ROUTER HGU 8115 nw servidores dns auxiliares

[juanmanuel1971]

Hola, tengo este dichoso router que no me gusta nada y me gustaria preguntar y conocer algo sobre las dns particulares de otros servidores. Tengo este router en modo monupuesto con el fin de que mi rt ac86U pueda gobernar el internet ya que tengo mi propio firewall , trendmicro, vpn privada, etc.... y para mi este requisito es fundamental, lo demas del hgu mientras no me de la doble nat perfecto que afortunadamente no es asi. La duda que tengo es que quiero utiizar en mi firm asus merlin la opcion de DNS over TLS (DoT) y cuando configuro y elijo los dns cloudfire de primaro y google de secundario, funciona perfectamente todo pero si reinicio los dos routers automaticamente los test de velocidad se quedan en 6 megas, realmente no me lo creo porque navego bastante rapido, pero me da la sensacion que el hgu esta interfiriendo y no se porque motivo ya que cuando desactivo esa opcion , todo vuelve a la normalidad. 

Tambien me gustaria saber si puedo poner en la WAN de mi router asus ya que lo tengo de firewall y como dije antes con mas funciones, una dns en la wan con el fin de que todos mis dispositivos tenga esa dns ¿dara conflicto con hgu 8115nw? o realmente el mejor sitio es irme a DCHP y meter ahi las dns primaria y secundaria cloudfire y google para que cada dispositivo de ip privada, navege con esa dns. ¿me podeis ayudar ? muchas gracias a todos.

[Técnico-Movistar]

Buenos días @juanmanuel1971

Por nuestra parte no podemos dar soporte a una configuración distinta a la configuración por defecto que certifica el funcionamiento correcto de los servicios que comercializamos, por lo que dejamos este hilo abierto para que cualquier otro usuario pueda ayudarte desde su conocimiento y/o experiencia

Un saludo

Griselda. 

[Theliel]

Buenas @juanmanuel1971 

Si el HGU está en monopuerto, en principio no tendría que interferir con nada ya que toda la configuración la realiza el Asus. Por otro lado un cambio de DNS, aun cuando sea DoT/DoH tampoco afectaría nunca a la velocidad. Es más probable que sea un bug o fallo de tu Router que cualquier otra cosa.

Respecto a poner una IP en WAN... es muy diferente una DNS que asignas por DHCP a una DNS que estableces en WAN. La  DNS que asignas en DHCP envías directamente ese servidor a los equipos. Por lo general Asus usa por DHCP la propia IP del Router, de ese modo es el Router quien hace siempre de resolver, usando la DNS configurada en WAN o usando DoT/DoH o cualquier otro sistema. Si por ejemplo en DHCP configuras 8.8.8.8 hará que todos los equipos usen los servidores DNS de Google, con independencia de usar DoT/DoH,  a menos que este se fuerce para interceptar todo el tráfico DNS.

[juanmanuel1971]

¿realmente merece la pena utilizar dns dot? Nunca lo habia habilitado pero me entere que servia de proteccion antimalware, aunque trae las reglas trendmicro , no se si seria interesante. Con respeto al problema de un posible bug de hgu 8115nw? Puede ser, pero me da mas la sensacion que al venir este router tan tan tan restringido, creo que no permite mucho que haya ninguna dns en los protocolos para que no se sienta interferidos, ya que en en el mapa de redes, al configurarelo me dice que he activado dns dot y la dns de ips pasa un segundo plano. Me parece que va por ahi los tiros, en este modelo de router, viene muy muy inhabilitado y si es asi, realmente el tema de las dns ya se pasan muchisimo que no te permita ni siquiera utlizarlo. Esta tarde probare como tu dices, en DCHP, meter en la mac del dispositivo y a su vez meterle las dns google o cloudfire para ver si cuando los reincie se lian entre ellos para navegar por internet y comunicarse con la dns.  

Con respecto a un bug? pues podria ser tambien pero, como has visto, no se saldran de su router si otro dispositivo no se entiende con el suyo. Creo mil y una vez que cada usuario deberia gestionar su red de su casa. Me estoy planteando poner una ont auque pierda el fijo porque por lo que alcanza mis conocimientos ya es imposible cuando instalas una ont que puedas funcionar con el fijo con tu router por muchas vlan que le metas, solo va bien el interenet.

