Configuración y Blindaje en Android

Protege todo tu dispositivo mediante DNS Privado nativo (DoT sin apps) o mediante aplicaciones DoH cifradas como Intra (de Google / Jigsaw) o RethinkDNS, con guía para hacerlas totalmente ocultas e inviolables en el teléfono.

Toda la gestión de dominios permitidos, listas negras y categorías se procesa en el Edge de Cloudflare. Para ajustar las reglas:

• Entra desde cualquier navegador a focusguard.trujillomingorance.com.
• Introduce tu PIN Maestro Parental para acceder al panel de configuración.
• Cualquier cambio se sincroniza instantáneamente en todos los móviles configurados sin necesidad de volver a tocarlos físicamente.

Configuración en iPhone e iPad

El perfil DNS Settings aplica DoH a todo el sistema: Safari, Chrome, apps, juegos y datos móviles — no solo al navegador.

Paso 1 — Descargar e instalar el perfil (.mobileconfig)

1. Pulsa Descargar perfil iOS (preferible con Safari).
2. Si aparece “Este sitio web intenta descargar un perfil de configuración”, pulsa Permitir.
3. Abre Ajustes → arriba verás Perfil descargado (o Ajustes → General → VPN y gestión de dispositivos).
4. Pulsa Instalar (arriba a la derecha) → introduce el código del iPhone → Instalar de nuevo.
5. Confirma Hecho. El payload com.apple.dnsSettings.managed fuerza DNS sobre HTTPS.

Endpoint del perfil: https://focusguard.trujillomingorance.com/dns-query/p_...

Paso 2 — Verificar que el DNS está activo

• Ajustes → General → VPN y gestión de dispositivos → comprueba el perfil FocusGuard.
• Prueba abrir un dominio de la categoría bloqueada: debe fallar la carga o quedar en blanco.
• El filtro sigue activo en datos móviles y en Wi‑Fi públicos (no depende del router de casa).

Paso 3 — Control parental / anti-desinstalación

1. Ajustes → Tiempo en pantalla → Contenido y privacidad → activar restricciones.
2. Bloquea cambios de Perfiles de configuración y de cuenta iCloud si aplica.
3. En flotas Enterprise: despliega el perfil con PayloadRemovalDisallowed vía JAMF / Apple Business Manager (guía Intune/MDM).

Configuración en Windows 10 / 11

Aplica DNS + plantilla DoH en los adaptadores activos. Requiere permisos de Administrador.

Método recomendado — Script 1 clic (.bat)

1. Elige las categorías arriba en AdShield (publicidad, +18, redes…).
2. Descarga Instalar AdShield (.bat) (tira el .bat viejo si aún te salía el error de Administrador).
3. Doble clic. Si Windows pregunta, pulsa Sí. No tiene que salir ningún error rojo.
4. Cuando veas [SUCCESS], cierra Brave (y Chrome/Edge) del todo y ábrelos otra vez. Brave no usa el DNS de Windows si no se le fuerza.

Método manual — Windows 11 DoH

1. Configuración → Red e Internet → Ethernet o Wi‑Fi → propiedades del adaptador.
2. Asigna DNS preferido 1.1.1.1 y alternativo 1.0.0.1.
3. En “DNS cifrado” / plantilla DoH elige Personalizado y pega tu URL FocusGuard (Ajustes de cuenta → Token DoH).
4. Opcional (admin): política HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient → valor DoHPolicy = 2 (preferir DoH).

Verificación y anti-bypass

• PowerShell: Get-DnsClientServerAddress y Get-DnsClientDohServerAddress.
• En cuentas infantiles/Pro: usa Control parental o cuenta estándar sin permisos de admin para cambiar DNS.
• Flotas: despliega el .ps1 vía GPO o Intune (guías Enterprise).

Configuración en macOS y Linux

Scripts bash para DNS del sistema; en macOS 14+ también puedes usar perfil DNS Settings (.mobileconfig) como en iOS.

macOS — script o Terminal

1. Descarga Enable-AdShield.sh.
2. Abre Terminal y ejecuta:
   chmod +x Enable-AdShield.sh && sudo bash Enable-AdShield.sh
3. El script configura DNS del servicio Wi‑Fi (ajusta el nombre de interfaz si usas Ethernet: networksetup -listallnetworkservices).
4. Para DoH nativo en macOS reciente: instala el perfil .mobileconfig (botón de flota Enterprise o genera el de iOS/mac).

