Como configurar DNS over HTTPS (DoH) en Mikrotik con CloudFlare DNS

 

¿DoH?

Las consultas de DNS se envían en texto plano, lo que significa que cualquiera puede leerlas. El DNS sobre HTTPS (DoH) y el DNS sobre TLS (DoT) encriptan las consultas y las respuestas del DNS para mantener la seguridad y la privacidad de navegación del usuario. Sin embargo, ambos enfoques tienen sus ventajas y desventajas.

Extracto de CloudFlare

¿Resumen?

Si, es muy técnico este tema pero en resumen DoH es una manera de encriptar nuestras consultas DNS para que no la tengan claro a que navegamos y no puedan alterar las consultas. La verdad es que el DNS es un tema muy largo, pero aquí pueden continuarlo. La mayor ventaja de DoH sobre DoT es que DoT utiliza aun el protocolo 53 de DNS, por lo cual es fácil identificarlo mientras que DoH es un protocolo que utilizamos para navegar por lo que es más difícil poder tenerle una restricción. Si eres un usuario común y corriente cualquiera te va bien, si eres un ISP probablemente DoT será más de tu agrado por la identificación del tráfico.

Pasos para configurar DoH de CloudFlare

A continuación, vamos paso por paso como habilitar DoH en nuestra red.

Requisitos:

1. Tener una versión de RouterOS 6.47 o superior
2. Tener los certificados root importados

Comprobar o actualizar RouterOS

Para comprobar o actualizar, la manera más rápida es dentro de winbox ir a

QuickSet>Check for Updates

Y nos dará la versión que tenemos y la versión más reciente

Descargar e importar los certificados root CA

Abrimos una nueva terminal desde winbox y escribimos y damos enter

/tool fetch url=https://curl.se/ca/cacert.pem
/certificate import file-name=cacert.pem passphrase=””

Remover los servidores DNS existentes

Desde winbox nos vamos a IP>DNS>Servers y borramos los que estén dejando el campo vació.

Agregar dos entradas estaticas para el hostname del DNS

Desde winbox en IP>DNS>Static

Agregamos los siguientes registros

cloudflare-dns.com A 104.16.248.249
cloudflare-dns.com A 104.16.249.249

Agregamos la siguiente URL en IP>DNS>Use DoH Server y lo marcamos

https://cloudflare-dns.com/dns-query

Verificamos que DoH este habilitado y funcionando en nuestra red

Primero, si usábamos otros servidores DNS deben conectarse y desconectarse de la red para que les asigne el cambio (o usan otros en DHCP Servers, deben removerlos antes de hacer esto)

Ahora podemos acceder a 1.1.1.1/help y nos dirá si ya esta habilitado