[juanmanuel1971]

Perdone nuevamente se me olvido hacer esta pregunta.  Lo maximo es ponerlo en modo monopuesto pero con mi asus rt ac86u . ¿es importante tener este nuevo protocolo? mi asus trae trendmicro de proteccion. Tambien y perdone que le moleste, me gustaria saber si poniendo protocolos dns en la configuracion dchp para que utilice las dns cloudfire realmente mejora entrar en distintas web porque no gobierna las dns del propio isp? o realmente poner la dns de cloudfire es porque la respuesta para navegar es mas rapida, porque yo no noto diferencia la verdad. ¿una dns ayuda entrar en distintas paginas mejor ? ¿merece la pena las dns publicas ?

[Theliel]

Buenas @juanmanuel1971 

DoT/DoH no tiene absolutamente nada que ver con Malware, y usar la suite integrada de TrendMicro para ello también es un error, estás enviando todo lo que visitas a ellos. Puede ser util para bloquear algunas amenazas, pero ni de broma usaba la protección de las webs a las que se visita.

Respecto a DoT/DoH, repito, lo que hace es cifrar el tráfico DNS entre origen y destino, nada más, que no significa que no sea mucho/poco. Básicamente lo que hace es que nadie que pudiese interceptar la conexión podría ver el dominio al que se está intentando acceder... básicamente, que Movistar no sepa los dominios que visitas (a grandes rasgos). Como digo, nada que ver con malware. DoT/DoH es una herramienta de privacidad sobre todo, no seguridad.

Me refería a un bug en el Asus, no al HGU. El HGU cuando funciona en medio-bridge, no va a interceptar nada, por eso se pone en ese modo, por la misma razón no existe doble nat ni nada de eso, el simplemente se encarga de pasar el tráfico del Asus a la VLAN correspondiente y viceversa, si existe un problema está en la parte de Asus con casi total seguridad.

[juanmanuel1971]

Gracias una vez mas por tu rapida respuesta y tus amplios conocimientos de redes que tanto me estas ayudando. Ah pues muy clara, pensaba que el trendmicro respetaba mi privacidad y seguridad, pues ya estoy desactivando el tendmicro que segun ellos previenen ataques a la red y encima le envio mis datos. Respecto a DoT/DoH perfecta la explicacion , tenia claro que era privacidad entre yo y la pagina que visito y nadie puede saberlo. Con respecto al bug ? puede ser que sea del asus. Tu opino es muy imparcial, eres muy profesional. La duda que tengo que no se si me llegaste a leer en el siguiente mensaje. ¿realmente poniendo una dns publica, como google, cloudfire, etc... mejora la conexion de las paginas? ¿la privacidad la cogeria google y cloudfire? Para mantener privacidad, lo mejor es la vpn verdad?

[Theliel]

Buenas @juanmanuel1971 

La suite de TrendMicro funciona bien, y hay funciones que pueden ser interesantes, como la de protección bidireccional o ... no recuerdoel nombre. Ahora bien, la de filtrados de webs y otros, (crero que era la primera protección) lo que hace obviamente es enviar todos los datos a ellos.

Respecto a DoH/DoT soy el primero que cree que es esencial, pero que repito, no es seguridad, es privacidad, sobre todo en entornos donde la red puede ser monitorizada, las peticiones DNS normales van en plano, cualquiera podría verlas

¿Mejora la conexión con otras DNS? Si y No, depende.

Las DNS son básicamente un sistema de traducción de nombres a IPs. Cuando se usa el dominio, antes de poder acceder al servicio que sea, se requiere obtener la IP asociada a dicho dominio, y es necesario por tanto hacer una consulta DNS. Esto requiere tiempo, que a efectos prácticos lo que hace es aumentar la latencia de la conexión  al servicio que sea. Hay muchos factores que van a afectar a esa latencia, a ese tiempo de respuesta, por poner algunos:

-Está la dirección cacheada en el PC? y en el Router? Y en el servidor DNS?
-En caso de que la Dirección no esté cacheada tampoco en el servidor DNS, hace falta una consulta recursiva

-Es una petición UDP o TCP? Usa DoT o DoH?

-Latencia al servidor DNS?

-Latencia de respuesta del servidor DNS?

