Configurar un DNS para el router

Buenas Albertomc97 

Creo que el problema radica en que no entiendes bien como funciona DoT/DoH, me temo. Claro que el tráfico pasa por el Router, el problema no es ese. Te pongo un ejemplo simple de como funciona una resolución DNS "estándar" y como sería una con DoT/DoH, repito habilitado por defecto en ya muchos dispositivos:

Escenario de toda la vida:

1º. El usuario quiere acceder a chicassexys.com desde su movil, abre el navegador lo busca en google y le da el enlace.

2º. El navegador requiere realizar una resolución DNS para resolver el dominio, la pasa al OS.

3º. El OS tiene configurado el servidor OpenDNS a través de DHCP, imaginemos que la IP por facilitar es 2.2.2.2. El OS envía a través del protocolo DNS una petición de resolución a dicho servidor, al puerto 53. La petición tiene que ir a Internet, así que el OS la manda al Router.

4º. El Router PUEDE VER que el dispositivo 192.168.1.2 (por ejemplo) está enviando una resolución DNS hacia el servidor 2.2.2.2, es más, podría hasta interceptarla o registrarla.

5º. La petición pasa por toda la red del ISP y de cualquier otra red hasta llegar al servidor en cuestión, en todo ese camino cualquiera puede ver dicha petición.

6º. El servidor 2.2.2.2 responde a la petición con la IP del Host.

Ahora el mismo esquema pero con la diferencia de que el Navegador Web habilita por defecto DoH:

1º. Igual

2º. Igual, salvo que no pasa la petición DNS al OS, sino al resolver que tenga preconfigurado o configurado manualmente él mismo, pongamos que el servidor destino DoH fuese 1.1.1.1

3º. Al Usar DoH, el navegador cifra la petición DNS y la envía a 1.1.1.1. Pero a diferencia de antes, y aunque el contenido interno usa el protocolo DNS, el protocolo externo qu elo contiene no es más que una conexión HTTPS estándar.

4º. El Router NO RECIBE ninguna petición DNS, lo único que recibe de 192.168.1.2 es tráfico HTTPS exactamente igual e indistinguible de cualquier petición Web. No puede saber que va dentro de dicho tráfico, por poder no puede tampoco descartarlo porque filtraría TODO el tráfico HTTPS!! No puede tampoco manipularlo ni extraer el contenido. Simplemente reenvía el tráfico al destino. Nadie entre el origen y el destino puede interceptarlo o saber que hay dentro, solo el origen y el destino.

5º. El Destino, 1.1.1.1 en este caso recibe la conexión, extrae de dentro la petición DNS, y responde de nuevo de forma cifrada con la resolución

6º. El Router recibe de nuevo el tráfico HTTPS para el indistinguible, lo envía al dispositivo, y el dispositivo ya tiene la IP y accede a la web.

Así que como ves, da igual que el tráfico pase por el Router, al igual que pasa por la red del ISP y por donde quiera que pueda pasar, no lo pueden interceptar, ni siquiera saben que se están realizando peticiones DNS, mucho menos que resoluciones son.

La única opción para evitar esto es como he dicho configurar a mano cada dispositivo para que NO PUEDAN USAR DOT/DOH, lo que en definitivas implica configurar manualmente cada dispositivo de todos modos, y que el usuario que controla su propio dispositivo no quiera/pueda marcar la opción simple de usar DoH/DoT.

Así que da exactamente igual como configures el Router, ya sea el de Movistar o uno propio, simplemente el Router no puede ver el tráfico. Y si quieres más pruebas de ello, te pongo un ejemplo simple real de esto que hago en mi equipo para que lo veas, donde puedes ver en las capturas el tráfico DNS que circula en cada caso por el Router. En el primer caso usando un resolver sin DoT/DoH, en el segundo usando DoT/DoH:

En la imagen lo único editado es mi propia IP pública como es lógico porque estaba capturando en la interfaz de salida directamente. Las resoluciones PTR se puede omitir. Como se puede ver perfectamente la resolución usando DoT (usando un forwarder a ClodFloare) para google.es y la segunda usando el servidor DNS de Movistar. La primera no existe para el Router, a pesar de que la petición es enviada circula y es enviada por el Router hacia CloudFloare. La segunda por otro lado se puede ver perfectamente, tanto el host consultado como la respuesta.

Espero que gráficamente quede más claro como funciona todo esto. Dado que muchos navegadores y OS de dispositivos ya lo usan por defecto, a menos que se manipule directamente cada dispositivo para no usar DoH/DoT, da igual lo que quieras hacer en el Router.

Saludos.