DNS redundante en casa con Pi-hole, Unbound, Keepalived y VPN

Si estás cacharreando con tu red doméstica y te preguntas si montar un DNS sólido merece la pena, la respuesta es sí, y además puede ser muy entretenido. Un usuario compartió hace poco el montaje completo de su red doméstica centrado en redundancia, privacidad e integración con VPN. Analicé lo que hizo y las conclusiones que puedes sacar de su diseño, ya seas un entusiasta consagrado del homelab o simplemente alguien que busca hacer su DNS más resistente.

Cómo está montada la estructura

Aquí tienes un resumen rápido de la arquitectura. Un router (en este caso un Ubiquiti) actúa como puerta de entrada DNS principal para todos los clientes. Dos (o más) servidores ejecutan Pi-hole + Unbound sobre hardware compacto (Raspberry Pi), configurados con un nodo "activo" y otro en "espera".

El DNS está configurado en modo recursivo (mediante Unbound), lo que significa que los servidores acuden directamente a los servidores raíz de DNS en lugar de depender únicamente de resolutores ascendentes. Una IP flotante (virtual) gestionada con Keepalived garantiza que, si un servidor falla, el otro asume el servicio de forma automática.

Todo el tráfico doméstico se enruta a través de una VPN (en este caso ProtonVPN), de modo que incluso las consultas a los servidores raíz quedan anonimizadas frente al ISP. Pi-hole no realiza ningún almacenamiento en caché; delega por completo en el llenado de caché y la recursión de Unbound. Las entradas DNS locales se siguen gestionando (a través del router y el DNS local), por lo que los dispositivos internos siguen siendo accesibles incluso si el clúster de DNS empieza a fallar.

Básicamente, es una pequeña pila de DNS de nivel empresarial dentro de una casa particular, y resulta sorprendentemente asequible de montar.

¿Por qué montar esto en casa?

Podrías preguntarte si esto es exagerado para una red doméstica. Es una pregunta razonable. Todo depende de cuánto te importen la fiabilidad, la privacidad y el control, y esto es lo que obtienes a cambio del esfuerzo.

Fiabilidad y redundancia

Cuando el DNS se cae, nada funciona. Tratarlo como una pieza crítica de tu infraestructura (igual que harías en una pequeña empresa) tiene todo el sentido si tienes equipos trabajando en remoto o servicios domésticos importantes. Usar Keepalived + Pi-hole implica que, si un nodo falla, el otro toma el relevo sin que los clientes lo noten.

Privacidad y confianza

Al ejecutar Unbound de forma recursiva, reduces la dependencia de resolutores DNS de terceros y evitas varios problemas de rastreo por parte de proveedores ascendentes. El toque personal de este usuario, al canalizar todo el tráfico DNS mediante la VPN, añade otra capa adicional para que ni siquiera las peticiones a los servidores raíz queden expuestas ante el ISP.

Control y visibilidad

Consigues visibilidad completa de lo que resuelve cada dispositivo, bloqueo de anuncios y rastreadores (mediante Pi-hole) y registros DNS locales personalizados para los equipos de tu homelab. Si ya administras un laboratorio o estás migrando cargas de trabajo, esto te proporciona un control exhaustivo sobre el comportamiento del DNS.

Preparación para el futuro

A medida que sumas más dispositivos (IoT, puestos de trabajo en remoto, clústeres de Kubernetes, backups), necesitas un DNS que simplemente funcione. Un sistema de resolución con respaldo hace que tu red local sea mucho más resistente.

La mecánica: cómo funciona

Aquí tienes el funcionamiento explicado con claridad.

Unbound como resolutor recursivo

En lugar de apuntar Pi-hole a un proveedor ascendente como Google o Cloudflare, Unbound consulta directamente a los servidores raíz en nombre de tu red. Dependes menos de un único proveedor externo, y la privacidad y el rendimiento pueden mejorar. Abundan los tutoriales que explican cómo configurar Unbound con este propósito.

Pi-hole como filtro de DNS y motor de estadísticas

Pi-hole bloquea dominios no deseados (publicidad, rastreadores) y actúa como el punto de entrada de DNS para tu red. En este diseño apenas realiza almacenamiento en caché, delegando esa tarea en Unbound, lo que mantiene la arquitectura limpia.