Muchos lo que hacen es lanzar un ping al servidor DNS y el que más rápido sea optan por ese. Pero eso es una tontería, la latencia de tránsito es solo una aportación. La latencia real desde que se lanza la petición DNS hasta que se resuelve depende de muchos factores. Y mientras que algunos podemos controlarlos como por ejemplo si queremos o no usar DNSSec o DoT/DoH... hay otros que no podemos. Hay servidores DNS más eficientes que otros, hay servidores que son muy rápidos pero abusan del cacheado pueden devolverte una web que no es o no existe. Otros directamente no soportan algunas características, otros dicen que guardan más o menos los datos...

Y a todo eso hay que sumarle otro problema enorme, que es el de las redes de contenidos CDN. Muchos servicios tienen servidores repartidos por todo el mundo para poder dar un servicio más rápido a sus usuarios, porque generalmente (tampoco siempre) el servidor más cerca geográficamente es el más rápido... y esto repito tampoco es una norma. Aquí el servidor DNS juega otro papel crucial, porque lo ideal sería que el servidor te devolviese siempre la DNS más adecuada para tu ubicación de dicho dominio.

-----------

Resumiendo mucho?? Simple. Quitando servidores DNS que podemos llamar malos, es prácticamente indiferente que uses uno u otros, en cuanto a rendimiento se refiere. A veces uno hará mejor papel, otras veces lo hará otro, dependiendo del destino, del momento de... es mejor escoger uno u otro en función de las prestaciones que te de.

Sobre privacidad? Mucha leyenda urbana sobre CloudFlare. CF tiene igualmente que cumplir la ley si quiere operar en Europa, eso significa que tienen que guardar un registro por X días/meses y que si hay una orden judicial te aseguro que le darán a las autoridades lo que quieran. Otra cosa totalmente diferente es que no comercialicen con tus datos, cosa que tampoco hace Google.

En lo personal, los servidores de Movistar son bastante rápidos la verdad, pero no es la primera ni la segunda ni la tercera que fallan, de cuando en cuando pueden tener problemas. Además no soportan DNSSec, y obviamente menos aun DoT/DoH. Por lo general uso los de Google o los de CloudFlare. Pero ya te digo, que en cuestiones de rendimiento, si el servidor es bueno, no vas a notar diferencia entre unos y otros

[juanmanuel1971]

De verdad y te lo digo de corazon , es increible lo que estoy aprendiendo de ti, de verdad, es un gran gran placer lo que haces en este foro. No se si te lo agradecen la gente , he visto que los tecnicos si te lo agradece y yo estoy asombrado. Parece mentira en este post lo que he aprendido sobre lo que es la dns privada, en dchp sobre velocidad y privacidad, tambien la liada que tenia sobre dnssec y dns sobre tls (Dot), ahora entiendo porque asus no lo tiene en su firmware y es porque lo que tu has dicho, el isp, en este caso nuestro proveedor movistar, no lo admite por eso me estaba dando ese tipo de problema de conexiones en las paginas y en arranque de la red. Me siento ahora  pues decepcionado porque estaba ilusionado en mi privacidad, porque estaba leyendo en el router asus que viene lo que tu dice en modo oculto esa inforamcion cuando pasas el raton, me explico en DNSSEC, dice importante que el proveedor ISP, admita dnssec, por el contrario algunas paginas web no funcionaran correctamente. Despues de leerte miraba tambien en la configuracion DNS DOT que  desactivando dnssec pero activando solo el dot, tengo la posibilidad como tu tienes estudiado que movistar no admite este protocolo de privacidad sobre su red. Por tanto de momento no sirve para nada, seguimos sin privacidad, salvo una vpn de pago, vamos lo que tengo una vpn de pago ya que utiliza sus server, y respetan lo que se llama los 6 ojos, si no recuerdo mal, protocolo de ley como tu bien dices que la ley se reserva el derecho a pedir a las compañias para evitar delitos , que la verdad esta bien el que lo haga mal que lo page, lo que sucedia es que soy honrado pero queria navegar privado , asi que creo que por tu explicacion VPN con filial en un pais que no este en el circulo de los 6 ojos.

