Cómo un dispositivo encuentra DNS cifrado por sí solo
How a device finds encrypted DNS by itself
La configuración tradicional de DNS solo admite una dirección IP, pero el DNS cifrado necesita hostname, puerto y protocolo. DDR (Discovery of Designated Resolvers) permite que un resolver publique estos detalles a través de una consulta a `_dns.resolver.arpa`. Un dispositivo puede así descubrir y usar automáticamente DoH, DoT o DoQ, incluso si solo tiene una IP. El artículo explica cómo funciona, qué devuelve la respuesta, y dónde resulta más útil, como en televisores y consolas que no admiten configuración avanzada. También advierte de sus limitaciones: la actualización desde DNS plano es vulnerable a la interceptación, por lo que se considera oportunista.
Un dispositivo que habla varios protocolos sigue ese orden de preferencia; un dispositivo que habla uno toma el endpoint que coincide.
- Utilera
Un dispositivo que solo expone un campo IP puede usar DDR sin configuración adicional del usuario, pero aún así tiene que implementar DDR y un protocolo de DNS cifrado en primer lugar...
- WarOnPrivacy
una consulta para _dns.resolver.arpa, un nombre reservado para... preguntando si existe una versión cifrada y dónde se puede alcanzar
¡Genial! Probemos: nslookup _dns.resolver.arpa
[mío] unbound.lan no puede encontrar _dns.resolver.arpa: dominio inexistente
[1.1.1.1] no puede encontrar _dns.resolver.arpa: dominio inexistente
[8.8.8.8] Sin tipo interno para ambos registros IPv4 e IPv6 (A+AAAA)
disponibles para _dns.resolver.arpa
[9.9.9.9] Nombre: _dns.resolver.arpa
- rdme
ejecutando mi propio resolver como DNS del sistema puedo confirmar que los dispositivos Apple lanzan _dns.resolver.arpa en cada unión a la red, pero como el DDR verificado necesita un certificado TLS que cubra la IP del resolver, efectivamente es solo para resolvers públicos, así que para un resolver de LAN lo correcto es simplemente responder NODATA en lugar de filtrar la consulta hacia arriba.