5 configuraciones DNS para mejorar la privacidad de tu red

Escudo de seguridad digital representando la protección de la privacidad en la red mediante configuraciones DNS en un homelab.

Si te preocupa la privacidad de tu red, hay un ajuste que puedes hacer hoy mismo y que tiene más impacto del que parece: configurar bien el DNS.

No es la solución mágica a todos los problemas de privacidad. Cambiar el DNS no te hace anónimo, no impide que una web te rastree con cookies, no oculta tu IP pública y no sustituye a una VPN cuando necesitas cifrar todo el tráfico hasta otro punto.

Pero sí mejora algo muy importante: quién resuelve los dominios que visitas, cómo viajan esas consultas y qué control tienes sobre anuncios, rastreadores, malware y telemetría dentro de tu red.

Y eso, en una casa con móviles, portátiles, Smart TV, domótica, cámaras, consolas y dispositivos IoT, no es poca cosa.

Este artículo va de eso: cinco configuraciones DNS que puedes aplicar para que tu red sea más privada, más segura y más controlable. Sin complicarte más de la cuenta.

1. Deja de usar el DNS de tu operadora

Este es el cambio más sencillo.

Por defecto, tu router suele entregar por DHCP los DNS de tu operadora. Eso significa que muchas de tus consultas DNS pasan por ella. Y aunque el contenido de las webs vaya por HTTPS, las consultas DNS pueden revelar bastante: qué dominios visitas, cuándo se resuelven y con qué frecuencia.

Matiz importante: si toda tu casa sale por un router con NAT, tu operadora no siempre ve “el móvil de Julio consultó esto” de forma directa. Pero sí puede ver las consultas que salen de tu conexión si usas sus DNS, y eso ya es bastante información.

Cambiar de DNS consiste en usar un resolver diferente al de tu operadora. Las opciones más conocidas son:

Cloudflare 1.1.1.1: rápido, muy popular y con enfoque fuerte en privacidad. Soporta DNS-over-HTTPS y DNS-over-TLS.
Quad9 9.9.9.9: muy interesante si quieres añadir bloqueo de dominios maliciosos conocidos. En privacidad, su política es especialmente clara respecto a no recopilar IPs de usuarios.
NextDNS: más avanzado. Permite perfiles, listas de bloqueo, estadísticas, logs configurables y políticas por dispositivo. Tiene plan gratuito con límite de consultas.
Google Public DNS 8.8.8.8: rápido, global y muy fiable, pero con una política de privacidad que conviene leer antes de elegirlo como opción “privada”.

Cuidado: cambiar DNS no siempre significa más privacidad

Este punto es importante. Cambiar de DNS no elimina la confianza; la mueve.

Si usas el DNS de tu operadora, confías en tu operadora. Si usas Cloudflare, confías en Cloudflare. Si usas Quad9, confías en Quad9. Si usas Google, confías en Google. Y si montas Pi-hole o AdGuard Home en casa, sigues necesitando elegir a qué upstream preguntar.

Mi forma de verlo es sencilla:

Cloudflare me parece una opción muy cómoda cuando quieres rapidez, disponibilidad y privacidad razonable.
Quad9 me gusta especialmente cuando quiero sumar seguridad contra dominios maliciosos sin complicarme.
NextDNS tiene sentido si quieres control granular, perfiles y estadísticas sin montar infraestructura propia.
Google Public DNS lo usaría como opción fiable, pero no como primera elección si la privacidad DNS es mi prioridad.

¿Significa eso que Google DNS sea “malo”? No. Significa que no todos los DNS juegan en la misma liga de privacidad, y que conviene elegir sabiendo qué hace cada proveedor con tus consultas.

2. Activa DNS-over-HTTPS o DNS-over-TLS

Cambiar el resolver está bien. Pero si las consultas DNS viajan sin cifrar, alguien en la red local o en el camino puede verlas o manipularlas.

Ahí entran dos protocolos:

DNS-over-HTTPS (DoH): DNS encapsulado sobre HTTPS.
DNS-over-TLS (DoT): DNS protegido mediante TLS, normalmente en el puerto 853.

La idea es sencilla: la consulta DNS viaja cifrada. Eso reduce la posibilidad de que tu operadora, una WiFi pública, un atacante en la red local o un equipo intermedio vea o modifique fácilmente los dominios que estás resolviendo.

Un matiz importante: si activas DoH directamente en el navegador hacia un proveedor externo, puedes saltarte el DNS filtrado de tu red. No es bueno ni malo por sí mismo, pero hay que entenderlo. Si quieres que Pi-hole o AdGuard Home tengan visibilidad, conviene decidir dónde se resuelve el DNS y no mezclar capas sin saberlo.

