DNS cifrado en el router: guía de configuración paso a paso

La resolución DNS —el proceso que convierte un dominio como ejemplo.com en una dirección IP— suele viajar sin cifrar cuando el router utiliza los servidores asignados automáticamente por el proveedor de internet. Eso permite que un tercero observe o manipule esas consultas.

La configuración de DNS cifrado en el router cambia ese punto de partida. Con DNS sobre TLS (DoT) o DNS sobre HTTPS (DoH), el router establece la resolución mediante una conexión protegida hacia un proveedor DNS compatible. El beneficio principal es operativo: centralizas la protección en la red y reduces la dependencia de configurar cada móvil, ordenador, televisor o dispositivo conectado por separado.

No es una solución total de privacidad. El cifrado DNS no oculta el contenido de las páginas que visitas ni las direcciones IP de los servidores a los que te conectas. Protege una fase concreta de la conexión, pero esa fase es relevante: si queda expuesta, la red puede revelar qué dominios se consultan o alterar la respuesta recibida.

Antes de empezar: decide qué quieres proteger

La configuración debe partir de un objetivo claro. No es lo mismo proteger una red doméstica, una oficina comunitaria, un aula de formación o un espacio con dispositivos IoT. Cada entorno tiene sus propias restricciones.

En una red doméstica, normalmente buscas que las consultas DNS de móviles, ordenadores y televisores no se envíen sin cifrar al proveedor de internet. En una organización pequeña, además, interesa que la configuración sea reproducible y fácil de auditar. En un aula o centro comunitario, la prioridad suele ser disponer de una política sencilla que funcione para muchos dispositivos con poca capacidad de soporte técnico.

También conviene distinguir tres funciones que suelen confundirse:

• Privacidad de las consultas: evita que las solicitudes DNS viajen en texto claro entre el router y el servidor DNS.
• Integridad de la resolución: reduce el riesgo de que una respuesta DNS sea manipulada durante el trayecto.
• Filtrado de contenidos: depende del proveedor DNS elegido y de sus políticas. No todos los servidores ofrecen el mismo tipo de bloqueo, protección frente a dominios maliciosos o registro de actividad.

Los servidores públicos más conocidos incluyen Cloudflare, Google y Quad9. Sus direcciones IPv4 habituales son, respectivamente, 1.1.1.1, 8.8.8.8 y 9.9.9.9, pero no basta con introducir la IP. Para DoT, el router también puede necesitar el nombre de host utilizado para validar el certificado del servicio.

El router es el mejor punto de control cuando quieres proteger una red completa, pero solo si sabes qué dispositivos pueden saltarse esa política.

La elección del protocolo también debe responder a la red disponible. DoT utiliza una conexión TLS dedicada a través del puerto 853. DoH integra la consulta DNS dentro del tráfico HTTPS habitual, normalmente por el puerto 443. En términos prácticos:

Configura primero el servicio DNS

Antes de entrar en el panel del router, define el proveedor y anota los datos que solicita el firmware. La configuración mínima suele incluir:

• Dirección IPv4 del servidor DNS.
• Nombre de host TLS o HTTPS.
• Protocolo disponible: DoT, DoH o ambos.
• Puerto, si el router no lo completa automáticamente.
• Direcciones IPv6, si la red utiliza IPv6.
• Modo de validación del servidor, cuando el fabricante lo ofrece.

Para una prueba inicial puedes utilizar un proveedor generalista como Cloudflare, Google o Quad9. No los trates como opciones equivalentes en todos los aspectos: sus políticas de registro, filtros y respuesta ante dominios maliciosos pueden diferir. Si la red se utiliza para actividades de formación, trabajo comunitario o gestión de datos sensibles, documenta la decisión. La capacidad instalada no consiste solo en activar una opción: también incluye saber qué servicio has elegido y por qué.

Haz una copia de la configuración actual del router antes de modificarla. En muchos equipos encontrarás una opción de exportación en el apartado de administración. Si algo falla, podrás volver al estado anterior sin reconstruir toda la red.

