DNS privado en Android o una app DoH

El DNS privado de Android cifra con DNS over TLS sin apps. Cuándo funciona mejor una app DoH, cómo chocan las dos opciones y qué no arregla ninguna.

Publicado 8 min de lecturaLeer en inglés →

Si has buscado "DNS cifrado en Android", seguramente te has topado con dos respuestas. Una dice: no necesitas ninguna app, basta con activar el DNS privado. La otra dice: instala una app que haga DNS over HTTPS. Las dos son razonables. Resuelven el mismo problema de formas distintas y fallan en sitios distintos. Esta guía explica cómo funciona cada una, dónde tiene problemas cada una y cómo elegir. Nosotros hacemos GreenTunnel, que incluye un cliente DoH, así que léelo teniendo eso en cuenta.

Qué es realmente el DNS privado

Google añadió el DNS privado en Android 9. Suele estar en Ajustes → Redes e Internet → DNS privado, aunque la ruta exacta cambia según el fabricante del teléfono. Tiene tres opciones:

  • Desactivado: las consultas van en texto plano al servidor DNS que entregue la red actual.
  • Automático: la opción por defecto. Android prueba DNS over TLS con el propio servidor DNS de la red y lo usa si ese servidor lo admite. Si no, las consultas siguen en texto plano. A esto se le suele llamar modo oportunista, y en la mayoría de las redes domésticas y móviles significa que no hay ningún cifrado.
  • Nombre de host del proveedor de DNS privado: escribes el nombre de host de un proveedor, por ejemplo dns.google para Google Public DNS. Entonces Android insiste en ese servidor. Si no puede llegar a él, no vuelve en silencio al DNS sin cifrar. El anuncio de Google dice que, en su lugar, Android marca la red como sin acceso a internet.

DNS over TLS está estandarizado en el RFC 7858 y usa su propio puerto, el 853. Ese puerto dedicado es a la vez su fortaleza y su debilidad: es limpio y ligero, pero también es fácil que una red lo reconozca y lo bloquee.

¿Y DNS over HTTPS en Android?

Hay un matiz que muchas guías pasan por alto. En julio de 2022 Google anunció que, mediante una actualización del sistema de Google Play, los dispositivos con Android 11 y posteriores usan DNS over HTTP/3 en lugar de DNS over TLS con los servidores DNS conocidos que lo admiten. Google y Cloudflare fueron los proveedores incluidos en el lanzamiento. La publicación de Google insiste en que el servicio DNS que usas no cambia, solo el transporte. Sigues escribiendo un nombre de host en la misma casilla de DNS privado. No hay ningún campo para una dirección DoH cualquiera, y con otros proveedores el DNS privado sigue siendo DNS over TLS.

Qué hace distinto una app DoH

Una app DoH, o una app de VPN con un cliente DoH, se encarga del DNS de todo el dispositivo a través del espacio de VPN de Android. Cada consulta viaja dentro de HTTPS hasta un servidor DoH como https://cloudflare-dns.com/dns-query, definido en el RFC 8484.

  • Usa el puerto 443. Para la red se parece mucho a cualquier otra conexión HTTPS. Una red que bloquea el puerto 853 para frenar DNS over TLS normalmente no la toca.
  • Tú eliges el servidor y el protocolo. Las apps pueden ofrecer proveedores DoH y DoT uno junto a otro y cambiar entre ellos.
  • Puede evitar por completo el resolvedor de la red. Un buen cliente se conecta a direcciones IP fijas de arranque (bootstrap) del servidor DoH, así que ni siquiera encontrar el servidor DNS depende del DNS de la red.
  • Ocupa el espacio de VPN. Android permite una sola VPN a la vez. Una app DoH no puede funcionar junto a otra app de VPN.

Lado a lado

DNS privado (nombre de host)App DoH
Necesita una app extraNoSí
ProtocoloDNS over TLS, o DNS over HTTP/3 con algunos proveedores conocidos en Android 11+DNS over HTTPS (algunas apps también ofrecen DoT)
Puerto853 para DoT443
Si el servidor está bloqueadoLa red aparece sin internet hasta que cambias el ajusteDepende de la app. Algunas cambian a otro proveedor
Usa el espacio de VPNNoSí
Funciona con otra app de VPNSí, con los conflictos que se describen abajoNo, solo una VPN a la vez
Ayuda contra el filtrado por nombre en HTTPSNoSolo si la app también lo hace

Dónde tiene problemas el DNS privado

  • Redes que bloquean el puerto 853. Algunos lugares de trabajo, centros de estudio y Wi-Fi públicos lo bloquean. En modo nombre de host, la red parece rota. Consulta ¿El sitio abre con datos móviles pero no con Wi-Fi? para ver cómo se manifiesta.
  • Peculiaridades de cada red. El ajuste es global, pero las redes no. Un nombre de host que funciona con datos móviles puede fallar en un Wi-Fi concreto.
  • Páginas de inicio de sesión en Wi-Fi público. Las redes de hoteles y cafeterías con página de acceso pueden fallar con un nombre de host fijo hasta que terminas de iniciar sesión. Cambiar a Automático un momento suele resolverlo.
  • Automático suele ir sin cifrar. La mayoría de los servidores DNS de los proveedores no ofrecen DNS over TLS, así que Automático se queda en silencio con el DNS sin cifrar.

