Ajuda para configurar DNS‑over‑TLS no Linux Mint (AdGuard, Mullvad, Cloudflare…)

Olá, comunidade!

Estou usando o Linux Mint como desktop principal. Pensei em melhorar a privacidade da minha conexão configurando o sistema para usar DNS‑over‑TLS (DoT)… por exemplo, os servidores DNS seguros da AdGuard, Mullvad (Ad‑block/Extended) ou Cloudflare.

Já li alguns tutoriais, mas ainda estou receoso de aplicar mudanças que possam “quebrar” o sistema ou deixar a rede inutilizável.

Dito isso, Qual a forma mais segura de habilitar DoT no Mint? Devo usar systemd-resolved, dnscrypt‑proxy, stubby ou outra ferramenta?

Existe alguma aplicação “tudo‑em‑um” que gerencie DNS, firewall, proxy sendo algo similar ao ReThink DNS que encontrei nos smartphones?

Agradeço muito qualquer ajuda, tutoriais detalhados, scripts prontos ou recomendações de aplicativos que facilitem esse processo.

Info adicionais:

System:
Kernel: 6.8.0-87-generic arch: x86_64 bits: 64
Desktop: Cinnamon v: 6.4.8 Distro: Linux Mint 22.2 Zara
Machine:
Type: Laptop System: HP product: HP ProBook 645 G4 v: SBKPF
serial: 
Mobo: HP model: 8401 v: KBC Version 06.63.00 serial: 
UEFI: HP v: Q82 Ver. 01.26.01 date: 09/23/2024
Battery:
ID-1: BAT0 charge: 23.7 Wh (100.0%) condition: 23.7/48.0 Wh (49.4%)
CPU:
Info: quad core model: AMD Ryzen 3 PRO 2300U w/ Radeon Vega Mobile Gfx
bits: 64 type: MCP cache: L2: 2 MiB
Speed (MHz): avg: 1648 min/max: 1600/2000 cores: 1: 1307 2: 1287 3: 2000
4: 2000
Graphics:
Device-1: AMD Raven Ridge \[Radeon Vega Series / Radeon Mobile Series\]
driver: amdgpu v: kernel
Device-2: Lite-On HP HD Camera driver: uvcvideo type: USB
Display: x11 server: X.Org v: 21.1.11 with: Xwayland v: 24.1.6 driver: X:
loaded: amdgpu unloaded: fbdev,modesetting,vesa dri: radeonsi gpu: amdgpu
resolution: 1366x768\~60Hz
API: EGL v: 1.5 drivers: kms_swrast,radeonsi,swrast
platforms: gbm,x11,surfaceless,device
API: OpenGL v: 4.6 compat-v: 4.5 vendor: amd mesa v: PPA renderer: AMD
Radeon Vega 6 Graphics (radeonsi raven ACO DRM 3.57 6.8.0-87-generic)
API: Vulkan v: 1.3.275 drivers: N/A surfaces: xcb,xlib
Audio:
Device-1: AMD Raven/Raven2/Fenghuang HDMI/DP Audio driver: snd_hda_intel
Device-2: AMD Family 17h/19h HD Audio driver: snd_hda_intel
API: ALSA v: k6.8.0-87-generic status: kernel-api
Server-1: PipeWire v: 1.0.5 status: active
Network:
Device-1: Realtek RTL8111/8168/8211/8411 PCI Express Gigabit Ethernet
driver: r8169
IF: enp1s0f0 state: down mac: 
Device-2: Intel Wireless 7265 driver: iwlwifi
IF: wlp2s0 state: up mac: 
IF-ID-1: proton0 state: unknown speed: N/A duplex: N/A mac: N/A
IF-ID-2: pvpnksintrf0 state: unknown speed: N/A duplex: N/A mac: 
IF-ID-3: virbr0 state: down mac: 
Bluetooth:
Device-1: Intel Bluetooth wireless interface driver: btusb type: USB
Report: hciconfig ID: hci0 rfk-id: 0 state: down
bt-service: enabled,running rfk-block: hardware: no software: yes
address: 
Drives:
Local Storage: total: 238.47 GiB used: 131.46 GiB (55.1%)
ID-1: /dev/sda vendor: LITE-ON model: CV8-8E256-HP size: 238.47 GiB
Partition:
ID-1: / size: 233.18 GiB used: 131.46 GiB (56.4%) fs: ext4 dev: /dev/sda2
ID-2: /boot/efi size: 511 MiB used: 6.1 MiB (1.2%) fs: vfat dev: /dev/sda1
Swap:
ID-1: swap-1 type: file size: 2 GiB used: 0 KiB (0.0%) file: /swapfile
Sensors:
System Temperatures: cpu: 45.9 C mobo: N/A gpu: amdgpu temp: 45.0 C
Fan Speeds (rpm): N/A
Info:
Memory: total: 16 GiB note: est. available: 14.57 GiB used: 4.65 GiB (31.9%)
Processes: 284 Uptime: 7h 26m Shell: Bash inxi: 3.3.34
1 curtida

Usa o systemd-resolved.

https://forums.linuxmint.com/viewtopic.php?t=424299

Unbound(para usar o DOT) + Pihole(para aplicar as listas de bloqueio).

Certo. Você consegue por gentileza me dar algum auxílio de instalação para o meu propósito?

uso o systemd-resolved: How to Setup a local DNS Caching Server on Linux?

mas coloquei DNSOverTLS=opportunistic em /etc/systemd/resolved.conf para que seja ativado apenas se o site suportar. vc pode ativar diretamente no navegador, como firefox.

Olá! Consegueria me auxiliar no passo a passo de como realizar no terminal?

o link acima explica como fazê-lo. recomendo utilizá-lo se realmente tiver uma necessidade muito específica. caso contrário, deixe como está.

Segui corretamente o passo a passo do link, e mesmo assim, aparentemente o DoT não está presente e sim o DoH..

1.1.1.1 - Debug Information

resolved.conf

DNS=1.1.1.2
FallbackDNS=1.0.0.2
Domains=~.
DNSSEC=allow-downgrade
DNSOverTLS=opportunistic
MulticastDNS=no
LLMNR=resolve
Cache=no-negative
CacheFromLocalhost=no

DNSStubListener=yes

ReadEtcHosts=yes

ResolveUnicastSingleLabel=yes

StaleRetentionSec=0

–>> usei 1.1.1.2 e 1.0.0.2. use o que quiser mas mantenha as configurações idênticas para o mesmo DNS.

–>> em “Domains” atente-se ao fato de que é um til com ponto logo a seguir: ~.


/etc/NetworkManager/NetworkManager.conf

[main]
plugins=ifupdown,keyfile
dns=systemd-resolved

[ifupdown]
managed=false

[device]
wifi.scan-rand-mac-address=no


/etc/NetworkManager/conf.d/dns.conf

[main]
dns=systemd-resolved


/etc/NetworkManager/conf.d/dns-servers.conf

[global-dns-domain-*]
servers=1.1.1.2