Alucinante lo que se habla en los foros, es increible tu aportacion, una vez mas muy muy muy agradecido , te lo diria hasta en voz pero creo que con estas palabras, te doy mi gran enorabuena y ojala puedas resolverme mas dudas en este mundo de las redes y sobre todo de nuestro router hgu monopuesto. Espero salvo que tu digas lo contrario dare por cerrado este post para que los tecnicos de movistar tambien conozca este tema. Ojala podamos tener privacidad pronto porque la ley de proteccion de datos, cada vez esta mas dura y por fin se hace realidad porque yo sufri una suplantacion de identidad y con mi dni hicieron en una pagina web algo que mejor no  lo cuento y desde entonces me obsesiono con mi privacidad, no quiero que mis datos sean compartidos, porque es muy grave la suplantacion de identidad que yo he sufrido. Espero tu respuesta y cierro el post para los compañeros del foro y tambien para los tecnicos de Movistar. Muchas gracias

[juanmanuel1971]

Adjunto para todos los que estamos preocupados por la privacidad que lo que tu has explicado es muy correcto y todos los isp , asi como los servidores dns que estamos conectados todo el tiempo la politica privacidad por fin se esta haciendo duro. Mira lo que esta diciendo cloudfire sobre la privacidad todo lo que tu dices, que promete y promete salvo que le soliciten por ley la privacidad.

https://developers.cloudflare.com/1.1.1.1/privacy/public-dns-resolver/

Por cierto y el tema de vpn , cada vez esta mas claro cual es la guerra entre ellos, por ser el top 1, privacidad maxima con rendimiento maximo, Complicado cientos de servidores por todo el mundo por la distancia que tenemos para tener rendimiento maximo.

[Theliel]

Buenas @juanmanuel1971 

Respecto a DoT/DoH y Movistar no me has entendido.

Movistar no puede hacer incompatible ni puede filtrar DoT/DoH, precisamente es la finalidad. DoT aun podría hacer algo, DoH es imposible, es imposible de diferenciar respecto al tráfico HTTPS normal y corriente. Lo que decía es que muchos servidores DNS soportan DoT/DoH... ofrecen dicho servicio. Cuando usas DoT/DoH requieres un servidor DNS que use dicha tecnología. Por descontado el servidor DNS, sea convencional o use DoT/DoH, puede registrar igualmente todo.

No existe ningún tipo de problema con usar DoT/DoH con Movistar, yo lo uso en toda mi red, eso no quiere decir que los servidores de Movistar de DNS soporten esta tecnología, y por ende ellos no pueden ofrecer un servidor DNS DoT/DoH, pero nada que te limite a usar cualquier servidor DNS que si lo use.

Respecto a las VPN es otra trampa, y en cuanto a privacidad se refiere, al final da un poco igual también. De verdad crees que los servidores VPN no registran por ley el tráfico?? A menos que uses un proveedor VPN que esté bajo leyes de algún país bananero, se aplica lo mismo, y si es un VPN de un país bananero, más me preocuparía que haría dicho país con mis datos que el resto del mundo. La privacidad en Internet real no existe. Eso no significa que se puedan limitar ciertas huellas. Y en cualquier caso hay que tener mucho cuidado, no podemos tampoco pretender que este mundo sea lo más seguro posible y de buen hacer, sin renunciar a parte de nuestra privacidad.

No tengo ningún problema que mis datos si se solicitan, puedan ponerse a disposición judicial si se requieren, no escondo nada y entiendo que gracias a ello se impiden masacres y todo tipo de delitos. Eso es una cosa que yo soy el primero que sacrifico cierta privacidad en post a una seguridad global. Otra cosa totalmente diferente, es que empresas de sabe dios donde/cuando comercialicen con cualquier posible dato mío, que se me perfile, que se usen para bigdata...

Por suerte en Europa la idea generalizada de la UE es esa, privacidad al máximo, pero dejamos puertas abiertas siempre y cuando exista una fuerza mayor que lo requiera, y yo estoy conforme con ello. ¿Para que voy a usar un servidor VPN de a saber que país? Claro que uso VPN, pero mi propio servidor en casa para usar los recursos de mi red y otros, por suerte esto no es china. No me importa que Movistar o algún organismo gubernamental sepa que mi línea a descargado algo de porno, visto alguna peli incluso de forma alegal o cosillas así, sé que eso no es interés de nadie realmente, no tengo nada que esconder/ocultar. Pero sí que quiero saber quien tiene mis datos, que es lo que tienen, como tratan esos datos, si los venden o si no...

[juanmanuel1971]

Muchas gracias, me ha quedado claro, el tema de la privacidad, yo tengo Nordvpn desde hace 1 años, pero en la zona de bancos no lo uso porque pienso lo mismo que tu, prefiero que lo tenga movistar una empresa española. el resto en paginas web pues tengo mi protocolo de windows ikev2 o la aplicacion de ellos para descargar pelis, y tener un poco de privacidad.