Dónde tiene problemas una app DoH

  • Tiene que seguir funcionando. Si Android detiene la app para ahorrar batería, la protección del DNS también se detiene. Consulta cómo mantener una VPN funcionando en Android.
  • Bloquea otras VPN. No puedes combinarla con una VPN de trabajo en el mismo teléfono.
  • Su servidor puede bloquearse por dirección IP. El puerto 443 no sirve de nada si la red bloquea la dirección del servidor DoH. Los clientes que pueden pasar a otro proveedor lo llevan mejor.

El conflicto: DNS privado más una app de VPN

Desde Android 10, un nombre de host de DNS privado también se aplica mientras funciona una app de VPN. Las propias instrucciones de Google Public DNS señalan que en Android 9 una VPN anulaba el DNS privado, y que esto se corrigió en Android 10. En la práctica, si configuras un nombre de host y luego activas una app de VPN con su propio DNS, Android envía las consultas a tu proveedor de DNS privado. El DNS cifrado de la VPN y su lista de bloqueo nunca ven esos nombres. Si ese proveedor está bloqueado en la red actual, todos los sitios fallan.

Con GreenTunnel, pon el DNS privado en Desactivado o Automático mientras lo usas. Es una de las primeras comprobaciones de ¿El sitio sigue bloqueado?

Cómo gestiona GreenTunnel el DNS

GreenTunnel es una VPN local con un cliente de DNS cifrado integrado. En Ajustes → DNS eliges uno de tres proveedores, o Automático:

  • Cloudflare, DoH, https://cloudflare-dns.com/dns-query
  • Google, DoH, https://dns.google/dns-query
  • Quad9, DoT, dns.quad9.net:853

Automático prueba Cloudflare, luego Google, luego Quad9, y sigue usando el que respondió. A cada proveedor se llega mediante IP de arranque integradas, así que nunca se pregunta al DNS de tu proveedor de internet. DoQ no es compatible. La explicación completa está en DoH y DoT explicados.

La diferencia con una app solo de DNS es lo que pasa después de la consulta. GreenTunnel también reorganiza el primer paquete de las conexiones HTTPS para pasar el filtrado sencillo por nombre, muestra las conexiones por app en Requester y puede probar un sitio con Inspeccionar URL. Nunca recopilamos los dominios que consultas.

Límites honestos del DNS cifrado

El DNS cifrado, lo consigas como lo consigas, arregla un tipo de bloqueo: una red que falsea o descarta las respuestas DNS. No impide que una red lea el nombre del sitio en el handshake de HTTPS, para lo cual hace falta reorganizar paquetes o ECH. No pasa el bloqueo por IP. No oculta tu dirección IP, y tu proveedor todavía puede ver a qué direcciones te conectas. El proveedor de DNS que elijas ve tus consultas en lugar de tu proveedor de internet, así que elige uno cuya política te inspire confianza. GreenTunnel tampoco es una herramienta de anonimato.

¿Cuál deberías usar?

  • ¿Solo quieres cifrar las consultas en redes que se portan bien? El DNS privado con el nombre de host de un proveedor es sencillo y no necesita ninguna app.
  • ¿Tu red bloquea el puerto 853, falsea el DNS o filtra nombres de sitios? Una app DoH, idealmente una que también se ocupe del filtrado por nombre, encaja mejor. Pon el DNS privado en Desactivado o Automático.
  • ¿Ya usas una VPN de trabajo? Quédate con el DNS privado, porque solo puede funcionar una app de VPN.

GreenTunnel es gratis en Android y iPhone, con Premium opcional. Mira cómo funciona en la página de inicio.

Preguntas frecuentes

¿El DNS privado de Android usa DoH o DoT?

DNS over TLS en el puerto 853. Desde una actualización del sistema de Google Play de 2022, Android 11 y posteriores usan en su lugar DNS over HTTP/3 con algunos proveedores conocidos que lo admiten, empezando por Google y Cloudflare. No puedes introducir una dirección DoH personalizada.

¿Debo dejar el DNS privado activado mientras uso GreenTunnel?

Ponlo en Desactivado o Automático. Un nombre de host de proveedor hace que Android envíe las consultas directamente a ese proveedor, así que el DNS cifrado de GreenTunnel y tu lista de bloqueo quedan fuera.

¿DoH es más privado que DoT?

Ambos cifran la consulta igual de bien. La diferencia está en lo fácil que es detectarlos y bloquearlos. DoT usa un puerto dedicado, mientras que DoH se confunde con HTTPS en el puerto 443.

¿El DNS cifrado desbloqueará todos los sitios?

No. Solo arregla el bloqueo por DNS. Los sitios bloqueados por filtrado del nombre necesitan algo más, y los bloqueados por dirección IP necesitan una ruta totalmente distinta.

Fuentes

← Todos los artículos