A medida que internet evoluciona, las estrategias de ataque también se vuelven más dañinas y sofisticadas. Por eso, cifrar el tráfico DNS es esencial para mejorar la privacidad en internet y evitar la vigilancia no autorizada o los ataques de suplantación de DNS. Una forma de conseguirlo es activar DNS over TLS (DoT), un protocolo DNS seguro que cifra el tráfico del sistema de nombres de dominio (DNS) mediante Transport Layer Security (TLS).
Windows 11 admite de forma nativa DNS over HTTPS (DoH) a través de un método basado en el registro. En esta guía te explicamos todo lo que necesitas saber para habilitar DNS over TLS en Windows 11: requisitos previos, métodos de configuración paso a paso y formas de comprobar que funciona correctamente.
Requisitos previos
Antes de empezar, tu sistema debe cumplir estos requisitos:
- Válido para todas las ediciones de Windows 11: estos pasos funcionan en Windows 11 Home, Pro y Enterprise.
- Acceso a servidores DNS compatibles con DoT: necesitarás proveedores de DNS que admitan DNS over TLS, como Quad9, Cloudflare o NextDNS.
- Privilegios de administrador: este método requiere derechos de administrador.
- Requiere la compilación 25158 o posterior: la función se admite a partir de Windows 11 Insider Build 25158+ (el despliegue de la función puede variar).
Además, tienes que configurar tu adaptador de red para que use un servidor DNS compatible con DoT. Así se hace:
- Pulsa la tecla Windows + I para abrir Configuración.
- Ve a Red e Internet.
- Para Wi-Fi: Wi-Fi > tu red conectada > Propiedades de hardware
- Para Ethernet: Ethernet > Propiedades
- En la asignación de servidores DNS, haz clic en Editar.
- Cambia a Manual y activa IPv4.
- Introduce las direcciones DNS de Quad9:
- DNS preferido: 9.9.9.9
- DNS alternativo: 149.112.112.112
- (Opcional) Configura IPv6:
- DNS preferido: 2620:fe::fe
- DNS alternativo: 2620:fe::9
- Repite el proceso para las entradas preferida y alternativa.
- Haz clic en Guardar y vuelve a conectar la red.
Una vez hecho esto, puedes continuar con el método del Editor del Registro para forzar el DNS cifrado.
Pasos para configurar DNS over TLS (DoT)
⚠️ Advertencia: editar el registro puede provocar problemas en el sistema. Crea una copia de seguridad antes de continuar.
💡 Nota: no existe ninguna clave de registro que fuerce el uso exclusivo de DoT. Este método habilita el DNS cifrado y deja la elección del protocolo (DoT o DoH) en manos de Windows y del solucionador de DNS.
Para configurar DNS over TLS (DoT) en Windows 11 puedes usar el Editor del Registro. Este método es el más adecuado para usuarios avanzados o administradores de TI que gestionan varios sistemas.
Estos son los pasos:
- Abre el Editor del Registro:
- Pulsa la tecla Windows + R, escribe regedit y pulsa Intro.
- Ve a los parámetros del cliente DNS:
- Dirígete a: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters
- Crea o modifica las entradas del solucionador:
- En este paso vas a configurar valores de registro que indican a Windows que use DNS cifrado. Aunque Microsoft no ofrece una configuración de registro exclusiva para DoT, estos valores imponen un comportamiento de DNS cifrado. Windows negociará DoT o DoH, según lo que admita el servidor DNS indicado. Así se hace:
- Añade la clave DoHServerList. Haz clic derecho en el panel derecho y elige Nuevo > Valor de cadena.
- Ponle este nombre: DoHServerList
- Haz doble clic en ella e introduce la URL de un solucionador seguro, como: https://dns.quad9.net/dns-query
- Añade la clave DoHPolicy. Haz clic derecho en el panel derecho y elige Nuevo > Valor DWORD (32 bits).
- Ponle este nombre: DoHPolicy
- Haz doble clic en ella y asigna el valor 2
- En este paso vas a configurar valores de registro que indican a Windows que use DNS cifrado. Aunque Microsoft no ofrece una configuración de registro exclusiva para DoT, estos valores imponen un comportamiento de DNS cifrado. Windows negociará DoT o DoH, según lo que admita el servidor DNS indicado. Así se hace:
Esta configuración impone la resolución DNS cifrada (DoH o DoT, según cuál se admita).
Cómo comprobar que DNS over TLS funciona
Una vez configurado un solucionador de DNS seguro, confirma que DNS over TLS está activo. Puedes hacerlo de dos formas:
Método 1: el más sencillo – nslookup
La manera más fácil de confirmar que DNS over TLS está activo es ejecutar una prueba rápida de resolución:
- Pulsa la tecla Windows, escribe cmd y abre el Símbolo del sistema.
- Ejecuta el siguiente comando:
nslookup google.com
- Si DoT está bien configurado, deberías ver tu servidor DNS seguro en la parte superior del resultado. Por ejemplo:
Server: dns9.quad9.net
Address: 9.9.9.9
Si el resultado muestra el solucionador compatible con DoT que has configurado (por ejemplo, Quad9, Cloudflare o NextDNS), el DNS cifrado está funcionando.
