Colocar Pi-hole en la ruta real de la red
Coloqué Pi-hole donde el laboratorio pudiera usarlo como un servicio DNS real, no como un tablero ejecutándose al margen. Los clientes lo recibieron mediante la configuración de red, la resolución ascendente se mantuvo intencional y pfSense siguió siendo el punto de control para las rutas permitidas al tráfico DNS.
DNS es una señal de comportamiento
Las solicitudes de resolución de nombres pueden revelar actualizaciones, telemetría, publicidad, configuraciones fallidas y dispositivos accediendo a servicios que no sabías que usaban.
Bloquear no es todo el proyecto
Una buena configuración también necesita resolutores ascendentes adecuados, identificación de clientes, disciplina en la lista de permitidos y un plan para cuando el propio DNS deje de estar disponible.
La siguiente pregunta útil
En lugar de preguntar solo cuántos dominios se bloquearon, pregunta qué clientes cambiaron su comportamiento, qué solicitudes se repiten inesperadamente y qué servicios deberían monitorearse en otro lugar.
Los registros cambiaron mi forma de ver los dispositivos silenciosos
Los dispositivos que parecían inactivos con frecuencia seguían contactando servicios de telemetría, actualización, publicidad o destinos que fallaban. Pi-hole convirtió esos hábitos invisibles en evidencia. El valor no estaba en bloquear la mayor cantidad de dominios, sino en reconocer comportamientos, comprobar una teoría y saber cuándo una solicitud debía tratarse desde el firewall o el monitoreo.
Leer el DNS sin sacar conclusiones apresuradas
Un dominio con mucha actividad en el registro no es automáticamente malicioso y una solicitud bloqueada no es automáticamente una victoria. La frecuencia, el momento, la identidad del cliente y el propósito del destino importan. Antes de cambiar una regla, comparo lo que el dispositivo debería hacer con lo que realmente muestran sus solicitudes.
Ese proceso suele comenzar con un solo cliente. Lo identifico por dirección y nombre de host, agrupo sus solicitudes repetidas, verifico si el momento coincide con una aplicación o actualización programada y busco reintentos fallidos. Una solicitud cada pocos segundos puede indicar telemetría, una configuración dañada o un servicio bloqueado del cual el dispositivo no sabe recuperarse.
Por eso Pi-hole se convirtió en algo más que un bloqueador de publicidad. Es una primera capa de visibilidad que ayuda a decidir dónde continuar la investigación. Algunos hallazgos se convierten en ajustes a la lista de permitidos, otros en restricciones del firewall y otros en objetivos de monitoreo. Lo importante es mantener conectadas la evidencia y la decisión para que un cambio futuro no deshaga el razonamiento.