Resultado: tu Pi-hole no ve la consulta, y por lo tanto no puede bloquear nada.<\/p>\n
C\u00f3mo arreglarlo:<\/strong><\/p>\n Esto no bloquea el puerto 443 en s\u00ed (no se puede, sin romper el resto de internet), pero bloquea el dominio\/bootstrap que el navegador necesita para “encontrar” el resolver DoH.<\/li>\n<\/ul>\n Google Home, Chromecast, Roku y muchas smart TVs vienen con su propio servidor DNS programado de f\u00e1brica. No importa lo que configures en el router \u2014 estos equipos ignoran por completo esa configuraci\u00f3n y le preguntan directamente a su propio servidor, a veces incluso usando DNS-over-TLS (DoT) o DNS-over-QUIC (DoQ) por el puerto 853.<\/p>\n La \u00fanica forma real de pararlos es a nivel de firewall<\/strong>, no de configuraci\u00f3n de red.<\/p>\n C\u00f3mo arreglarlo:<\/strong><\/p>\n Paso 1 \u2014 Redirige por la fuerza el puerto 53 hacia tu Pi-hole<\/strong>, as\u00ed cualquier consulta DNS normal que no vaya dirigida a tu Pi-hole se reencamina hacia all\u00e1:<\/p>\n UniFi (Network \u2192 Settings \u2192 Firewall & Security \u2192 Create New Rule):<\/em><\/p>\n <\/p>\n ASUS (AsusWRT):<\/em><\/p>\n pfSense \/ OPNsense:<\/em><\/p>\n MikroTik RouterOS:<\/em><\/p>\n OpenWrt \/ Linux como gateway (si Pi-hole corre en el mismo router):<\/em><\/p>\n pfSense \/ OPNsense:<\/em><\/p>\n TP-Link Omada \/ ASUS:<\/em> estos no traen NAT\/redirecci\u00f3n de puerto DNS de forma nativa en la interfaz est\u00e1ndar \u2014 para forzar el puerto 53 en estos equipos generalmente es m\u00e1s pr\u00e1ctico simplemente configurar el DNS de la red (DHCP) para que apunte directo a tu Pi-hole<\/strong>, y usar las reglas de bloqueo del Paso 2 como respaldo para los equipos que ignoren esa configuraci\u00f3n.<\/p>\n Paso 2 \u2014 Bloquea DoT\/DoQ (puerto 853) saliendo directo a internet:<\/strong><\/p>\n MikroTik RouterOS:<\/em><\/p>\n <\/p>\n OpenWrt \/ Linux como gateway:<\/em><\/p>\n <\/p>\n Y ojo con esto: si usas 1 sola lista, no bloqueas nada. Si usas 15, ahora ni tu banco carga. El balance est\u00e1 en 2 a 6 listas bien elegidas \u2014 no en coleccionarlas todas como Pok\u00e9mon.<\/p>\n M\u00e1s listas no significa m\u00e1s protecci\u00f3n. Significa m\u00e1s solapes, m\u00e1s falsos positivos, y un dolor de cabeza cuando algo se rompe y no sabes cu\u00e1l de tus 15 listas fue la culpable.<\/p>\n La base que recomiendo:<\/strong> el repositorio hagezi\/dns-blocklists<\/a>, que organiza las listas por nivel de agresividad:<\/p>\n Adem\u00e1s del nivel base, puedes sumar listas especializadas seg\u00fan tu caso:<\/p>\n Mi recomendaci\u00f3n pr\u00e1ctica:<\/strong><\/p>\n Eso te deja entre 2 y 4 listas activas \u2014 lejos de los dos extremos.<\/p>\n C\u00f3mo instalarlas:<\/strong><\/p>\n Si tu Pi-hole no est\u00e1 bloqueando lo que deber\u00eda, revisa estas tres cosas en orden:<\/p>\n Con estos tres puntos resueltos, tu Pi-hole finalmente ve \u2014 y bloquea \u2014 el 100% del tr\u00e1fico DNS de tu red.<\/p>\n [vc_row type=”in_container” full_screen_row_position=”middle” column_margin=”default” column_direction=”default” column_direction_tablet=”default” column_direction_phone=”default” scene_position=”center” text_color=”dark” text_align=”left” row_border_radius=”none” row_border_radius_applies=”bg” row_position_desktop=”default” row_position_tablet=”inherit” row_position_phone=”inherit” overflow=”visible” overlay_strength=”0.3″ gradient_direction=”left_to_right” shape_divider_position=”bottom” bg_image_animation=”none”][vc_column column_padding=”no-extra-padding” column_padding_tablet=”inherit” column_padding_phone=”inherit” column_padding_position=”all” flex_gap_desktop=”10px” column_element_direction_desktop=”default” column_element_spacing=”default” desktop_text_alignment=”default” tablet_text_alignment=”default” phone_text_alignment=”default”…<\/p>\n","protected":false},"author":1,"featured_media":155,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[5],"tags":[],"class_list":["post-149","post","type-post","status-publish","format-standard","has-post-thumbnail","category-homelab"],"_links":{"self":[{"href":"https:\/\/hackpr.net\/blog\/wp-json\/wp\/v2\/posts\/149","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hackpr.net\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hackpr.net\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