Como configurar DNS over HTTPS (DoH) en Mikrotik con CloudFlare DNS

¿DoH?

Las consultas de DNS se envían en texto plano, lo que significa que cualquiera puede leerlas. El DNS sobre HTTPS (DoH) y el DNS sobre TLS (DoT) encriptan las consultas y las respuestas del DNS para mantener la seguridad y la privacidad de navegación del usuario. Sin embargo, ambos enfoques tienen sus ventajas y desventajas.
Extracto de CloudFlare

¿Resumen?

Si, es muy técnico este tema pero en resumen DoH es una manera de encriptar nuestras consultas DNS para que no la tengan claro a que navegamos y no puedan alterar las consultas. La verdad es que el DNS es un tema muy largo, pero aquí pueden continuarlo. La mayor ventaja de DoH sobre DoT es que DoT utiliza aun el protocolo 53 de DNS, por lo cual es fácil identificarlo mientras que DoH es un protocolo que utilizamos para navegar por lo que es mas difícil poder tenerle una restricción. Si eres un usuario comun y corriente cualquiera te va bien, si eres un ISP probablemente DoT sera mas de tu agrado por la identificacion del trafico.

Pasos para configurar DoH de CloudFlare

A continuación vamos paso por paso como habilitar DoH en nuestra red.

Requisitos:

Tener una versión de RouterOS 6.47 o superior
Tener los certificados root importados

Comprobar o actualizar RouterOS

Para comprobar o actualizar, la manera mas rapida es dentro de winbox ir a

QuickSet>Check for Updates

Y nos dara la version que tenemos y la version mas reciente

Descargar e importar los certificados root CA

Abrimos una nueva terminal desde winbox y escribimos y damos enter

/tool fetch url=https://curl.se/ca/cacert.pem
/certificate import file-name=cacert.pem passphrase=””

Remover los servidores DNS existentes

Desde winbox nos vamos a IP>DNS>Servers y borramos los que estén dejando el campo vació.

Agregar dos entradas estaticas para el hostname del DNS

Desde winbox en IP>DNS>Static

Agregamos los siguientes registros

cloudflare-dns.com A 104.16.248.249
cloudflare-dns.com A 104.16.249.249

Agregamos la siguiente URL en IP>DNS>Use DoH Server y lo marcamos

https://cloudflare-dns.com/dns-query

Verificamos que DoH este habilitado y funcionando en nuestra red

Primero, si usábamos otros servidores DNS deben conectarse y desconectarse de la red para que les asigne el cambio (o usan otros en DHCP Servers, deben removerlos antes de hacer esto)

Ahora podemos acceder a 1.1.1.1/help y nos dirá si ya esta habilitado