DNS público Mullvad: Guia completo em espanhol

Informatec Digital » Recursos » DNS público Mullvad: Guia completo em espanhol

Se você chegou aqui se perguntando se instalar um perfil DNS da Mullvad no seu celular ou Mac realmente altera seu provedor de DNS , você não está sozinho. Muitas pessoas percebem que, após instalar o perfil, suas configurações de rede ainda mostram servidores como 1.1.1.1 ou os servidores DNS do seu provedor de internet, levando-as a acreditar que algo está errado. Na realidade, há um porém: o iOS, o macOS e muitos navegadores gerenciam o DNS em vários níveis, e a interface clássica de "DNS do Sistema" nem sempre reflete com precisão o que está acontecendo nos bastidores.

Além disso, a Mullvad não oferece um DNS qualquer, mas sim um serviço de DNS público criptografado (DoH e DoT) com filtros de privacidade que podem ser usados ​​mesmo que você não seja cliente da VPN deles. Isso levanta muitas questões pertinentes: eles podem fornecer DNS sobre HTTPS usando os servidores DNS de outra empresa? O que acontece se eu estiver conectado à VPN? Vou perder velocidade? Como posso ter certeza de que estou usando os servidores deles e não os do meu provedor de internet?

O que é o DNS público criptografado da Mullvad e para que ele é usado?

O serviço DNS público da Mullvad é um resolvedor DNS acessível via DNS sobre HTTPS (DoH) e DNS sobre TLS (DoT) . Em vez de enviar solicitações DNS em texto simples via UDP/TCP 53, o dispositivo estabelece uma conexão criptografada (HTTPS ou TLS) com os servidores da Mullvad, e todas as consultas são encapsuladas nessa conexão.

O principal objetivo é impedir que terceiros (provedores de internet, redes Wi-Fi públicas, etc.) espionem os domínios que você visita quando não está conectado à VPN da Mullvad. Com a VPN ativa, suas consultas de DNS já passam pelo túnel criptografado até um resolvedor dentro do próprio servidor VPN, e o benefício adicional de usar DoH/DoT geralmente é mínimo e até contraproducente em termos de latência.

Um detalhe interessante é que este serviço é público e gratuito, e não requer uma conta Mullvad VPN . Você pode usá-lo em navegadores, dispositivos móveis, computadores ou até mesmo no nível do sistema, desde que o dispositivo suporte DoH ou DoT.

Para auxiliar na resolução inicial, o Mullvad mantém um resolvedor DNS bastante limitado na porta 53 (UDP/TCP) que resolve apenas nomes como dns.mullvad.net, adblock.dns.mullvad.net e nomes semelhantes. A ideia é que o cliente possa descobrir o endereço IP do resolvedor criptografado antes de usar DoH/DoT; outras consultas não são atendidas sem criptografia por esse canal.

Recursos de privacidade e segurança do DNS Mullvad

Além da criptografia em si, o serviço DNS público da Mullvad incorpora diversas medidas adicionais de privacidade do usuário que valem a pena conhecer se você busca algo além de uma simples alteração de servidor DNS.

Por um lado, inclui bloqueio de conteúdo configurável através de diferentes perfis . Dependendo do nome de host DNS que você usa, é possível bloquear anúncios, rastreadores, domínios maliciosos, sites adultos, sites de jogos de azar e redes sociais. É uma forma bastante agressiva de filtrar no nível do DNS sem precisar instalar listas manualmente em cada dispositivo.

Eles também implementam a minificação de QNAME , uma técnica pela qual o servidor da Mullvad minimiza as informações que compartilha com outros servidores DNS durante o processo de resolução. Isso significa que os servidores autoritativos envolvidos na cadeia veem menos dados sobre a consulta original, limitando a exposição da sua atividade de navegação.

Em relação à disponibilidade, o Mullvad utiliza um serviço anycast : várias máquinas distribuídas em diferentes locais anunciam o mesmo endereço IP de DNS, e o roteamento da internet deve encaminhar suas solicitações para o servidor "mais próximo" em termos de topologia de rede. Se o servidor mais próximo ficar indisponível, o tráfego é redirecionado para o próximo sem que você precise alterar nada na sua configuração.

É importante saber que eles não usam ECS (EDNS Client Subnet) e não possuem servidores DNS na Espanha . Isso significa que, para serviços que dependem muito de geolocalização (como CDNs), algumas resoluções podem direcioná-lo para pontos de presença próximos ao servidor DNS da Mullvad, em vez de um nó espanhol. Na prática, isso pode resultar em alguns milissegundos de latência extra em certas situações.