Linux (systemd-resolved / NetworkManager)

• NetworkManager: nm-connection-editor → IPv4 → DNS 1.1.1.1, 1.0.0.1 → aplica y reconecta.
• systemd-resolved: en /etc/systemd/resolved.conf define DNS= y DNSOverTLS= si tu distro lo soporta; o usa un stub DoH (cloudflared, dnscrypt-proxy) apuntando a tu URL FocusGuard.
• Verificar: resolvectl status o cat /etc/resolv.conf.
• Bloquea en firewall saliente el puerto 53 de usuarios no root si quieres impedir DNS bypass.

Filtrado a nivel de toda la red

Un solo cambio en el router protege móviles, PCs, TVs, consolas e IoT conectados por Wi‑Fi o cable — sin instalar apps en cada dispositivo.

Archivos de instalación y desinstalación

Incluyen DNS 1.1.1.1 / 1.0.0.1 y tu URL DoH de FocusGuard para copiarla en el panel del router.

Paso 1 — Entrar al panel del router

1. Conéctate a la Wi‑Fi de casa y abre el navegador en 192.168.1.1, 192.168.0.1 o la IP de la puerta de enlace (ipconfig / Ajustes Wi‑Fi → Router).
2. Inicia sesión (usuario/contraseña del operador o etiqueta del router). Cambia la contraseña por defecto si aún es genérica.
3. Busca: Internet / WAN / LAN / DHCP / DNS (el nombre varía por marca).

Paso 2 — DNS de red (recomendado como base)

Configura DNS estáticos en WAN o en el servidor DHCP (opción “DNS manual”). Los clientes recibirán estos DNS al renovar la IP (o tras reconectar Wi‑Fi).

Para filtrado de categorías FocusGuard en clientes con DoH nativo, combina el router con el endpoint DoH personal en móviles/PC (las apps modernas a veces saltan el DNS del router si usan su propio DoH).

Paso 3 — Por marca y refuerzo

• ASUS / TP-Link / Xiaomi: WAN → DNS manual; desactiva “DNS automático del ISP”.
• Movistar / Vodafone / Orange (HGU): a veces el DNS está en “Internet avanzada” o requiere modo bridge + router propio para control total.
• OpenWrt / FRITZ!Box: usa reenviador DNS o DoH package y fuerza que los clientes usen el router (firewall 53 saliente bloqueado).
• Infraestructura empresarial: ver guía Firewall / Proxy (pfSense, FortiGate, Sophos).

DNS seguro en Chrome, Edge, Brave y Firefox

Ideal en PCs compartidos o laboratorios: el filtrado aplica solo a ese navegador (no a Steam, Discord u otras apps nativas).

Tu URL DoH personalizada

Copia también desde Ajustes → Token DoH si tienes endpoint personal de cuenta.

Chrome / Edge / Brave (Chromium)

1. Brave: por defecto usa su propio DNS y ignora el de Windows. El script de Windows ya le fuerza FocusGuard. A mano: brave://settings/security → Usar DNS seguro → Personalizado → pega la URL DoH.
2. Chrome: chrome://settings/security · Edge: edge://settings/privacy.
3. Activa Usar DNS seguro → Con → Personalizado → pega la URL.
4. Cierra el navegador por completo (todas las ventanas) y ábrelo de nuevo. Prueba bet365.com si tienes Casinos marcado.

Firefox

1. Ajustes → Privacidad y seguridad → DNS sobre HTTPS.
2. Selecciona Aumentada o Máxima protección.
3. Proveedor → Personalizado → pega tu URL FocusGuard.
4. Opcional: about:config → network.trr.mode = 3 (solo TRR, sin fallback) en entornos controlados.

Limitación: el DoH del navegador no filtra otras aplicaciones del sistema. Para cobertura total usa Android DNS Privado, perfil iOS, script Windows o router/firewall.

Integración GPO, SSO y Directorio Corporativo

1. Despliegue por GPO (Windows Domain)

Empuja el script PowerShell de flota a todos los equipos del dominio con un Startup Script de Group Policy. Ideal para aulas, oficinas y flotas AD on-prem.