A continuación, planifica una ventana breve de intervención. Al guardar los cambios, algunos routers reinician el servicio de internet o fuerzan una renovación de las direcciones de red. No realices la modificación durante una videollamada, una clase o una actividad que dependa de la conexión.

Implementar DNS sobre TLS en routers ASUS

Los routers ASUS con versiones de firmware posteriores a la 3.0.0.4.386.4xxxx admiten DoT desde la configuración de conexión a internet. La ruta habitual es:

WAN > Conexión a Internet

La denominación exacta puede variar según el modelo y la versión del firmware, pero debes localizar el apartado relacionado con la privacidad o el cifrado DNS. En algunos equipos aparece como DNS Privacy Protocol o con una etiqueta equivalente.

El procedimiento operativo es el siguiente:

1. Accede al panel de administración del router desde la red local.

2. Abre la configuración de la conexión WAN o de internet.

3. Localiza el apartado de privacidad DNS.

4. Selecciona DNS sobre TLS.

5. Añade un perfil de servidor con la dirección IP del resolvedor.

6. Introduce el nombre de host TLS correspondiente.

7. Mantén el puerto 853, salvo que el proveedor indique otro.

8. Elige el modo de validación.

9. Guarda los cambios y reinicia la conexión si el router lo solicita.

10. Comprueba la resolución desde varios dispositivos de la red.

ASUS ofrece dos comportamientos relevantes: Strict, o estricto, y Opportunistic, u oportunista. La traducción puede variar en la interfaz, pero la diferencia técnica es clara.

El modo estricto exige verificar la identidad del servidor remoto. Si el router no puede autenticar correctamente el servidor DNS, no completa la resolución mediante ese servicio. Es la opción adecuada cuando priorizas la integridad de la conexión y prefieres que una incidencia de autenticación detenga el DNS antes que volver a una resolución sin cifrar.

El modo oportunista permite continuar la resolución aunque falle la autenticación. Puede ser útil en redes donde necesitas mantener la disponibilidad y estás dispuesto a aceptar una protección menor en caso de error. No lo confundas con una mejora de privacidad: la continuidad del servicio y la verificación de identidad son objetivos diferentes.

En la configuración manual, ASUS puede pedir:

• La IP del servidor, por ejemplo 8.8.8.8.
• El nombre de host TLS, como dns.google.
• El puerto TLS, normalmente 853.
• Una huella digital SPKI, si quieres reforzar la comprobación del servidor.

La huella SPKI no debe rellenarse con un valor improvisado. Si el proveedor la proporciona, copia el dato desde su documentación oficial y registra la fecha en que lo incorporaste. Si no dispones de una huella fiable, utiliza la validación por nombre de host que permita el firmware, pero no inventes un valor para completar el campo.

Cómo validar que el router está utilizando DoT

No des por terminada la tarea porque el panel muestre “guardado”. Comprueba el resultado desde la red:

1. Cierra y vuelve a abrir la conexión del dispositivo de prueba.

2. Verifica que obtiene acceso normal a varios dominios.

3. Comprueba que el router muestra el perfil DNS como activo.

4. Revisa si existe un registro de eventos con errores de autenticación o resolución.

5. Repite la prueba con una conexión IPv4 y otra IPv6, si ambas están activadas.

6. Compara el comportamiento antes y después de la configuración.

Si el modo estricto deja la red sin resolución, no cambies inmediatamente a un DNS sin cifrar. Primero revisa el nombre de host, la IP, el puerto y la compatibilidad del firmware. Después prueba con otro proveedor compatible. La iteración ordenada ahorra tiempo y evita que una incidencia puntual se convierta en una política insegura para toda la red.

Gestionar el DNS cifrado en routers TP-Link

En varios routers TP-Link de la serie AX, la configuración de DNS privado aparece dentro de los ajustes avanzados de internet o de privacidad DNS. El nombre exacto depende del modelo, la región y la versión del firmware.

La lógica de funcionamiento suele incluir dos opciones:

• Modo predeterminado: utiliza el DNS seguro cuando está disponible, pero vuelve al DNS no cifrado si los servidores configurados fallan.
• Modo ultra seguro: interrumpe la resolución DNS si no puede utilizar los servidores seguros.

