DNS sobre TLS (DoT)

DNS sobre TLS (DoT) encripta tus consultas DNS envolviéndolas en TLS, de modo que nadie en la ruta de la red puede ver o alterar qué dominios resuelves. Realiza la misma función que DNS sobre HTTPS pero en un puerto dedicado (853) en lugar de mezclarse con el tráfico web. Eso hace que DoT sea fácil de identificar y gestionar para un administrador de red, lo cual es una ventaja para la política empresarial, pero una desventaja si deseas que las consultas sean indistinguibles de un HTTPS ordinario, donde DoH tiene la ventaja.

Al igual que DoH, DoT protege la búsqueda en sí, pero no oculta tu IP ni tunela el resto de tu tráfico; es una capa, no un conjunto completo de privacidad. Si usas un VPN, la protección clave contra una filtración de DNS es enrutar DNS a través del túnel; DNS cifrado luego añade confidencialidad adicional. La elección entre DoT y DoH se trata en gran medida del puerto y de cuán visible es el tráfico en la red. Cualquiera que elijas, recuerda que el resolutor aún ve tus consultas, por lo que confiar en el operador al que se las envías sigue siendo parte de la decisión.

Cualquiera que sea la variante de DNS encriptado que elijas, el resolutor aún ve tus consultas, por lo que el operador en el que confías es importante. En un VPN, enruta DNS a través del túnel primero para prevenir una filtración, luego usa DoT o DoH para la confidencialidad adicional. Elige DoT cuando una red necesita gestionar el tráfico en su puerto dedicado, y DoH cuando quieras que las consultas se mezclen con el HTTPS ordinario y resistan el bloqueo; la seguridad es idéntica de cualquier manera.