[juanmanuel1971]

Gracias de verdad, por ayudarme a entender las cosas y por tu paciencia, Te he entendido y he conseguido configurar DOT con sus dos servidores de cloudfire y ya pues las dns que me toque que haga su trabajo  y en DOCH lo tengo en auto . La dns de la wan en mi asus he puesto tambien la de cloudfire,  Lo unico que no me atrevo es poner activado el DNSSEC porque hay un comentario que dice que no asegura que todas las configuraciones dns de los servidores puedan hacer su trabajo ya que podria que la wan ip de mi isp no sea compatible de lo contrario las busquedas siempre fallaran. No quiero que la ip de mi isp y mis protocolos se lien o no haga su trabajo en la mayoria de las paginas.

[Técnico-Movistar]

Buenos días @juanmanuel1971,

Gracias por la información que nos remites, le agradecemos las aportaciones efectuadas al caso a @Theliel y esperamos la consulta haya quedado resuelta ¿es asi?¿necesitas que te ayudemos con alguna consulta mas?

Muchas gracias, un saludo

Irene

[juanmanuel1971]

Gracias Irene, creo que os he descubierto y haceis una labor envidiable, ya que siento que estais pendiente y contestais siempre con educacion y proactividad. Es muy importante para mi la verdad, soy agradecido de los profesionales, por favor voy a esperar un poco si el quiere decir algo mas pero yo lo tengo claro y todo bien. Ese chico, es un gran profesional como persona. Por parte vuestra por favor hacer participe que es muy importante que no desaparezca de vuestros routeres la opcion bridge y si no es posible pues monopuesto, es una forma muy equilibrada para vosotros no tener dolor de cabeza ya que teneis todas las configuraciones matrices en gobierno y dejais abierto el portal internet para que cualquier usuario se ponga el router que quiera. De verdad fue el motivo de irme con vosotros despues de 20 años con Ono que luego fue vodafone ver que respetais al menos esa puerta abierta para utilizar el router nuestro aunque el vuestro este en monopuesto. A mi me vale , respeto y comprendo vuestras necesidades de tener el control de la configuracion primera de su red con sus dispositivos television, telefono , ademas de la comodidad que el user y para vosotros comprar un router de los vuestros se pone la clave idont y luego al cable fibra optica y automaticamente todos contentos, ustedes por la rapidez de funcionamiento y el user porque lo hace solo y funcionando. Os entiendo pero por favor no cerrar nunca la puerta del monopuesto y permitir que un user pueda al menos gestionar su red internet con su fireall, su vpn, sus dchp fijas con sus dispositivos, crear subred, en fin, nos dejais libertar hacer trasteos en nuestro router con total libertad como todo el mundo merece Movistar y el cliente. Esperare el dia de hoy si el chico quiere escribir algo mas por respeto y educacion. Muchas gracias Irene a ti tambien. Es importante para que otros user pueda conocer estos temas.

[Técnico-Movistar]

Buenas tardes @juanmanuel1971,

Te agradecemos a ti también las palabras de apoyo y la amabilidad, es un placer poder ayudar, es nuestra labor y estamos encantados de que pueda resultar de ayuda.

Perfecto, dejamos el hilo abierto entonces para que podáis ir revisando los datos del caso.

Muchas gracias, que tengas un buen día. Saludos

Irene

[Theliel · Accepted solution]

Buenas @juanmanuel1971 

Gracias a tí, siempre escuché de pequeño que es de buen nacido ser agradecido, y pese a que jamás hago nada esperando que se me agradezca, lo hago por voluntad propia, agradezco tu agradecimiento :).

DNSSec no suele ser un problema a día de hoy, puede usarse generalmente para uso diario. No obstante, pese que está aprobado hace mucho tiempo aun se es muy reticente a usarse en los servidores debido a problemas de seguridad de ellos mismos, de los propios servidores, ya que podría permitir conocer los subdominios existentes. Para nosotros, nos da seguridad, aunque a expensas de un rendimiento algo peor.

[Técnico-Movistar]

Buenas tardes @juanmanuel1971 

Nos alegra saber que la aportación de @Theliel (al que agradecemos su aportación) te haya servido de ayuda, 
Por nuestra parte, procedemos al cierre de este hilo, para cualquier otra duda o consulta en el futuro ya sabes donde encontrarnos.  

Un saludo

Miriam