El modo predeterminado favorece la disponibilidad. Si el proveedor DNS está temporalmente inaccesible, la red sigue resolviendo dominios mediante una alternativa sin cifrado. Eso puede evitar una interrupción doméstica, pero rompe la garantía de que todas las consultas se mantendrán protegidas.

El modo ultra seguro aplica una política más consistente: o se utiliza el DNS cifrado o no hay resolución. Es una opción más apropiada para una red en la que la privacidad de las consultas tiene prioridad sobre la continuidad automática. Antes de activarlo, prepara un procedimiento de recuperación y asegúrate de que puedes acceder de nuevo al panel del router aunque la resolución DNS falle.

Una secuencia de configuración razonable sería:

1. Entra en el panel del router TP-Link.

2. Abre los ajustes avanzados de internet o DNS.

3. Activa la función de DNS privado o seguro.

4. Introduce los servidores compatibles con DoH o DoT.

5. Selecciona el modo predeterminado durante la primera prueba.

6. Comprueba la resolución desde dos o tres dispositivos.

7. Revisa los registros del router y los errores de conectividad.

8. Cambia al modo ultra seguro si la red necesita impedir cualquier caída a DNS sin cifrar.

9. Documenta el proveedor, el protocolo y el comportamiento de respaldo.

Empieza con el modo predeterminado si estás desplegando la configuración en una red que no puedes interrumpir. Después evalúa el resultado. Si descubres que el servicio seguro falla con frecuencia, no mantengas el modo ultra seguro sin investigar la causa: podrías provocar una red aparentemente conectada, pero incapaz de abrir dominios.

La opción de respaldo no es un detalle de interfaz. Define si la red prioriza la disponibilidad o la aplicación estricta de una política de privacidad.

IPv6: el punto que puede dejar una puerta abierta

Una configuración correcta para IPv4 no garantiza que las consultas IPv6 estén cifradas. Si el router tiene IPv6 activado y no defines sus servidores DNS seguros, algunos dispositivos pueden enviar las consultas por la vía proporcionada automáticamente por el proveedor de internet.

Este es uno de los errores más habituales en despliegues domésticos y comunitarios. El administrador configura 1.1.1.1, 8.8.8.8 o 9.9.9.9 para IPv4, comprueba que la navegación funciona y considera terminado el trabajo. Sin embargo, el dispositivo puede preferir IPv6 para determinadas conexiones y utilizar servidores DNS distintos.

La hoja de ruta debe incluir una revisión específica:

• Comprueba si el router anuncia conectividad IPv6 en la red local.
• Abre el apartado de configuración IPv6.
• Introduce las direcciones DNS IPv6 cifradas que proporcione el servicio elegido.
• Revisa si el firmware permite DoT o DoH también en IPv6.
• Comprueba que no existe una ruta alternativa hacia DNS sin cifrar.
• Repite las pruebas desde un móvil y un ordenador, no solo desde el panel del router.

Si el firmware no permite configurar DNS cifrado para IPv6, tienes que decidir entre varias estrategias: actualizar el firmware, utilizar un router con mejores capacidades, desactivar IPv6 si el entorno lo permite o aceptar que la política de protección no es completa. La decisión depende de la red y de sus necesidades. Lo que no conviene es presentar la configuración como integral cuando solo cubre IPv4.

En una organización, registra esta limitación en la documentación técnica. Quien herede la administración debe saber qué parte de la política está desplegada y qué parte queda pendiente.

Dispositivos IoT y redirección del DNS no cifrado

Los móviles y ordenadores suelen respetar la configuración DNS entregada por el router, pero los televisores inteligentes, cámaras, consolas y otros dispositivos IoT pueden comportarse de otra manera. Algunos incorporan servidores DNS manuales, otros mantienen configuraciones internas y ciertos equipos ignoran la información recibida por DHCP.

Los routers GL.iNet ofrecen una función denominada Override DNS Settings for All Clients. Cuando está disponible, intercepta el tráfico DNS no cifrado de los clientes locales y lo redirige al resolvedor cifrado configurado en el router. Esto resulta útil para dispositivos que no permiten cambiar su DNS o que intentan utilizar servidores propios.