Pero otra vez, matiz: DoH y DoT cifran la consulta en tránsito, no hacen que el proveedor DNS deje de saber lo que le preguntas. Si usas Cloudflare por DoH, Cloudflare sigue resolviendo tus consultas. Si usas Quad9 por DoT, Quad9 sigue siendo tu resolver. La privacidad mejora frente al camino, pero sigues confiando en el resolver.

En navegadores modernos como Chrome, Firefox o Edge puedes activar DNS seguro. En Android 9 o superior tienes “DNS privado”, que usa DNS-over-TLS y requiere un hostname, no una IP. Por ejemplo:

1dot1dot1dot1.cloudflare-dns.com para Cloudflare.
dns.quad9.net para Quad9.
El hostname personalizado que te dé NextDNS si usas su servicio.

Y si quieres hacerlo a nivel de toda la red, herramientas como AdGuard Home permiten usar upstreams cifrados con DoH o DoT sin tocar cada dispositivo uno por uno.

3. Bloquea anuncios y rastreadores a nivel de red

El siguiente paso es usar un DNS que no solo resuelva dominios, sino que también filtre.

Ahí entran Pi-hole y AdGuard Home. Ambos actúan como DNS local: tus dispositivos preguntan a Pi-hole o AdGuard Home, y ellos deciden si el dominio se resuelve o se bloquea.

Esto permite bloquear muchos dominios de:

Publicidad.
Rastreadores.
Telemetría.
Malware.
Phishing.
Dominios sospechosos.

La ventaja es enorme: aplicas una capa común para toda la red. Smart TV, móviles, tablets, consolas, cámaras, domótica, portátiles… todos pasan por el mismo filtro si el router entrega ese DNS por DHCP.

Pero no hay que vender humo: un bloqueador DNS no sustituye a uBlock Origin en el navegador. A nivel DNS puedes bloquear dominios enteros, pero no puedes eliminar elementos concretos de una página, scripts servidos desde el mismo dominio o anuncios que comparten infraestructura con el contenido.

Por eso YouTube, redes sociales y algunas apps modernas son difíciles de filtrar solo con DNS. Pi-hole y AdGuard Home reducen muchísimo ruido, pero no hacen magia.

Si quieres una comparativa detallada, tengo el artículo de Pi-hole vs AdGuard Home, donde cuento cuál uso según el escenario y por qué.

Cómo cambiar el DNS sin tocar el router

No siempre tienes acceso al router. O quizá no quieres cambiar toda la red de golpe. En ese caso puedes configurar el DNS por dispositivo.

Windows 10 y 11

Ve a Ajustes → Red e Internet → Wi-Fi o Ethernet → Propiedades del hardware → Asignación de servidor DNS → Editar.

Selecciona manual, activa IPv4 y añade:

DNS preferido: 1.1.1.1
DNS alternativo: 1.0.0.1

Si prefieres Quad9:

DNS preferido: 9.9.9.9
DNS alternativo: 149.112.112.112

macOS

En macOS, entra en Ajustes del Sistema → Red → Wi-Fi o Ethernet → Detalles → DNS y añade los servidores que quieras usar.

Por ejemplo:

1.1.1.1
1.0.0.1

Android

En Android moderno, la opción más limpia es usar DNS privado.

Ve a Ajustes → Red e Internet → DNS privado o una ruta similar según fabricante.

Elige Nombre de host del proveedor de DNS privado y escribe un hostname, no una IP:

1dot1dot1dot1.cloudflare-dns.com

dns.quad9.net

Esto usa DNS-over-TLS. Si fuerzas un proveedor y ese proveedor no responde, Android puede quedarse sin resolución DNS hasta que lo corrijas. Así que escribe bien el hostname.

iOS / iPadOS

Para una red Wi-Fi concreta, ve a Ajustes → Wi-Fi → icono de información → Configurar DNS → Manual.

Elimina los DNS existentes y añade los nuevos:

1.1.1.1
1.0.0.1

Si quieres aplicar DNS cifrado de forma más global, proveedores como Cloudflare, Quad9 o NextDNS ofrecen perfiles de configuración. En ese caso conviene descargar siempre el perfil desde la web oficial del proveedor, no desde enlaces raros.

Linux

En la mayoría de distribuciones con NetworkManager puedes hacerlo desde la interfaz gráfica:

Ajustes → Red → Wi-Fi o Cableada → IPv4 → DNS automático desactivado.

O desde terminal con nmcli. Por ejemplo, suponiendo que tu conexión se llama Wired connection 1:

nmcli connection modify "Wired connection 1" ipv4.ignore-auto-dns yes
nmcli connection modify "Wired connection 1" ipv4.dns "1.1.1.1 1.0.0.1"
nmcli connection up "Wired connection 1"

No recomiendo editar /etc/resolv.conf a mano como solución permanente en sistemas modernos. En muchas distribuciones lo gestiona NetworkManager, systemd-resolved u otra capa, y tus cambios pueden desaparecer.

