Elegir un servicio de DNS público como Cloudflare no siempre impide que el proveedor de acceso a internet (ISP) vea las consultas DNS de una red. How-To Geek explica que, a menos que las consultas salgan cifradas desde el propio router o dispositivo mediante protocolos que el ISP no pueda interceptar fácilmente, el ISP puede seguir observando a qué dominios se consulta.
Qué ocurre realmente con las consultas DNS
Las consultas DNS son las peticiones que convierte un nombre de dominio (por ejemplo, ejemplo.com) en una dirección IP. Tradicionalmente estas peticiones se enviaban en texto plano por UDP o TCP, permitiendo a cualquier intermediario —incluido el ISP— inspeccionarlas. Servicios como Cloudflare, Google o Quad9 ofrecen resolutores públicos y protocolos modernos (DoH, DoT, DoQ) para cifrar esas consultas, pero simplemente configurar esos servidores en dispositivos de la red no garantiza privacidad completa.
Por qué tu ISP aún puede ver las consultas
- Rutas del tráfico DNS: si el router o el sistema operativo no envía las consultas cifradas directamente al resolutor público, las peticiones pueden seguir saliendo en claro y pasar por el ISP.
- Bloqueos y redirección por el ISP: algunos routers del operador o las configuraciones de la red pueden interceptar o redirigir las consultas DNS hacia los resolutores del propio ISP, independientemente de la configuración manual en los equipos de los usuarios.
- Fallo en el cifrado extremo a extremo: usar un cliente que soporte DoH/DoT/DoQ en un navegador no cifra las consultas generadas por otras aplicaciones del sistema que no usen ese cliente.
La solución práctica: forzar DNS cifrado desde el router
How-To Geek señala que el cambio efectivo es forzar, a nivel de router, que todo el tráfico DNS salga cifrado mediante un protocolo moderno (por ejemplo DNS over HTTPS o DNS over QUIC). Al configurar el router para usar un resolutor público que acepte estos protocolos y asegurarse de que el router no permita la salida de DNS en texto plano, todas las consultas de la red doméstica llegarán cifradas al resolutor seleccionado y el ISP no podrá inspeccionarlas con facilidad.
Qué debe hacer el administrador o dueño de la web
- Revisar el router: comprobar si el router soporta DoH, DoT o DoQ y si permite bloquear salidas DNS en puerto 53 (UDP/TCP) hacia fuera. Muchos routers modernos o firmwares alternativos (por ejemplo, OpenWrt) permiten estas opciones.
- Configurar un resolutor que acepte DNS cifrado: asignar en el router un servicio que ofrezca DoH/DoT/DoQ para que el cifrado sea aplicado antes de que el tráfico salga de la red local.
- Probar desde varios dispositivos: verificar que tanto navegadores como otras aplicaciones resuelven nombres a través del resolutor cifrado. Herramientas de diagnóstico y pruebas de fuga DNS ayudan a confirmar la configuración.
- Considerar limitaciones: algunos ISP aplican tácticas que dificultan la completa privacidad (por ejemplo, interceptación a nivel de red), por lo que en ciertos entornos puede ser necesario cambiar a un router con firmware que permita control total o utilizar VPNs que encapsulen todo el tráfico.
Explicación de términos
- DoH (DNS over HTTPS): transmite consultas DNS dentro de conexiones HTTPS, cifrando las peticiones.
- DoT (DNS over TLS): usa TLS para cifrar consultas DNS en un canal dedicado.
- DoQ (DNS over QUIC): emplea QUIC para transporte más rápido y cifrado de las consultas.
En resumen, cambiar a Cloudflare u otro resolutor público es útil, pero para impedir que el ISP vea las consultas DNS es necesario aplicar el cifrado desde el router o encapsular todo el tráfico con una VPN. La medida más efectiva y práctica para redes domésticas y pequeñas es configurar el router para forzar DNS cifrado y bloquear las salidas DNS en texto plano.
Lee también:
- Ghana alcanza alta capacidad de validación DNSSEC, pero el dominio .gh sigue sin firmar
- Afternic permite pedir pagos iniciales en ventas de dominios ‘lease-to-own’
Fuente: How-To Geek