La redirección forzada tiene que desplegarse con cuidado. No sustituye al cifrado del tráfico general ni impide que una aplicación utilice otros mecanismos de resolución, como su propio DoH integrado. Además, una política demasiado rígida puede romper dispositivos que dependen de servicios DNS específicos del fabricante.

Para introducirla de forma controlada:

1. Haz un inventario de los dispositivos conectados.

2. Separa ordenadores y móviles de los equipos IoT.

3. Activa la redirección en una red de prueba o durante una ventana de mantenimiento.

4. Comprueba televisores, cámaras, asistentes de voz y consolas.

5. Revisa si aparecen errores de actualización, inicio de sesión o acceso a servicios.

6. Mantén una vía de administración local por si la resolución deja de funcionar.

7. Documenta las excepciones en lugar de desactivar toda la política.

La segmentación por redes puede ayudar. Si el router lo permite, coloca los dispositivos IoT en una red separada y aplica allí una política DNS distinta. Así puedes probar la redirección sin afectar a todos los usuarios. Es una mejora de arquitectura, no un requisito para comenzar, pero permite escalar la gestión con menos riesgo.

Cuando el navegador ignora el DNS del router

Firefox, Chrome y Edge pueden activar su propio sistema de DNS seguro mediante DoH. Cuando el navegador utiliza esa función, la consulta no pasa necesariamente por el servidor DNS que has configurado en el router. Desde la perspectiva de la red, esto significa que una política centralizada puede quedar incompleta.

El problema no es que el DNS del navegador sea necesariamente peor. El problema es la falta de coherencia. Puedes haber definido Quad9 en el router, mientras el navegador utiliza otro proveedor con criterios de privacidad y filtrado diferentes. En una red familiar, quizá solo genere resultados distintos. En un aula, una oficina o una organización comunitaria, complica la supervisión y la resolución de incidencias.

Si quieres que el router sea el punto central de control, revisa la función de DNS seguro en cada navegador:

• Abre la configuración de privacidad o seguridad.
• Localiza la opción de DNS seguro o resolución segura.
• Comprueba si está activa.
• Desactívala para que el navegador utilice la configuración del sistema.
• Si necesitas mantenerla, selecciona un proveedor coherente con la política de la red.
• Repite la prueba después de cerrar y abrir el navegador.

No todos los dispositivos ofrecen el mismo nivel de control. Los usuarios pueden instalar aplicaciones que utilicen sus propios resolutores, y algunos servicios integran mecanismos de resolución dentro de la aplicación. Por eso conviene describir el alcance con precisión: el router protege y centraliza las consultas que pasan por él, pero no controla automáticamente todos los canales que cada dispositivo pueda abrir.

Cambiar el DNS para evitar bloqueos: alcance real

El cambio de DNS puede modificar el resultado cuando un bloqueo se aplica exclusivamente mediante manipulación o filtrado de respuestas DNS. En ese caso, un proveedor diferente puede resolver el dominio de otra forma. Pero no es correcto presentar el DNS cifrado como una herramienta universal para evitar bloqueos.

La conexión puede estar restringida por otros mecanismos:

• Bloqueo de la dirección IP del servidor.
• Filtrado mediante el nombre de host indicado en la conexión.
• Restricciones aplicadas dentro de una plataforma o aplicación.
• Medidas de control en el propio dispositivo.
• Interferencias con servicios de autenticación, geolocalización o distribución de contenidos.

Además, elegir un proveedor DNS privado no elimina necesariamente todos los registros. El proveedor DNS sigue viendo las consultas que recibe y puede aplicar sus propias políticas de conservación y tratamiento. Antes de adoptar un servicio, consulta sus condiciones y decide si encaja con la sensibilidad de la red.

La configuración debe presentarse como una capa de protección y gestión, no como una promesa absoluta de anonimato. En una estrategia de derechos digitales, esa diferencia importa: las personas usuarias necesitan saber qué riesgo se reduce y cuál permanece.

