¿Qué es el filtrado DNS y cómo funciona?
¿Qué es el filtrado DNS? Descubra cómo bloquea dominios dañinos, mejora la seguridad del WiFi público y protege dispositivos no gestionados antes de que inicien las conexiones.
Published 20 de octubre de 2026
El filtrado de DNS verifica cada solicitud de nombre de dominio antes de que un dispositivo se conecte, y luego la permite, la bloquea o la redirige según el contenido, la amenaza o la política de la red.
Está leyendo esto desde un teléfono conectado al WiFi de una cafetería. En la mesa contigua, una computadora portátil carga un panel de trabajo, un niño ve videos en una tableta y el reloj inteligente de alguien se sincroniza en segundo plano. El operador de la cafetería no administra ninguno de estos dispositivos. Sin embargo, cada uno de ellos debe responder a la misma pregunta antes de conectarse a cualquier lugar: ¿dónde reside este dominio? Cada búsqueda pasa a través del resolutor de la red, y ese punto de control compartido es exactamente donde se puede colocar una barrera. El filtrado de DNS coloca esa barrera en la ruta de cada búsqueda, verificando los destinos antes de que comiencen las conexiones para cualquier dispositivo en la red, sin software que instalar y sin configuraciones que cambiar por parte del visitante.
Tabla de contenido
- Por qué el filtrado DNS es importante en redes compartidas
- Cómo funciona el filtrado DNS
- En qué se diferencia el filtrado DNS de otros controles de seguridad
- Beneficios y resultados medibles en la red
- Casos de uso en WiFi pública y para invitados
- Riesgos de evasión y falsos positivos
- Cómo evaluar el filtrado DNS para su red
Por qué es importante el filtrado DNS en redes compartidas
En un hotel, los visitantes traen sus propios teléfonos, computadoras portátiles, tabletas y, a veces, dispositivos de streaming. Una persona necesita acceso a herramientas de trabajo, otra está navegando desde una tableta familiar y el teléfono de un huésped puede estar infectado con software malicioso que intenta contactar un dominio peligroso. Un equipo de red no puede asumir que puede instalar software o cambiar la configuración en cada dispositivo. Ese es el desafío de las redes compartidas, y es también donde la seguridad BYOD se convierte en una preocupación operativa.
El filtrado DNS coloca un puerta de enlace a nivel de red en la ruta de las búsquedas de dominio. En lugar de inspeccionar solo un navegador o una laptop gestionada, puede aplicar una política a los dispositivos que utilizan el resolvedor DNS de la red. El filtro evalúa el destino solicitado antes de que el dispositivo pueda comenzar a conectarse a él, lo que permite al operador de la red bloquear categorías o amenazas conocidas de forma centralizada.
Ese modelo puede ayudar a hoteles, escuelas, hospitales, aeropuertos, bibliotecas, oficinas y otros espacios públicos a gestionar el acceso compartido. Una escuela puede establecer reglas diferentes para el personal y los alumnos. Un hotel puede ofrecer una red de invitados mientras protege los sistemas del personal bajo una política independiente. En cada caso, el operador puede aplicar reglas a nivel de red sin convertir el filtrado DNS en una herramienta de gestión de dispositivos.
Modelo mental: El filtro verifica el nombre de destino en la puerta de entrada de la red. No ve automáticamente todo lo que hace un visitante después de ingresar a un sitio permitido.
Esa distinción es importante. El filtrado de DNS puede respaldar la protección, la defensa contra amenazas y el reporte en dispositivos no administrados, pero no puede garantizar que cada página o aplicación en un dispositivo sea segura. Es una capa de política de red, no un reemplazo completo para la seguridad de endpoint u otros controles.
Cómo funciona el filtrado DNS
Su dispositivo necesita una dirección para acceder a un servicio de internet, pero las personas suelen ingresar nombres como example.com en lugar de direcciones numéricas de red. El Sistema de Nombres de Dominio, o DNS, traduce un nombre legible por humanos en la información necesaria para encontrar el destino. Esa traducción comienza cuando una aplicación o navegador le pide a un resolvedor que busque un nombre.
Un resolutor recursivo gestiona la solicitud en nombre del dispositivo. Con el filtrado DNS activado, el resolutor verifica el nombre de host solicitado en comparación con las políticas, categorías, datos de reputación o listas de dominios dañinos conocidos antes de devolver una respuesta normal. Para obtener una útil resumen de configuración de DNS, es conveniente distinguir esa decisión del resolutor de lo que hace un navegador después de recibir una respuesta.
