DNS cifrado, DoT y DoH

El DNS clásico viaja sin cifrar, normalmente por el puerto 53. Hay dos variantes cifradas. DoT (DNS sobre TLS, RFC 7858) usa por defecto el puerto TCP 853: tiene un puerto propio, así que un cortafuegos lo distingue sin esfuerzo. DoH (DNS sobre HTTPS, RFC 8484) lleva las consultas dentro de conexiones HTTPS comunes, y desde la red se parece al tráfico web del puerto 443.

La consecuencia para el control es esa diferencia de visibilidad: DoT se puede permitir o cerrar por puerto; DoH exige distinguir a qué destino se conecta el equipo, porque el puerto es el mismo que el de cualquier página.

La política de la empresa dice que el DNS cifrado solo puede ir hacia sus resolutores. Si un equipo abre conexiones por el puerto 853 hacia un resolutor público de terceros, esas consultas escapan del filtrado y del registro internos, y nadie lo habría notado sin mirar el registro de salida.

Consulta salida_usuarios y cruza el destino con destinos.

Para encontrar DoH no sirve mirar el puerto. Hay que cruzar los destinos del tráfico 443 con una lista de servicios que ofrecen DoH. Esa lista es una ayuda incompleta: nacen servicios nuevos y un servidor cualquiera puede ofrecer DoH, de modo que sirve para detectar lo común, no para garantizar que no queda ninguno.

La tabla destinos es esa lista en este ejemplo.

Antes de actuar hay que saber la dimensión del problema: cuántos equipos distintos enviaron sus consultas a un resolutor de terceros, sea por 853 o por DoH. Cuenta equipos, no conexiones: el mismo equipo repite.

Revisa los orígenes de salida_usuarios cuyo destino está clasificado como resolutor público o como servicio DoH.

La reacción simple es cerrar el 853 y todo lo que huela a DoH. Pero el cifrado no es el enemigo: lo que la empresa necesita es que las consultas pasen por su resolutor. Si cierra todo sin dar alternativa, aparecen los atajos; si no hace nada, pierde la vista.