Perfis de bloqueio e nomes de host disponíveis no DNS Mullvad

A forma de escolher o tipo de filtragem desejada é alterando o nome de host DNS configurado no DoH ou DoT . Cada nome aponta para um perfil diferente, com vários níveis de bloqueio:

• dns.mullvad.netResolução limpa, sem bloqueio de anúncios, rastreadores ou qualquer outra coisa. DNS não filtrado.
• adblock.dns.mullvad.netBloqueia anúncios e rastreamento básico.
• base.dns.mullvad.net: domínios de publicidade + rastreadores + malware.
• extended.dns.mullvad.netTudo isso, além do bloqueio de redes sociais.
• family.dns.mullvad.net: publicidade, rastreadores, malware e conteúdo adulto, além de outras categorias destinadas ao uso familiar.
• all.dns.mullvad.netO pacote completo inclui bloqueadores de anúncios, proteção contra rastreamento, proteção contra malware, proteção contra conteúdo adulto, proteção contra jogos de azar e proteção contra redes sociais.

Com relação aos endereços IP e à integração DoH/DoT , a Mullvad publica pares IPv4/IPv6 para cada opção, juntamente com as portas correspondentes (443 para DoH, 853 para DoT). É importante observar que esses IPs não podem ser usados ​​como servidores DNS padrão na porta UDP/TCP 53; eles são destinados a resolvedores que entendem protocolos criptografados.

Por exemplo, para a opção "base" (bloqueio de anúncios, rastreadores e malware), você pode encontrar endereços associados como 194.242.2.4 (IPv4) e 2a07:e340::4 (IPv6), juntamente com a URL de consulta DoH https://base.dns.mullvad.net/dns-query e a porta TLS 853 para DoT.

Um ponto importante a considerar é que o Mullvad não oferece um perfil que bloqueie apenas malware . O plano mínimo, que inclui proteção contra domínios maliciosos, também inclui bloqueio de anúncios e rastreadores. Se você deseja filtros exclusivos contra malware, terá que procurar outro serviço ou refinar sua filtragem usando seu próprio resolvedor.

Em relação à transparência, a Mullvad detalha em seu repositório do GitHub quais listas de bloqueio compõem cada perfil . Eles utilizam fontes amplamente conhecidas, como OISD, AdGuard, Hagezi e UrlHaus para malware, e listas específicas para ecossistemas particulares (Alexa, Apple, Windows, Samsung, etc.) ao bloquear rastreadores. Sua filosofia é clara: poucas listas bem selecionadas para evitar uma enxurrada de falsos positivos.

Desempenho, anycast e comportamento dependendo da sua operadora.

Do ponto de vista prático, o serviço de DNS da Mullvad não possui uma rede de servidores tão extensa quanto a de alguns dos maiores provedores , mas ainda funciona razoavelmente bem com a maioria das conexões europeias. No entanto, a experiência real dependerá muito do seu provedor de serviços de internet.

Como o serviço é anycast e não possui ECS, a operadora usa BGP para decidir para qual instância do Mullvad enviar seu tráfego . Em testes realizados na Espanha, por exemplo, observou-se que alguns ISPs roteavam solicitações para servidores europeus (latências em torno de 30-40 ms), enquanto outros acabavam passando por nós nos Estados Unidos, aumentando a latência para mais de 100 ms.

Em casos como esses, você pode usar o comando ping para verificar os endereços IP do DNS Mullvad e descobrir se eles estão fornecendo o serviço a partir da Europa ou dos EUA . Se você observar tempos de resposta consistentemente acima de 100 ms, é provável que seu provedor de internet esteja roteando as solicitações para fora do continente. Para muitos usos, isso não será um grande problema, mas é algo a se considerar se você busca a menor latência possível.

Esse comportamento significa que nem todos os provedores de internet são igualmente adequados para usar o DNS Mullvad . Alguns provedores o encaminham muito bem para a Europa, enquanto outros acabam enviando consultas através do Atlântico. Isso não é uma falha do serviço em si, mas sim uma consequência do roteamento anycast e das políticas de interconexão de cada empresa.

Embora possa parecer uma limitação significativa, para navegação na web, streaming e tarefas de escritório online comuns, esses atrasos raramente representam um problema sério. Você notará o maior impacto se for particularmente sensível à latência (jogos online altamente competitivos, por exemplo) ou se sua conexão com a internet já for bastante lenta.