El recorrido de la solicitud
Imagine el DNS como la puerta de abordaje de un aeropuerto. Un viajero le da al agente de la puerta el nombre de su destino y el agente verifica si ese viaje está permitido antes de indicarle al viajero que continúe. En esta analogía, el dispositivo es el viajero, el nombre de host es el destino y el resolutor es la puerta donde se toma la decisión de la política.
Por ejemplo, cuando un navegador solicita example.com, el dispositivo envía una consulta DNS a su resolutor configurado. El filtro puede entonces:
- Permitir la solicitud y devolver la información necesaria para continuar.
- Bloquear la solicitud negándose a resolverla.
- Redirigir la solicitud a un destino controlado, como una página de bloqueo.
- Devolver una respuesta no enrutable para que el dispositivo no reciba una dirección de destino válida.
Si el solucionador permite la búsqueda, el dispositivo puede continuar hacia el sitio. Si bloquea la búsqueda, el navegador por lo general no puede alcanzar el destino solicitado a través de ese nombre. La decisión ocurre antes de que comience el tráfico de la aplicación hacia ese nombre de host, razón por la cual el control puede cubrir diferentes dispositivos que usan el solucionador gestionado.
Lo que el filtro puede y no puede ver
El filtrado DNS evalúa los nombres de dominio, no el contenido completo de cada página. Puede bloquear un dominio asociado con phishing o malware, pero no inspecciona automáticamente cada imagen, mensaje o acción dentro de un sitio web permitido. Por lo tanto, una página dañina alojada en un dominio legítimo puede requerir otros controles de seguridad.
DNSSEC también es diferente del filtrado. Ayuda a autenticar la información de DNS y a verificar que los datos no hayan sido alterados; no decide si un dominio debe ser permitido bajo la política de contenido de una organización. El NIST describe el filtrado como filtrado de resolución de nombres e identifica el DNS recursivo seguro basado en la nube, las Response Policy Zones locales o una combinación como posibles enfoques de implementación (Guía del NIST sobre seguridad DNS).
En qué se diferencia el filtrado DNS de otros controles de seguridad
El filtrado de DNS actúa en la etapa de resolución de nombres de host. Ese momento le otorga un rol muy útil en redes compartidas, pero no lo hace intercambiable con el software de endpoint, los firewalls, Búsqueda Segura (Safe Search) o DNSSEC. Cada control observa una parte distinta de la actividad.
| Control | Dónde actúa | En qué ayuda | Qué no garantiza |
|---|---|---|---|
| Filtrado DNS | Durante la búsqueda de un nombre de host | Bloquear destinos con nombre antes de iniciar una conexión | Inspección de cada página o actividad de la aplicación |
| Software de endpoint | En un dispositivo instalado o administrado | Monitoreo y protección a nivel de dispositivo | Cobertura en dispositivos de visitantes no administrados |
| Firewall de red | En el tráfico y las conexiones de red | Aplicar reglas de red y controlar los flujos de tráfico | La misma política a nivel de nombre de host en cada configuración |
| Búsqueda segura (Safe Search) | Dentro de los servicios de búsqueda compatibles | Limitar algunos resultados de búsqueda | Filtrar cada sitio web o aplicación |
| DNSSEC | Durante la validación de datos DNS | Autenticar respuestas DNS | Aplicar las reglas de contenido de la organización |
Diferentes controles cubren diferentes brechas
El software de endpoint puede monitorear una computadora administrada de forma más precisa que el filtrado de DNS. Sin embargo, un hotel o aeropuerto no puede asumir que los visitantes instalarán un agente en sus teléfonos personales. El filtrado de DNS se puede aplicar de forma centralizada a los dispositivos que utilizan el resolutor de la red, lo que ayuda a cubrir esa brecha sin requerir software en cada dispositivo.
Un firewall y el filtrado DNS también responden a preguntas diferentes. Un firewall controla el tráfico de red y las conexiones, mientras que un filtro DNS evalúa el nombre que un dispositivo solicita resolver. Pueden complementarse entre sí, pero el filtrado DNS no reemplaza la función de red más amplia de un firewall. Para obtener una visión general relacionada sobre cómo se integran los controles de tráfico web, consulte esta guía sobre un secure web gateway.
Búsqueda Segura (Safe Search) es un recurso aún más limitado. Puede influir en los resultados de los servicios de búsqueda compatibles, pero no determina si están permitidos todos los destinos a lo largo de la red. DNSSEC ayuda a verificar la autenticidad de los datos de DNS, pero no toma la decisión administrativa de bloquear un dominio.
Regla práctica: Trate el filtrado DNS como una capa de política central para los destinos, y luego utilice controles de endpoint, firewall y aplicaciones para los riesgos que las verificaciones de dominio no pueden detectar.