Errores frecuentes durante el despliegue

Los fallos más comunes no suelen estar en el cifrado, sino en la planificación.

Activar el protocolo sin comprobar el respaldo

Si eliges el modo estricto o ultra seguro y el servidor está mal configurado, la red puede quedarse sin resolución DNS. Haz la primera prueba con un único router o una red separada. Conserva una copia de la configuración y una dirección local de administración.

Introducir la IP correcta con un nombre de host incorrecto

DoT no consiste únicamente en enviar tráfico al puerto 853. El router debe verificar que está conectándose al servidor esperado. Una IP válida acompañada de un nombre TLS que no corresponde puede provocar errores de autenticación.

Olvidar IPv6

Es el error de cobertura más serio. Si solo configuras IPv4, no describas el despliegue como “DNS cifrado para toda la red”. Comprueba ambas familias de direcciones o deja documentada la limitación.

No probar con varios tipos de clientes

Un ordenador moderno no representa el comportamiento de una cámara, una televisión o un navegador con DoH propio. La validación debe incluir, como mínimo, un móvil, un ordenador y un dispositivo IoT.

Confundir DNS cifrado con tráfico web cifrado

DoT y DoH protegen la consulta DNS. No sustituyen HTTPS, una red privada virtual, controles de acceso, actualizaciones de seguridad ni una política de contraseñas. Son una pieza concreta dentro de una arquitectura de seguridad más amplia.

No registrar los cambios

Anota el modelo del router, la versión del firmware, el proveedor DNS, el protocolo, el modo de respaldo y las pruebas realizadas. Esa documentación convierte una intervención puntual en una capacidad instalada que otra persona puede mantener.

Hoja de ruta para una red pequeña

Si vas a desplegar esta configuración en una asociación, aula, telecentro o espacio comunitario, trabaja por fases.

Fase 1: inventario. Identifica el modelo del router, la versión de firmware, el uso de IPv6 y los tipos de dispositivos conectados. No empieces por modificar ajustes que todavía no puedes describir.

Fase 2: piloto. Selecciona un proveedor DNS y prueba DoT o DoH con dos dispositivos. Comprueba navegación, videollamadas, actualizaciones y acceso a servicios habituales.

Fase 3: política. Decide si la red debe mantener la conexión mediante un respaldo sin cifrar o interrumpir la resolución cuando el servicio seguro falle. Esa decisión debe quedar escrita y ser comprensible para quienes administran el espacio.

Fase 4: cobertura. Configura IPv4 e IPv6, revisa el DoH de los navegadores y evalúa la redirección de clientes si existen dispositivos que ignoran el DNS entregado por DHCP.

Fase 5: validación. Repite las pruebas desde diferentes segmentos de red y con diferentes tipos de cliente. Registra errores y excepciones.

Fase 6: mantenimiento. Revisa el firmware del router, confirma que el proveedor sigue ofreciendo el servicio configurado y vuelve a probar después de cada actualización importante.

La configuración de DNS cifrado en el router funciona mejor cuando se gestiona como un pequeño proyecto técnico: alcance definido, piloto, criterios de aceptación, documentación y revisión. El objetivo no es acumular opciones de privacidad, sino construir una red cuyo comportamiento puedas explicar y mantener.

Próximos pasos

Empieza por confirmar si tu router admite DoT o DoH de forma nativa. Si no lo permite, valora una actualización de firmware o un equipo con funciones de privacidad DNS mejor documentadas. No instales firmware de terceros en un router de producción sin preparar antes un procedimiento de recuperación.

Después elige el proveedor DNS según la política que necesites, no solo por la dirección IP más conocida. Configura el protocolo en el router, revisa el comportamiento de respaldo y comprueba IPv6. A continuación, audita navegadores y dispositivos IoT para detectar rutas que puedan saltarse la configuración central.

Por último, deja una hoja de ruta breve para el siguiente administrador: qué se configuró, qué se verificó, qué limitaciones permanecen y cómo restaurar el servicio si el DNS cifrado falla. Esa es la diferencia entre cambiar un ajuste y mejorar realmente la gobernanza de una red.