1. En un DC o RSAT: abre Group Policy Management → crea la GPO FocusGuard-DNS.
2. Enlázala a la OU de workstations (no a Domain Controllers salvo que sepas lo que haces).
3. Computer Configuration → Policies → Windows Settings → Scripts → Startup → añade el .ps1 (copia el archivo a SYSVOL de la GPO).
4. Política de DoH: HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient → DoHPolicy DWORD = 2.
5. Deniega a usuarios estándar el cambio de adaptadores de red (GPO → Network Connections).
6. En un PC piloto: gpupdate /force → reinicio → Get-DnsClientDohServerAddress.

2. LDAP / SSO y mapeo de políticas

• Asocia cada OU o grupo de seguridad a un tenant / perfil DNS (ej. Marketing vs. Ingeniería).
• Usa el login Google corporativo de FocusGuard para SSO del panel de administración.
• Los logs de auditoría (Enterprise) reflejan bloqueos por tenant_id para cumplimiento y reporting.
• Recomendado: denegar a usuarios estándar el cambio de DNS (GPO + local admin restrictions).

Endpoint DoH de flota: https://focusguard.trujillomingorance.com/dns-query/p_...

Despliegue Masivo Microsoft Intune & JAMF

Microsoft Intune (Windows)

1. Descarga el script de flota .ps1 de FocusGuard.
2. En Intune: Devices → Scripts → Add → Windows 10 and later.
3. Sube el .ps1, ejecuta en contexto de sistema, reintentos activados.
4. Asigna al grupo Azure AD / Entra ID de dispositivos corporativos.
5. Verifica en un dispositivo piloto: DNS DoH activo y categorías bloqueadas.

Apple MDM / JAMF (iOS & macOS)

1. Descarga el perfil .mobileconfig con DNS Settings (DoH) de FocusGuard.
2. En JAMF / Apple Business Manager: sube como Configuration Profile.
3. Payload: com.apple.dnsSettings.managed — el perfil ya incluye ServerURL DoH.
4. Marca el perfil como no removable (PayloadRemovalDisallowed) para dispositivos supervisados.
5. Despliega por scope (departamentos, sitios o tags de inventario).

Buenas prácticas MDM

• Separa perfiles por entorno: oficina, remoto, BYOD.
• Combina DNS filtrado con compliance policies (dispositivo cifrado, PIN, etc.).
• Prueba en un grupo piloto antes del despliegue masivo a toda la flota.

pfSense, FortiGate, Sophos y Proxy HTTP/S

Archivos de perímetro

Cheatsheet con tu DoH y los pasos de pfSense / FortiGate / Sophos, más el archivo para revertir.

DNS Forwarding en el perímetro

Apunta el reenviador DNS de tu firewall al endpoint DoH/DoT de FocusGuard para filtrar toda la infraestructura (LAN, Wi‑Fi, VPN, IoT).

pfSense / OPNsense

1. System → General Setup: DNS Servers → 1.1.1.1 y 1.0.0.1 (o forwarder DoH si usas plugin).
2. Instala dns/dns-over-https o Unbound + DoH stub si tu build lo soporta.
3. En Unbound: reenvía consultas al resolver FocusGuard y desactiva DNS saliente de clientes (force local resolver).
4. Reglas firewall: bloquea puerto 53/853 saliente de la LAN hacia Internet (solo el firewall resuelve).

FortiGate / Sophos

• FortiGate: DNS Server / DNS Filter → custom DNS o DNS over HTTPS profile apuntando a tu URL FocusGuard.
• Sophos XG/XGS: Network → DNS → configurar forwarders y políticas de web filtering complementarias.
• En ambos: fuerza a los clientes a usar el DNS del gateway (DHCP option 6) y bloquea DNS bypass.

Proxy HTTP/S (Squid, etc.)

FocusGuard filtra en capa DNS. Si además usas proxy explícito, combina ambos:

• El proxy resuelve nombres vía el DNS local que ya reenvía a FocusGuard.
• No hagas bypass de DNS en el proxy hacia resolvers públicos abiertos.
• Documenta excepciones (whitelist) en el panel FocusGuard y en el proxy para dominios críticos de negocio.