4. Segmenta tu DNS por perfiles de dispositivos

No todos los dispositivos de tu red necesitan el mismo nivel de filtrado.

El portátil de trabajo puede necesitar dominios que bloquearías en una Smart TV. La consola puede necesitar servicios que no quieres permitir en una red infantil. Y los dispositivos IoT deberían tener el mínimo acceso posible.

Pi-hole y AdGuard Home permiten aplicar reglas diferentes por clientes o grupos, aunque cada uno lo hace a su manera.

Pi-hole: permite asociar clientes, listas, dominios permitidos y dominios bloqueados a grupos.
AdGuard Home: permite configuración por cliente, reglas personalizadas, servicios bloqueados y diferentes políticas según dispositivo.

Ejemplos prácticos:

Perfil Adultos: filtrado normal de anuncios, rastreadores y malware.
Perfil Infantil: filtrado normal + contenido adulto + apuestas + Safe Search donde aplique.
Perfil Invitados: filtrado general y sin acceso a servicios internos.
Perfil IoT: filtrado más agresivo y vigilancia de telemetría.
Perfil Trabajo: filtrado más conservador para evitar romper VPN, SSO o herramientas corporativas.

Este punto ya es más avanzado. No lo montaría el primer día. Primero haría que toda la red use bien tu DNS. Luego, cuando veas qué dispositivos generan más ruido, empiezas a segmentar.

La clave es no bloquear por bloquear. La clave es entender qué necesita cada dispositivo y darle solo lo justo.

5. Monitoriza lo que sale de tu red

La última configuración no es de bloqueo, sino de visibilidad.

Y para mí es una de las más importantes.

No puedes proteger lo que no ves. Pi-hole y AdGuard Home muestran estadísticas de las consultas DNS que pasan por ellos:

Qué dispositivos hacen más consultas.
Qué dominios se consultan con más frecuencia.
Qué dominios se bloquean.
Qué porcentaje de consultas se filtra.
Qué apps o dispositivos parecen más “habladores”.

Con esa información puedes detectar cosas muy interesantes:

Una Smart TV que consulta telemetría cada pocos segundos.
Una app que contacta con dominios de tracking aunque no la estés usando.
Un dispositivo IoT que habla con servidores que no esperabas.
Un equipo que intenta resolver dominios asociados a phishing o malware.
Un móvil que se salta tu DNS usando DNS privado propio.

Si ya tienes Uptime Kuma en tu homelab, puedes monitorizar que tu servidor DNS responde. Y si quieres acceder a los paneles desde fuera, mi consejo es hacerlo por WireGuard o Tailscale, no exponiendo los paneles directamente a Internet.

Lo que DNS no soluciona

Configurar bien el DNS ayuda mucho, pero no lo arregla todo.

No oculta tu IP pública a las webs que visitas.
No elimina cookies ni fingerprinting del navegador.
No cifra todo tu tráfico como una VPN.
No bloquea todos los anuncios, especialmente si vienen del mismo dominio que el contenido.
No sustituye a un antivirus, firewall o buenas prácticas de seguridad.
No evita que una app use su propio DoH/DoT si no lo controlas por firewall o política.

La forma correcta de verlo es esta: DNS bien configurado es una capa más. Una capa muy útil, muy barata y muy agradecida, pero una capa.

En resumen

Con cinco configuraciones puedes pasar de “mi red resuelve como diga la operadora” a tener bastante más control:

1. Cambia el DNS de tu operadora por Cloudflare, Quad9 o NextDNS.
2. Usa DoH o DoT para cifrar las consultas DNS en tránsito.
3. Monta Pi-hole o AdGuard Home para filtrar anuncios, rastreadores y dominios sospechosos.
4. Segmenta por perfiles de dispositivo cuando ya tengas claro qué necesita cada uno.
5. Monitoriza las consultas para entender qué hace tu red cuando nadie mira.

No necesitas hacerlo todo el primer día.

Empieza por lo sencillo: cambia el DNS y activa DNS cifrado donde puedas. Después, cuando quieras dar el siguiente paso, monta Pi-hole o AdGuard Home. Y cuando ya tengas visibilidad, empieza a separar perfiles.

Tu red, tus datos, tus reglas.

Así debería funcionar Internet en casa.

¿Tú qué configuración DNS usas? ¿Cloudflare, Quad9, NextDNS, Pi-hole, AdGuard Home o algo propio? Cuéntalo en los comentarios — las experiencias reales enseñan más que cualquier lista de recomendaciones.

5 configuraciones DNS que mejoran la privacidad de tu red