Configuração de DNS do Mullvad em navegadores web

Dependendo do navegador que você usa, é possível configurar o DNS sobre HTTPS diretamente no próprio cliente , sem alterar as configurações de DNS do sistema operacional. Isso é fundamental para entender por que você ainda vê o endereço 1.1.1.1 ou os servidores DNS do roteador nas configurações de rede: o navegador pode estar enviando todas as consultas DoH para o Mullvad, mesmo que o sistema ainda mostre outros servidores.

O navegador Mullvad , baseado no Firefox e focado em privacidade, usa o DNS do Mullvad sem filtros por padrão. A recomendação oficial é usar esse DNS criptografado somente quando você não estiver conectado à VPN Mullvad, pois, com o túnel ativo, as solicitações de DNS são resolvidas no servidor VPN e o uso de DoH (DoH) tende a aumentar a latência.

No próprio navegador Mullvad (e no Firefox para desktop), você pode acessar as configurações de "Privacidade e Segurança" e ativar o "DNS Seguro" com proteção máxima . Em seguida, na opção de provedor, escolha "Personalizado" e cole um dos URLs DoH oferecidos pelo Mullvad, como:

• https://dns.mullvad.net/dns-query
• https://adblock.dns.mullvad.net/dns-query
• https://base.dns.mullvad.net/dns-query
• https://extended.dns.mullvad.net/dns-query
• https://family.dns.mullvad.net/dns-query
• https://all.dns.mullvad.net/dns-query

No Chrome, Brave e Edge, o processo é semelhante: na seção de privacidade/segurança, habilite o uso de "DNS seguro", escolha um provedor personalizado e adicione um dos URLs mencionados acima. Às vezes, o navegador leva um tempo para validar o novo servidor, então você pode ver uma mensagem "verifique se este provedor é válido"; basta aguardar alguns instantes e tentar novamente.

Um ponto importante: se o seu navegador usa seu próprio cliente Domain Honor (DoH), ele pode ignorar o DNS do sistema operacional . Isso significa que, mesmo que as preferências de rede do seu computador mostrem o Cloudflare, o DNS do Google ou o DNS do seu roteador, o tráfego do seu navegador pode estar passando pelo Mullvad. É exatamente isso que pode acontecer se você instalar um perfil de DNS do Mullvad no macOS/iOS, mas também tiver o DoH interno do navegador ativado e apontando para um servidor diferente.

Usando o Mullvad DNS no Android, iOS, Windows, macOS e Linux.

Se preferir aplicar o DNS do Mullvad a todo o sistema (e não apenas ao navegador), você pode usar as opções de DNS privado ou os perfis de configuração oferecidos por diversas plataformas modernas.

No Android 9 e versões posteriores , você tem a opção "DNS privado" nas configurações de rede. Ao selecionar "Provedor de DNS privado" e inserir um dos nomes de host do Mullvad (dns.mullvad.net, adblock.dns.mullvad.net, base.dns.mullvad.net, etc.), todo o tráfego DNS do sistema tentará resolver via DoT para esse servidor. Se o Android detectar latência excessiva ou falhar na conexão, ele desativará esse DNS privado, o que pode resultar em erros em redes complexas.

No ecossistema da Apple (iOS, iPadOS e macOS recentes), a Mullvad oferece perfis de configuração específicos para DoH e DoT . Esses perfis são baixados do repositório GitHub da empresa, instalados em Configurações/Sistema e, em seguida, todo o sistema está pronto para usar esses servidores DNS criptografados. É aqui que surge a confusão: o painel DNS clássico na seção "Rede" ainda pode exibir servidores legados (como 1.1.1.1), mas o tráfego real é roteado por meio do perfil.

Existem duas limitações a ter em conta no que diz respeito à Apple:

• Se você ativar Retransmissão privada do iCloudAlgumas ou todas as suas consultas de DNS podem ser direcionadas para os servidores da Apple, mesmo que você tenha o perfil Mullvad instalado.
• No macOS 13 e versões anteriores, É melhor não instalar vários perfis de DNS ao mesmo tempo.visto que gerenciar vários perfis pode ser problemático.

No Windows 11 , o sistema inclui suporte em nível de sistema para DNS baseado em domínio (DoH). Você pode editar as configurações de DNS da sua interface de rede (Wi-Fi ou Ethernet), atribuir os endereços IPv4/IPv6 do Mullvad ao perfil desejado e, em seguida, selecionar a opção "DNS sobre HTTPS (modelo manual)", especificando a URL correspondente (por exemplo, https://base.dns.mullvad.net/dns-query). Se você usa Wi-Fi e Ethernet no mesmo computador, é recomendável configurar ambos os adaptadores ou garantir que nenhum esteja interferindo no outro.

