NextDNS auf einer UniFi UDM einrichten

Die UDM kann NextDNS nativ und verschlüsselt nutzen. Dafür reichen der profilgebundene DNS-Stamp aus NextDNS und die Encrypted-DNS-Einstellung in UniFi – ohne zusätzliche Router-Software.

UniFi UDM · verschlüsselt, ohne CLI · 10 Minuten
Oliver Nagel · Dokumentation geprüft am 26. Juli 2026

Der heutige Weg: Encrypted DNS

Ältere Anleitungen tragen die beiden NextDNS-IPv4-Adressen als WAN-DNS ein und verbinden die öffentliche IP mit einem Profil. Das funktioniert grundsätzlich, sendet DNS über UDP/53 aber unverschlüsselt und braucht bei wechselnden Adressen zusätzlich DDNS.

Aktuelle UniFi-Versionen können einen benutzerdefinierten verschlüsselten Resolver direkt verwenden. Der NextDNS-DNS-Stamp enthält den Endpunkt und die Profil-ID. Die Konfiguration bleibt in UniFi gespeichert und benötigt keinen per SSH installierten Dienst.

Voraussetzungen

UniFi Dream Machine, UDM Pro, UDM SE oder ein vergleichbares UniFi Cloud Gateway
aktuelle UniFi Network Application mit Encrypted DNS; in älteren Oberflächen heißt die Funktion DNS Shield
ein fertig konfiguriertes NextDNS-Profil
lokaler Zugriff auf die UniFi-Oberfläche für den Rückweg

Die Menüfolge und Resolver-Daten wurden am 26. Juli 2026 gegen die aktuellen Herstellerunterlagen geprüft. Profil-ID und DNS-Stamp im Beispiel bleiben absichtlich Platzhalter.

NextDNS in UniFi eintragen

In my.nextdns.io das gewünschte Profil öffnen.
Setup Guide → Routers öffnen und bis DNSCrypt scrollen.
Den Wert aus server_names und den vollständigen Wert aus stamp kopieren. Der Stamp beginnt mit sdns:// und muss die eigene Profil-ID enthalten.
In UniFi Network Settings → CyberSecure → Encrypted DNS öffnen. Bei Network 8 oder 9 kann der Pfad noch Settings → Security → DNS Shield heißen.
Custom wählen, den Servernamen und den DNS-Stamp einsetzen, den Eintrag hinzufügen und die Änderungen anwenden.

Nicht nur speichern, auch prüfen

Auf einem Client im betroffenen Netzwerk zuerst den NextDNS-Test aufrufen:

curl -fsS https://test.nextdns.io

Die Antwort muss "status": "ok" melden. Zusätzlich müssen Protokoll und Profil zum eingerichteten verschlüsselten Resolver passen. Danach im NextDNS-Protokoll eine frisch aufgerufene Testdomain suchen.

Ein einzelner erfolgreicher Browseraufruf reicht nicht: Browser, VPNs und Betriebssysteme können eigene verschlüsselte DNS-Einstellungen verwenden. Der Test sollte deshalb auf mindestens zwei normalen LAN-Clients erfolgen.

Fehlerbehebung

NextDNS meldet „unconfigured“

Der verwendete Stamp zeigt meist nur auf den allgemeinen NextDNS-Endpunkt. Den Stamp direkt aus dem Setup Guide des richtigen Profils kopieren und prüfen, ob sein Pfad die Profil-ID enthält.

Nach dem Anwenden funktioniert DNS nicht mehr

Encrypted DNS auf Automatic oder Off zurückstellen. Danach den Stamp erneut ohne zusätzliche Leerzeichen einfügen. Erst wenn die normale Auflösung wieder funktioniert, einen zweiten Versuch starten.

Einzelne Geräte fehlen im NextDNS-Protokoll

Das ist bei der nativen Gateway-Variante erwartbar. Der Resolver sieht die UDM als Absender. Wer Profile pro VLAN oder Clientnamen benötigt, muss die NextDNS CLI mit deren UniFiOS-Unterstützung abwägen.

UniFi Ad Blocking oder Content Filtering ist parallel aktiv

UniFi kann DNS-Verkehr für eigene Filterfunktionen zum Gateway umleiten. Während der Diagnose nur eine Filterebene aktiv lassen und danach erneut mit test.nextdns.io prüfen.

Fallback: IPv4 mit Linked IP

Fehlt Encrypted DNS, können die profilbezogenen NextDNS-IPv4-Adressen unter Settings → Internet → DNS Server eingetragen werden. Im NextDNS-Setup muss die öffentliche IP mit dem Profil verknüpft werden. Bei dynamischer IP hält ein DDNS-Hostname die Verknüpfung aktuell.

Diese Variante ist kompatibel, aber unverschlüsselt, verliert die Gerätezuordnung und funktioniert bei Carrier-Grade NAT oder mehreren öffentlichen Ausgangsadressen nicht zuverlässig. Sie ist deshalb nur der Rückfallweg.

Rollback

In UniFi Encrypted DNS auf Automatic oder Off stellen und den benutzerdefinierten Resolver entfernen. Danach auf einem Client DNS-Cache oder Netzwerkverbindung erneuern und eine normale Namensauflösung prüfen.

Wurde zusätzlich die Linked-IP-Variante eingerichtet, die benutzerdefinierten WAN-DNS-Server entfernen und den Internet-DNS-Modus wieder auf automatisch setzen.