Método 2: verificación avanzada – netstat, Wireshark, PowerShell
Para confirmar con más detalle que se está usando DoT (y no DoH ni DNS en texto plano), también puedes hacer lo siguiente:
- Pulsa la tecla Windows para abrir el menú Inicio y escribe PowerShell. Haz clic en PowerShell.
- Ejecuta el siguiente comando:
Get-DnsClientDohServerAddress. Mostrará una lista de los servidores DNS cifrados configurados en tu sistema.- Si tu solucionador compatible con DoT/DoH (por ejemplo, Quad9, Cloudflare o NextDNS) aparece en el resultado, el DNS cifrado está activo.
- Si no aparece ninguna entrada, o solo aparecen solucionadores en texto plano, la configuración no se ha aplicado correctamente.
- Para confirmar que se está usando DoT (y no DoH ni DNS en texto plano), puedes recurrir a netstat y buscar conexiones salientes en el puerto 853, reservado para DNS over TLS.
- Ejecuta el siguiente comando:
netstat -an | findstr :853 - Si ves entradas con una conexión ESTABLISHED a tu servidor DNS en el puerto 853, DoT está activo.
- Ejecuta el siguiente comando:
- También puedes usar Wireshark o netstat para confirmar el tráfico DNS cifrado en el puerto 853 (para DoT).
- Abre Wireshark e inicia una captura en tu interfaz de red activa.
- En la barra de filtros, introduce lo siguiente: tcp.port == 853
- Así solo se mostrará el tráfico de DNS over TLS. Si ves paquetes hacia o desde el servidor DNS que has configurado (por ejemplo, 9.9.9.9), queda confirmado que se está usando DoT.
- Otra opción es consultar el diagnóstico de tu solucionador de DNS desde un navegador después de la configuración.
⚠️ Aspectos a tener en cuenta
| Riesgos | Posibles consecuencias | Cómo revertirlo |
| Configuración incorrecta del registro | La resolución DNS puede fallar o los solucionadores cifrados no aplicarse. | Abre el Editor del Registro. Ve a HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters. Revisa o elimina las claves DoHPolicy o DoHServerList incorrectas. |
| AllowFallbackToUdp configurado como $true | Si el respaldo está habilitado, el sistema puede volver a usar DNS sin cifrar cuando DoT falla. | Vuelve a configurarlo con el respaldo deshabilitado:
|
| Firewall que bloquea el puerto 853 | El tráfico de DNS over TLS se bloquea, lo que puede hacer que el DNS falle o pase a texto plano. | Asegúrate de permitir el tráfico TCP saliente en el puerto 853. Compruébalo con:
|
| Uso de un proveedor de DNS sin compatibilidad con DoT | El DNS cifrado no funcionará; el sistema puede pasar a texto plano o a DoH. | Cambia a un solucionador que admita DoT (por ejemplo, Quad9 – 9.9.9.9, Cloudflare – 1.1.1.1, NextDNS). |
¿Por qué usar DNS over TLS?
Hay varios motivos por los que usar DNS over TLS se ha vuelto imprescindible. Estos son algunos:
- Proteger el DNS: al cifrar las consultas DNS, DoT protege las peticiones de los endpoints frente a la interceptación y la manipulación.
- Mejorar la privacidad en la resolución DNS de los endpoints: DoT impide que las consultas de dominios se rastreen con facilidad.
- Favorecer una comunicación DNS segura: DNS over TLS refuerza la protección en comunicaciones donde la interceptación de DNS es más probable, como en entornos empresariales y en redes públicas.
- Cumplir las políticas de seguridad actuales: algunos sectores, marcos normativos o líneas base de seguridad recomiendan o exigen protocolos DNS cifrados.
Otras consideraciones
Estos son algunos factores que debes tener en cuenta al habilitar DNS over TLS (DoT):
- Puerto TCP 853: DoT utiliza el puerto 853; asegúrate de que no esté bloqueado por firewalls ni políticas de red. Si usas el Firewall de Windows Defender, puede que tengas que permitir las conexiones TCP salientes en el puerto 853 desde Firewall de Windows Defender con seguridad avanzada.
- Deshabilitar el respaldo a DNS en texto plano: Fallback:
-AllowFallbackToUdp $falsegarantiza que no se use DNS en texto plano si el cifrado falla. - Túnel dividido y VPN: el DNS cifrado puede entrar en conflicto con la configuración DNS que imponen las VPN corporativas.
- Limitaciones de las directivas de grupo: la compatibilidad nativa de GPO con DoT es limitada. Para despliegues empresariales se recomienda usar scripts.
Habilitar DNS over TLS (DoT) en Windows 11
En una época de intrusiones y ciberataques cada vez más sofisticados, habilitar DNS over TLS se ha convertido en una defensa valiosa para mejorar la privacidad de tu sistema. Esta estrategia cifra el tráfico DNS y reduce el riesgo de interceptación o suplantación. Aunque la configuración no está disponible directamente desde la interfaz gráfica, DoT se puede configurar editando el registro. Puedes confirmar que la configuración ha funcionado con PowerShell o con una captura de red que muestre el uso del puerto 853 (DoT).