No Linux (Ubuntu, Fedora e derivados) , a maneira mais limpa é usar o systemd-resolved. Configure o arquivo resolved.conf para usar os IPs do Mullvad como servidor DNS global, habilite DNSOverTLS=yes (ou oportunistic se tiver problemas) e aponte o arquivo /etc/resolv.conf para o stub do systemd-resolved. Após reiniciar os serviços, o comando resolvectl status deverá mostrar o Mullvad como o servidor DNS atual.

Como verificar se você está realmente usando o DNS da Mullvad

Após a configuração do serviço, é normal querer garantir que não haja vazamentos de DNS ou consultas passando por outros servidores . A Mullvad oferece uma página bastante simples para isso em seu site oficial.

A partir do seu navegador, você pode acessar https://mullvad.net/check . Se a configuração estiver correta, a seção DNS exibirá "Sem vazamentos de DNS" e, ao expandir os detalhes, você verá que o servidor utilizado inclui "dns" em seu nome de host, por exemplo, algo como se-mma-dns-001.mullvad.net. Isso comprova que as consultas estão chegando à infraestrutura da Mullvad.

Se servidores DNS pertencentes à sua operadora, Google, Cloudflare ou outros provedores aparecerem na mesma página, significa que seu dispositivo ou navegador ainda está enviando algumas ou todas as suas consultas para fora do Mullvad . Nesse caso, verifique se você tem o Domain Overhead (DoH) ativado no seu navegador apontando para outro serviço, um proxy SOCKS 5 com a opção "Proxy DNS ao usar SOCKS v5" ativada (típico no Firefox com o proxy Mullvad) ou outras camadas intermediárias.

É importante lembrar também que, quando você está conectado à VPN da Mullvad , o próprio aplicativo encaminha seu DNS para os servidores DNS do servidor VPN ao qual você está conectado. Usar DNS público criptografado simultaneamente pode ser desnecessário ou até mesmo causar problemas de latência ou resolução, portanto, a recomendação oficial é reservar o DNS público para quando você não estiver usando a VPN.

Bloqueio de conteúdo: como funciona e o que você pode esperar.

O mecanismo de bloqueio de conteúdo do Mullvad DNS é relativamente simples, mas eficaz. Quando você consulta um domínio que aparece nas listas de bloqueio selecionadas, o resolvedor simplesmente responde que o nome não existe (retornando um NXDOMAIN). O navegador interpreta isso como se o domínio não tivesse um endereço IP e, portanto, o conteúdo associado não é carregado.

Isso permite bloquear um número significativo de anúncios, rastreadores, domínios maliciosos, sites adultos, sites de jogos de azar e plataformas de mídia social sem instalar extensões em cada dispositivo. No entanto, o bloqueio em nível de DNS tem limitações estruturais: por exemplo, não consegue filtrar eficazmente anúncios de plataformas que exibem publicidade e conteúdo principal do mesmo domínio (como costuma acontecer com o YouTube).

É por isso que a Mullvad recomenda até mesmo combinar seu DNS com bloqueadores de conteúdo de navegador como o uBlock Origin, que já vem pré-instalado no navegador Mullvad. O DNS atua como a primeira linha de defesa, reduzindo significativamente o ruído geral, e a extensão ajusta a filtragem dentro do próprio navegador.

A abordagem da Mullvad é vantajosa porque a seleção de suas listas é feita com muito cuidado . Eles não adicionam dezenas de listas de bloqueio indiscriminadamente, mas sim escolhem fontes confiáveis ​​que minimizam falsos positivos. Isso torna o equilíbrio entre proteção e compatibilidade bastante razoável para uso doméstico ou mesmo profissional.

Do ponto de vista técnico, se você quiser se aprofundar, o repositório do Mullvad no GitHub mostra exatamente quais listas são usadas em cada perfil (adblock, base, extended, family, all) , bem como a fonte original de cada uma. Isso permite avaliar se alguma lista pode entrar em conflito com suas necessidades (por exemplo, se você usa serviços muito específicos que frequentemente acabam sendo listados por engano em alguns sistemas agressivos de bloqueio de anúncios).

Em suma, o DNS público da Mullvad tornou-se uma opção muito atraente para quem deseja aumentar a privacidade e reduzir o spam sem depender de gigantes da tecnologia ou dos servidores DNS padrão de seus provedores de internet. Ele tem suas desvantagens — não há servidores DNS na Espanha, não oferece suporte a ECS, não disponibiliza perfis "somente para malware" e seu desempenho depende muito do roteamento de cada provedor —, mas, em contrapartida, oferece filtragem transparente, criptografia de ponta a ponta das consultas e uma abordagem consistente com a filosofia de privacidade da marca.