Puerto 853 (DNS over TLS): para qué sirve y cómo protegerlo
El puerto 853 TCP es el de DNS over TLS (DoT): consultas DNS cifradas para que ni el operador ni nadie en la red pueda verlas o modificarlas. Android lo usa con la opción "DNS privado". Cloudflare (1.1.1.1), Google (8.8.8.8) y Quad9 lo ofrecen.
Qué es el puerto 853
DoT cifra el DNS en un puerto propio, por lo que es fácil de identificar (y de bloquear) en una red corporativa. DNS over HTTPS (DoH) va por el 443 y se confunde con el tráfico web normal.
¿Es peligroso tener abierto el puerto 853?
Riesgo bajo: Normal tenerlo abierto si el servicio está actualizado.
- Normal en resolvers públicos.
Cómo proteger el puerto 853
- Si gestionas una red y quieres controlar el DNS, bloquea el 853 de salida y ofrece tu propio resolver.
Comandos y configuración
Comprobar si el puerto 853 está abierto
sudo ss -tlnp | grep ':853 '
nc -zv 203.0.113.10 853
sudo nmap -p 853 203.0.113.10Activar DoT con systemd-resolved
# /etc/systemd/resolved.conf
[Resolve]
DNS=1.1.1.1#cloudflare-dns.com 9.9.9.9#dns.quad9.net
DNSOverTLS=yes
# sudo systemctl restart systemd-resolved && resolvectl statusTambién puedes comprobarlo desde fuera de tu red con nuestro escáner de puertos online.
Herramientas para comprobarlo
Preguntas frecuentes
¿DoT o DoH?
Protegen igual. DoT va en su propio puerto (853) y es más fácil de gestionar en una red; DoH va por el 443 y es más difícil de bloquear.