Beneficios y resultados de red medibles
En una red compartida, el beneficio más claro es la ubicación: el filtrado DNS actúa como una puerta que verifica el nombre solicitado antes de que comience la conexión. Si un teléfono en una red WiFi pública solicita un dominio vinculado a phishing, malware o actividad de comando y control, el resolutor puede rechazar la búsqueda antes de que se cargue cualquier página, siempre que ese dispositivo utilice el resolutor administrado. El mismo mecanismo puede aplicar reglas de categoría para destinos como contenido para adultos o apuestas, lo que ofrece a los operadores un punto de control conciso para muchos dispositivos no administrados.
Esa posición central también cambia el control diario. Los equipos de red pueden asignar políticas por grupo o red, revisar consultas bloqueadas y mostrar a los visitantes un mensaje de bloqueo claro en lugar de una falla silenciosa. Si se bloquean los dominios de publicidad o seguimiento, es posible que algunas páginas realicen menos solicitudes y transfieran menos recursos, aunque el efecto depende de los sitios que la gente visite.
Lo que significa la evidencia reportada
La evaluación universitaria presentada anteriormente describió cómo los encuestados calificaron un sistema basado en RPZ, pero la percepción no es una tasa de bloqueo medida. Trátelo como evidencia de que los usuarios notaron una diferencia, no como prueba de que se detectaron todos los dominios dañinos.
Un estudio independiente sobre DNS-sinkhole en la nube reportó una reducción del 53% en las solicitudes totales, un 48% menos de recursos transferidos y un tiempo de carga 57% más rápido después de que se bloquearon los dominios publicitarios (referencia de investigación sobre RFC 8198 y DNS-sinkhole). Esas cifras describen esa carga de trabajo. Un centro de conferencias con páginas de alto contenido de video puede ver un patrón diferente al de una oficina tranquila.
Para un recinto de eventos, verifique la entrada con una prueba pequeña. Antes de abrir, pruebe los servicios conocidos que funcionan desde la red de invitados, luego solicite deliberadamente un dominio de prueba bloqueado y confirme que aparezca la página de bloqueo. Después del despliegue, compare la latencia del solucionador, la disponibilidad, los aciertos en caché, las solicitudes bloqueadas repetidas, los informes de falsos positivos y los signos de omisión, como el uso de DNS con valores fijos o VPN.
Casos de uso en WiFi para invitados y WiFi público
Las redes de un hotel no atienden todas a las mismas personas. Los huéspedes necesitan una conexión a internet funcional, el personal puede necesitar un acceso diferente para su trabajo y un nivel de pago puede tener su propia política. Un filtro DNS puede aplicar diferentes reglas a esos grupos cuando el diseño de la red los separa, en lugar de asumir que una sola política es adecuada para todos.
Las escuelas y residencias estudiantiles enfrentan un desafío similar. Los alumnos, el personal y los residentes pueden usar la misma red del edificio pero necesitan políticas distintas. En el sector salud, los operadores pueden usar el filtrado a nivel de red como una capa de protección, reconociendo que las verificaciones de dominio no reemplazan los controles para sistemas clínicos ni inspeccionan cada parte de un servicio en línea.
| Entorno | Necesidad de política | Función del filtrado de DNS |
|---|---|---|
| Hotel | Diferenciar entre redes de invitados, personal y de pago | Aplicar diferentes reglas de categoría y amenazas según la red |
| Escuela o residencia | Establecer reglas adecuadas para alumnos, personal y residentes | Respaldar la protección y la visibilidad de políticas en dispositivos personales |
| Hospital | Agregar una capa para el WiFi de invitados y público | Bloquear destinos seleccionados manteniendo vigentes los controles de seguridad clínica |
| Aeropuerto o biblioteca | Gestionar el acceso público en dispositivos compartidos | Aplicar políticas de red coherentes y revisar informes |
| Organización con múltiples sedes | Mantener las políticas gestionables en todos los establecimientos | Centralizar las reglas y comparar la actividad entre grupos de redes |
Adaptación de las políticas al lugar de uso
Los operadores pueden establecer reglas en torno a la identidad de la red, como un SSID o VLAN, y ajustarlas por sucursal o horario. Pueden elegir controles de categorías, bloqueo de amenazas, aplicación de Safe Search, listas de permitidos o bloqueados, informes y una página de bloqueo personalizada con su marca. Estas funciones ayudan al personal a explicar una restricción y revisar si la regla está funcionando, pero no revelan la intención completa de un usuario ni todas las acciones dentro de un servicio permitido.
