@victor

Gracias por el enlace. Los de DNS0 tienen un Kids, que filtra cosas evidentes como porno. El tema es que lo configuraba en el router, y no hacía nada. Pero en la configuración de seguridad de los navegadores, si cambiaba el "DNS over HTTPS" y ponía el de DNS0 Kids, ahora sí que me filtra.

Creo que mi error fue que pensé que la estructura era jerárquica. Si ponía el DNS más "duro" en el router, todo lo que se conectase a él no podría "saltárselo". Pero parece que, al final, lo que manda es la configuración del "usuario" final, el navegador. Si tenía configurado el DNS por defecto en el navegador, era como si no hubiese hecho nada en el router.