Keepalived e IP virtual para failover

Ambos nodos de Pi-hole/Unbound comparten una dirección IP virtual en la red local, y el router entrega esa IP virtual como servidor DNS. Si el nodo principal falla o queda inaccesible, Keepalived mueve la IP virtual al nodo secundario de forma automática. A los clientes les da igual; siguen consultando la misma IP.

Enrutamiento por VPN para mayor privacidad

Todo el tráfico de DNS (y en este caso, todo el tráfico de la red doméstica) se canaliza mediante un servicio VPN. Cuando Unbound contacta con los servidores raíz, lo hace a través del túnel cifrado, impidiendo que el ISP observe o interfiera pasivamente.

Entradas DNS locales y vía de respaldo

El propio router gestiona las entradas de DNS locales (para que puedas acceder, por ejemplo, a nas.home o k8s.lab) y sirve de mecanismo de seguridad: si el clúster de DNS cae por completo, conservas cierta resolución básica, al menos de manera interna.

Puntos a vigilar (y cómo mantenerlo sólido)

Hacer esto correctamente exige conocer los inconvenientes y los riesgos habituales.

Un hardware modesto como una Raspberry Pi funciona, pero aun así necesitarás alimentación fiable, conectividad de red estable y refrigeración adecuada.

El router representa una dependencia única. Incluso con dos nodos de DNS, tus clientes se verán afectados si el router cae, y el propio usuario reconoció: "sí, mi router es un punto único de fallo".

El failover requiere pruebas y mantenimiento. Desconecta un nodo y comprueba si el otro asume la IP virtual; varios usuarios señalaron peculiaridades en el comportamiento del failover en situaciones reales.

Si ejecutas varias instancias de Pi-hole, te convendrá mantener sincronizadas sus listas de bloqueo y configuraciones. Herramientas como Nebula-sync (o soluciones anteriores como Gravity-Sync) resultan muy útiles.

Sopesa la complejidad frente al beneficio. En una vivienda habitual con pocos dispositivos, una única instancia de Pi-hole con un proveedor ascendente por defecto suele bastar, pero si convives con teletrabajadores, servicios autoalojados o laboratorios, el esfuerzo adicional compensa.

Mantén unos buenos hábitos de seguridad. Cuando expones más infraestructura (VPN, DNS, servicios autoalojados), asegúrate de blindar los accesos, conservar el software al día y revisar los registros.

Cómo adaptar este enfoque para tu entorno en Catalogic

Si trabajas en backup y migración con Kubernetes y generas contenido sobre IA y ChatGPT, seguro que ya valoras la fiabilidad y el control, y esta arquitectura de DNS encaja con ese perfil en varios puntos.

Para teletrabajo y desarrollo en remoto, puedes aplicar una configuración de DNS redundante en las redes de tu equipo para evitar interrupciones si un nodo cae. En cuanto a la infraestructura de laboratorio, si levantas clústeres de Kubernetes en casa o pruebas flujos de backup y migración, contar con resolución DNS local y visibilidad representa una ventaja enorme.

En creación de contenidos, podrías explicar o mostrar cómo tu pila de DNS refuerza la privacidad, la estabilidad en remoto y los entornos híbridos de nube y homelab, un material excelente para una audiencia interesada en IA y ChatGPT. Además, si asesoras a clientes en tareas de backup y migración, puedes enseñar cómo la resiliencia en DNS es una base indispensable de la infraestructura moderna (incluso en casa) y cómo escala hacia la gran empresa.

Conclusión

Este despliegue no es para todo el mundo. Si solo tienes un puñado de dispositivos y no te preocupan las caídas puntuales de DNS, te bastará una configuración sencilla. Si alojas servicios, trabajas en remoto, valoras la privacidad o quieres evitar sorpresas por desconexiones repentinas, invertir en un DNS redundante tiene todo el sentido.

Además, es un proyecto atractivo. Aprendes sobre recursión, failover y enrutamiento con VPN, mientras observas de cerca cómo el DNS sostiene cualquier servicio en internet. Para quienes disfrutan cacharreando, resulta sumamente gratificante.