Purple Shield es un ejemplo de servicio de DNS de protección diseñado para WiFi público y de invitados. Ofrece controles de categoría, Safe Search, defensa contra amenazas, bloqueo de anuncios y rastreadores a nivel de DNS, informes y políticas que se pueden configurar por SSID, VLAN, sitio o horario. Su modelo de entrega en la nube está diseñado para funcionar sin instalar agentes de cliente, aunque el operador sigue necesitando una estrategia de seguridad más amplia para las elusiones y amenazas que el filtrado DNS no puede inspeccionar.
Riesgos de evasión y falsos positivos
En una red compartida, el modelo de acceso tiene un punto débil: solo puede verificar las solicitudes de destino que llegan al solucionador. Una computadora portátil de hotel, un teléfono de estudiante y una tableta de visitante llegan sin gestionar, por lo que uno puede usar el DNS del recinto mientras que otro envía búsquedas a un solucionador público o una aplicación sigue su propia ruta. La regla sigue existiendo, pero el tráfico nunca llega al punto de control.
Una VPN o un proxy pueden llevar toda la sesión fuera del resolutor local. El DNS cifrado es más limitado: DoH y DoT protegen la búsqueda en sí, mientras que HTTPS protege el tráfico web entre el navegador y el sitio. Esa diferencia es importante porque la navegación HTTPS habitual no demuestra que la consulta DNS haya utilizado DNS cifrado. NLnet Labs advierte que DoH puede eludir la política de seguridad DNS local y ser difícil de detectar en entornos mixtos (Presentación de NLnet Labs sobre DoH).
La cobertura y la precisión requieren revisión
La evidencia debe interpretarse como una advertencia sobre la cobertura, no como una tabla de puntuación universal. Un estudio de red educativa de 2026 reportó una precisión del 98.53% en condiciones de prueba normales, disminuyendo al 50% cuando se introdujeron elusiones de VPN o DoH, con precisión, exhaustividad y puntuación F1 reportadas como 0% en ese caso de elusión, y muestras independientes que mostraron tasas de bloqueo del 85% y 96% y tasas de falsos positivos del 12% y 8% (estudio de filtrado DNS en redes educativas).
Esas cifras apuntan a dos fallas que se perciben de manera diferente para los usuarios. Una omisión deja pasar un destino prohibido. Un falso positivo bloquea uno inofensivo y genera tickets de soporte, soluciones alternativas y presión para flexibilizar la política.
Un bloqueo solo es útil si se confía en la política. Ofrezca a los usuarios una explicación clara, proporcione una vía para solicitar una revisión y mantenga registros de las excepciones y decisiones de política.
Las categorías claras, las páginas de bloqueo sencillas, las excepciones temporales, los registros de auditoría y una ruta de revisión ayudan a los equipos a corregir errores sin abandonar la puerta de control. Un mayor nivel de bloqueo no es automáticamente mejor cuando interrumpe los estudios, la atención médica, las noticias o el trabajo empresarial; mida las detecciones y las quejas conjuntamente.
Cómo evaluar el filtrado DNS para su red
Comience por listar las redes y grupos que necesitan reglas diferentes. Un hotel, escuela o recinto público puede necesitar políticas separadas para invitados, personal, alumnos, residentes o acceso de pago. Decida si un servicio debe funcionar con un firewall existente y sin necesidad de dispositivos de hardware o agentes de endpoint.
Luego pregunte cómo se aplicará la política. ¿Qué controles se necesitan para categorías, Safe Search, amenazas, publicidad, horarios, informes y páginas de bloqueo personalizadas? ¿Cómo abordará la red los resolvedores externos, las VPN y el DNS cifrado? Pregunte cómo se comporta el servicio si un resolvedor o centro de datos no está disponible, y si el comportamiento de falla elegido coincide con las necesidades de seguridad y disponibilidad de la sede.
Revise la evidencia que un proveedor puede proporcionar, incluidas las solicitudes bloqueadas, la revisión de falsos positivos, la disponibilidad del resolutor y la cobertura de políticas. Si la inteligencia sobre amenazas forma parte de la propuesta, comprenda cómo se obtienen y mantienen sus listas con orientación sobre feeds de inteligencia sobre amenazas DNS. La elección correcta debe coincidir con los requisitos operativos y no depender de afirmaciones generales de que un solo control puede resolver todos los problemas de seguridad en línea.
Purple Shield proporciona DNS de protección y filtrado de contenido para WiFi de invitados y público, con políticas específicas por red, bloqueo de amenazas, informes y sin agentes de cliente. Visite Purple Shield para ver cómo sus controles a nivel de DNS pueden integrarse junto con su seguridad de red existente.