Boa, DNS no dispositivo já corta o principal — o redirecionamento pra phishing bancário.

  Só fica ligado que câmera IP, smart TV, echo dot... esses usam o DNS que o roteador entrega. Não dá pra configurar neles individualmente (a maioria nem tem a opção). Se o roteador tiver a config de DNS na WAN, trocar lá cobre a
rede inteira de uma vez.