Glosario de DNS
¿Qué es DoT (DNS sobre Transport Layer Security)?
DNS sobre TLS (DoT) es un protocolo de red que cifra el tráfico DNS entre un cliente y un resolutor DNS utilizando el protocolo de seguridad de la capa de transporte (TLS). Transmite mensajes DNS estándar dentro de una sesión TLS sobre TCP, en el puerto 853 por defecto, tal y como se define en el RFC 7858, lo que impide que los observadores a lo largo de la ruta lean o alteren las consultas.
Puntos claveLos puntos clave se generan con la ayuda de la inteligencia artificial. Dado que los resúmenes automáticos pueden contener en ocasiones errores u omitir contexto importante, consulta siempre la entrada completa del blog para obtener toda la información.DNS over Transport Layer Security (DoT) is a network protocol that encrypts DNS traffic between clients and resolvers using TLS on TCP port 853, preventing on-path observers from reading or altering queries while maintaining standard DNS message format. Enterprises benefit from DoT on guest Wi-Fi, branch links, and remote worker connections where the network path is not under direct control, though implementation requires careful management of certificates, firewall policies, and resolver configuration to avoid silent fallback to unencrypted queries or resolution outages. DoT differs from DNS over HTTPS (DoH) primarily in its use of a dedicated port that enables simpler network visibility and control, though both protocols require proper policies and monitoring to prevent clients from bypassing internal DNS security filtering and logging by connecting to external resolvers.
Cómo funciona el DNS sobre TLS
DoT envía mensajes DNS normales a través de una sesión TLS cifrada en lugar de en texto plano. El formato del mensaje DNS no cambia; solo cambia el transporte.
- Abrir una conexión TCP: el cliente se conecta al resolutor en el puerto TCP 853, el puerto reservado para DoT en el RFC 7858.
- Completar el protocolo de enlace TLS: el cliente y el resolutor negocian los parámetros TLS y el resolutor presenta un certificado. Dependiendo del perfil de uso definido en el RFC 8310, el cliente verifica la identidad del resolutor (modo estricto) o acepta una sesión no autenticada (modo oportunista).
- Enviar la consulta: el cliente envía un mensaje DNS estándar a través de la sesión cifrada, precedido de un campo de longitud de dos bytes, al igual que en DNS sobre TCP.
- Recibir la respuesta: el resolutor devuelve la respuesta DNS a través de la misma sesión. Un observador en la ruta solo ve tráfico cifrado.
- Reutilizar o cerrar la sesión: el cliente puede mantener abierta la conexión y enviar más consultas a través de ella, lo que evita tener que repetir el protocolo de enlace para cada búsqueda.
DoT solo protege el tramo entre el cliente y el resolutor. Las propias consultas del resolutor a los servidores autoritativos constituyen una ruta independiente y no están cubiertas por DoT. DoT tampoco valida las respuestas; esa es la función de DNSSEC.
Problemas habituales con DNS sobre TLS
Muchos cortafuegos y redes de invitados bloquean el tráfico TCP 853 saliente, por lo que las consultas DoT agotan el tiempo de espera. En modo estricto, es posible que el cliente no pueda resolver los nombres, y en modo oportunista, puede que recurra silenciosamente al texto sin cifrar.
En modo estricto, el certificado del resolutor debe coincidir con el nombre configurado y estar vinculado a una CA de confianza. Un certificado caducado, la falta de un certificado intermedio o una CA interna en la que los clientes no confían provocan errores en el establecimiento de la conexión e interrupciones en la resolución.
Los clientes oportunistas que no pueden completar una sesión TLS pueden enviar consultas sin cifrar sin previo aviso. Los usuarios creen que el DNS está protegido, mientras que los observadores en la ruta siguen pudiendo leerlo.
Las consultas cifradas enviadas a un resolutor externo eluden el filtrado DNS interno, el registro y las respuestas de «split-horizon». Los nombres internos devuelven NXDOMAIN o se omiten los controles de política hasta que los clientes se redirigen a un resolutor DoT autorizado.
Los resolutores que utilizan DoT deben mantener abiertas muchas sesiones TCP y TLS de larga duración. Unos límites de conexión insuficientes o unos tiempos de espera de inactividad demasiado cortos provocan reinicios y una mayor latencia durante los picos de consultas.
Términos relacionados
Establecimiento de modelos de flujo de trabajo y aprobación de IPAM regulados y preparados para auditorías para las redes de la organización
Descubre soluciones de gestión de direcciones IP para flujos de trabajo de IPAM regulados y preparados para auditorías. Habilita aprobaciones por ámbitos…
Content Hub Comprender el modelo OSI: dónde encajan el DNS y el direccionamiento IP dentro de las 7 capas
Comprende las siete capas del modelo OSI y cómo encajan en ellas el DNS y el direccionamiento IP. Aprende los fundamentos de la arquitectura de redes con…
Escalabilidad del DNS y la gestión de direcciones IP (IPAM) para redes empresariales IPv6 y de doble pila
Amplíe el DNS y el IPAM para redes empresariales de doble pila. Descubra cómo Micetro ayuda a los equipos a gestionar las migraciones a IPv6 con sistemas…
Integración de DNS, DHCP e IPAM en flujos de trabajo de infraestructura como código basados en Ansible y Git
La integración de DNS, DHCP e IPAM en los flujos de trabajo de IaC basados en Ansible y Git con Micetro convierte los cambios de direcciones y registros en…
Podcast Podcast: Cómo la IA está cambiando el desarrollo de software empresarial
La IA transforma la automatización de redes, pero una implementación segura requiere sólidas prácticas de software, pruebas y experiencia en el ámbito…
Podcast Podcast: Por qué las plataformas abiertas son importantes en las operaciones de red
Las plataformas abiertas y la arquitectura «API-first» permiten operaciones de red inteligentes, automatización y flujos de trabajo impulsados por IA en…
Obtenga respuestas a partir de los datos de LiveNX que ya tiene con LiveAssist
Descubre cómo LiveAssist, el complemento basado en IA para LiveNX, convierte tus datos de red en respuestas rápidas y guiadas, con un valor que podrás…
Oferta de dispositivos LiveWire GEN3
BlueCat LiveWire es una plataforma de captura de paquetes y análisis forense de redes que ofrece una visibilidad profunda a nivel de paquetes en entornos…