle giver fuld adgang til at ændre dine profiler og blokeringslister. Gem den altid i en miljøvariabel eller en lokal, ikke-delt konfigurationsfil, og regenerér den med det samme, hvis du er i tvivl om, hvorvidt den er blevet synlig for andre.

Fejlfinding: 8 problemer og løsninger

Når noget ikke virker som forventet, er det næsten altid en af disse otte situationer. Fælles for stort set alle er, at symptomet ser ens ud, uanset platform, nemlig at trafikken enten ikke bliver krypteret, eller at den bliver krypteret men ikke filtreret. Tabellen nedenfor samler de mest almindelige fejl, vi ser på tværs af Windows, macOS, mobil og router.

Problem	Sandsynlig årsag	Løsning
Profilen bliver ikke registreret	Konfigurations-ID mangler, er fejltastet, eller sidder på forkert endepunkt	Kopiér ID direkte fra Setup-siden igen, undgå manuel indtastning
DNS-leak-test viser forkert udbyder	IPv6, browser-DoH, VPN eller manuel enheds-DNS går uden om routeren	Sæt DNS på både IPv4 og IPv6, og tjek browserens egne DoH-indstillinger
DoH virker ikke på routeren	Routeren understøtter kun almindelig DNS eller afviser URL-formatet	Brug DoT i stedet, eller sæt en downstream-router/bridge-mode op
Filtrering virker på WiFi, ikke på mobildata	Routerens DNS gælder kun det lokale netværk	Installér NextDNS-appen eller sæt krypteret DNS direkte på telefonen
Android Private DNS fejler	Der er indtastet en HTTPS-adresse i stedet for et DoT-værtsnavn	Brug kun formen KONFIGURATIONS_ID.dns.nextdns.io uden protokolpræfiks
Appen viser “forbundet”, men intet bliver blokeret	Forkert profil valgt, en VPN har forrang, eller kvoten er opbrugt	Tjek aktiv profil i appen, deaktivér VPN midlertidigt, og se forbrug i dashboardet
Et legitimt site er blokeret	En blokeringsliste fanger domænet ved en fejl	Tilføj domænet, og eventuelle tilknyttede CDN- og loginservere, til allowlisten
En app virker ikke, selv om sitet gør	Appen bruger baggrundsdomæner, der ikke er synlige i browseren	Tjek analytics-loggen under app-brug, og allowlist de domæner, der bliver blokeret

Den vigtigste pointe at tage med sig fra fejlsøgning er, at krypteret transport og filtrering er to separate ting. DoH eller DoT kan fungere helt korrekt, mens enheden alligevel bruger den forkerte profil, går uden om NextDNS via en browser eller VPN, eller simpelthen har ramt den gratis kvote for måneden. Start derfor altid fejlsøgningen med NextDNS’ egen testside og analytics-log, før du begynder at rode i routerens konfiguration.

En god tommelfingerregel er at isolere variablerne en for en. Slå VPN’en fra, test. Skift til mobildata i stedet for WiFi, test igen. Log ud af NextDNS-appen og brug kun routerens DoT-opsætning, test en tredje gang. Ved at fjerne et lag ad gangen finder du typisk hurtigt frem til, hvilket af de otte scenarier i tabellen der rammer dig, i stedet for at gætte dig igennem hele listen på én gang.

Ofte stillede spørgsmål om NextDNS

Er NextDNS gratis at bruge?
Ja, det gratis niveau giver 300.000 DNS-forespørgsler om måneden, ubegrænsede enheder og konfigurationer, og alle funktioner er tilgængelige. Når kvoten er brugt, fortsætter internettet med at virke, men filtreringen stopper resten af måneden.

Skal jeg bruge NextDNS-appen, eller kan jeg sætte det op manuelt?
Begge dele virker. Appen giver automatisk netværksskift og lettere fejlsøgning, mens den manuelle metode via DoH- eller DoT-adresser fungerer fint, hvis dit styresystem eller browser allerede understøtter krypteret DNS.

Kan NextDNS se, hvilke sider jeg besøger?
NextDNS modtager dine DNS-forespørgsler for at kunne filtrere dem, men du kan selv styre opbevaringsperiode og slå anonymisering til under logningsindstillingerne, hvis du vil minimere, hvor meget der kan kobles til din specifikke enhed.

Hvorfor virker filtreringen på min computer, men ikke på min telefon, når jeg er ude af huset?
Hvis du kun har sat NextDNS op på routeren, gælder filtreringen alene det lokale netværk. Du skal installere appen eller en krypteret DNS-profil direkte på telefonen for at få beskyttelse på mobildata.

Hvad er forskellen på NextDNS og Pi-hole?
Pi-hole kræver, at du selv hoster og vedligeholder en server, typisk en Raspberry Pi, mens NextDNS er en cloud-tjeneste uden eget hardware-ansvar. Pi-hole giver mere lokal kontrol, NextDNS kræver mindre vedligeholdelse og virker automatisk uden for hjemmenetværket.

Kan jeg have forskellige regler for forskellige familiemedlemmer?
Ja. Du kan oprette en separat profil per person eller enhedstype, hver med sin egen konfigurations-ID, sine egne blokeringslister og sin egen forældrekontrol, alt sammen under samme konto.

Hvad gør jeg, hvis et website pludselig stopper med at virke efter opsætningen?
Tjek analytics-loggen for at se, om domænet er blevet blokeret, og tilføj det til allowlisten, hvis det er en fejl. Husk at teste relaterede CDN-, login- og betalingsdomæner, som ofte hænger sammen med det oprindelige site.

Virker NextDNS sammen med en VPN?
Det afhænger af VPN-klienten. Mange VPN-tjenester sætter deres egen DNS, som har forrang over NextDNS, så filtreringen reelt bliver omgået, selv om NextDNS-appen viser “forbundet”. Tjek din VPN-udbyders dokumentation for, om den tillader brugerdefineret DNS gennem tunnellen.

Kan jeg flytte mine indstillinger, hvis jeg skifter router eller køber en ny telefon?
Ja. Fordi alle reglerne ligger på profilen i skyen og ikke på den enkelte enhed, skal du bare pege den nye router eller telefon på samme konfigurations-ID eller logge ind i appen igen. Der er ingen lokal database at eksportere eller importere, som der ville være med en selvhostet løsning.