hackpr.net\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/hackpr.net\/blog\/wp-json\/wp\/v2\/comments?post=149"}],"version-history":[{"count":7,"href":"https:\/\/hackpr.net\/blog\/wp-json\/wp\/v2\/posts\/149\/revisions"}],"predecessor-version":[{"id":159,"href":"https:\/\/hackpr.net\/blog\/wp-json\/wp\/v2\/posts\/149\/revisions\/159"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/hackpr.net\/blog\/wp-json\/wp\/v2\/media\/155"}],"wp:attachment":[{"href":"https:\/\/hackpr.net\/blog\/wp-json\/wp\/v2\/media?parent=149"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hackpr.net\/blog\/wp-json\/wp\/v2\/categories?post=149"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hackpr.net\/blog\/wp-json\/wp\/v2\/tags?post=149"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
chrome:\/\/settings\/security<\/code> \u2192 busca “Use secure DNS” \u2192 ap\u00e1galo.![\"\"](\"https:\/\/hackpr.net\/blog\/wp-content\/uploads\/2026\/07\/Screenshot-2026-07-14-230320-1024x832.png\")
<\/strong><\/li>\n<\/ul>\n\n
about:config<\/code> y pon network.trr.mode<\/code> en 5<\/code>, si prefieres el m\u00e9todo t\u00e9cnico).<\/li>\n\n
\n
HKLM\\SOFTWARE\\Policies\\Google\\Chrome<\/code> \u2192 DnsOverHttpsMode = \"off\"<\/code><\/li>\nHKLM\\SOFTWARE\\Policies\\Mozilla\\Firefox\\DNSOverHTTPS<\/code> \u2192 Enabled = 0<\/code><\/li>\n<\/ul>\n<\/li>\n{ \"DnsOverHttpsMode\": \"off\" }<\/code><\/li>\n<\/ul>\n<\/li>\nhttps:\/\/raw.githubusercontent.com\/hagezi\/dns-blocklists\/main\/wildcard\/doh-vpn-proxy-bypass.txt\r\n<\/code><\/pre>\nError #2: Tus equipos “smart” tienen DNS interno hardcoded<\/h2>\n
![\"\"](\"https:\/\/hackpr.net\/blog\/wp-content\/uploads\/2026\/07\/Screenshot-2026-07-14-230923.png\")
TP-Link Omada (l\u00ednea empresarial, no la Archer de consumo):<\/em><\/p>\n\n
Action: Deny<\/code>, Protocol: TCP\/UDP<\/code>, Destination Port: 853<\/code>, Source: LAN<\/code><\/li>\n\n
853<\/code> (TCP y UDP) para el rango de IPs de tu LAN.<\/li>\n<\/ul>\n\n
Action: Block<\/code>, Protocol: TCP\/UDP<\/code>, Destination: any<\/code>, Destination Port: 853<\/code><\/li>\n\/ip firewall nat add chain=dstnat protocol=udp dst-port=53 src-address=!<IP_DE_TU_PIHOLE> action=dst-nat to-addresses=<IP_DE_TU_PIHOLE> to-ports=53 comment=\"Force DNS -> Pi-hole (UDP)\"\r\n\/ip firewall nat add chain=dstnat protocol=tcp dst-port=53 src-address=!<IP_DE_TU_PIHOLE> action=dst-nat to-addresses=<IP_DE_TU_PIHOLE> to-ports=53 comment=\"Force DNS -> Pi-hole (TCP)\"\r\n<\/code><\/pre>\niptables -t nat -A PREROUTING -p udp --dport 53 ! -s <IP_DE_TU_PIHOLE> -j DNAT --to-destination <IP_DE_TU_PIHOLE>:53\r\niptables -t nat -A PREROUTING -p tcp --dport 53 ! -s <IP_DE_TU_PIHOLE> -j DNAT --to-destination <IP_DE_TU_PIHOLE>:53\r\n<\/code><\/pre>\n\n
Interface: LAN<\/code>, Protocol: TCP\/UDP<\/code>, Destination: any<\/code>, Destination Port: 53<\/code>, Redirect target IP: <IP_DE_TU_PIHOLE><\/code>, Redirect target port: 53<\/code><\/li>\n\/ip firewall filter add chain=forward protocol=tcp dst-port=853 action=drop comment=\"Block DoT bypass\"\r\n\/ip firewall filter add chain=forward protocol=udp dst-port=853 action=drop comment=\"Block DoQ bypass\"\r\n<\/code><\/pre>\niptables -A FORWARD -p tcp --dport 853 -j DROP\r\niptables -A FORWARD -p udp --dport 853 -j DROP\r\n<\/code><\/pre>\nError #3: O tienes muy pocas blocklists, o tienes demasiadas<\/h2>\n
\n\n
\n \nNivel<\/th>\n Para qui\u00e9n es<\/th>\n<\/tr>\n<\/thead>\n \n Light<\/strong><\/td>\n Casi no genera restricciones \u2014 ideal si no hay un admin cerca para desbloquear cosas<\/td>\n<\/tr>\n \n Normal<\/strong><\/td>\n El punto de partida recomendado para la mayor\u00eda de los hogares<\/td>\n<\/tr>\n \n Pro<\/strong><\/td>\n Para hogares t\u00e9cnicos o quien quiera un filtrado m\u00e1s estricto<\/td>\n<\/tr>\n \n Pro++<\/strong><\/td>\n M\u00e1s agresivo, ya requiere mantenimiento activo<\/td>\n<\/tr>\n \n Ultimate<\/strong><\/td>\n Solo si est\u00e1s dispuesto a whitelistear seguido<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n \n
\n
\n
https:\/\/raw.githubusercontent.com\/hagezi\/dns-blocklists\/main\/adblock\/multi.txt\r\n<\/code><\/pre>\n<\/li>\npihole -g<\/code> para reconstruir gravity.<\/li>\nResumen<\/h2>\n
\n
\n[\/vc_column_text][\/vc_column][\/vc_row]\n","protected":false},"excerpt":{"rendered":"