Prueba de fuga DNS: detectar y corregir

¿Qué es una fuga DNS?

Cada visita a un sitio web empieza con una consulta DNS que convierte un nombre como example.com en una dirección IP. Normalmente responde el servidor DNS de tu proveedor de internet. Con una VPN, esas consultas deberían viajar por el túnel cifrado hasta el servidor DNS de la propia VPN.

Una fuga DNS ocurre cuando las consultas van al servidor DNS de tu proveedor fuera del túnel. Los sitios web siguen viendo la IP de la VPN, pero tu proveedor puede ver cada dominio que visitas, y su filtrado o bloqueo DNS sigue aplicándose.

Cómo funciona una prueba de fuga DNS

Un navegador no puede informar de qué servidor DNS usa. Por eso, una prueba de fugas hace que tu navegador resuelva varios nombres de host únicos y aleatorios de un dominio cuyo servidor DNS gestiona quien hace la prueba. Ese servidor registra qué direcciones IP de resolvers los preguntaron. Si esos resolvers pertenecen a tu proveedor de internet mientras tu VPN está conectada, tu DNS tiene una fuga.

La prueba de arriba hace exactamente eso: muestra cada resolver con su proveedor, red y país, y los compara con la IP que ven los sitios web. Los nombres de prueba y las IP de los resolvers se borran a los 10 minutos.

Comprueba tu servidor DNS a mano

Ejecuta uno de estos comandos en Terminal (macOS, Linux) o en el Símbolo del sistema (Windows, solo nslookup). Cada uno pide a un servicio público que te diga la dirección IP del resolver DNS que lo contactó:

nslookup -type=txt o-o.myaddr.l.google.com
dig +short TXT o-o.myaddr.l.google.com
dig +short whoami.akamai.net

Cómo leer el resultado

Busca a quién pertenece la dirección devuelta con cualquier servicio WHOIS o de consulta de IP.
Si pertenece a tu proveedor de internet mientras la VPN está conectada, tu DNS tiene una fuga.
Si pertenece a tu proveedor de VPN o a un resolver que tú elegiste, como Cloudflare (1.1.1.1) o Google (8.8.8.8), no hay fuga hacia tu proveedor.
Estos comandos prueban el DNS de tu sistema operativo. Si tu navegador tiene activado el «DNS seguro» (DNS over HTTPS), el navegador envía sus consultas a ese proveedor.

Cómo corregir una fuga DNS

Activa la protección contra fugas DNS de tu app de VPN (a veces llamada «usar el DNS de la VPN») y su kill switch.
Asegúrate de que la VPN también gestiona IPv6, o desactiva IPv6 en tu adaptador de red. Las consultas IPv6 pueden saltarse las VPN que solo cubren IPv4.
Activa el DNS cifrado: «DNS seguro» en Chrome, Edge o Brave, o «DNS sobre HTTPS» en Firefox, con el resolver de tu VPN o un proveedor de confianza.
Comprueba que tu router o un DNS configurado a mano no anulan los ajustes de la VPN y vuelve a hacer la prueba.

Preguntas frecuentes

›¿Por qué la prueba encuentra varios servidores DNS?

Los grandes servicios DNS como Google, Cloudflare y la mayoría de los proveedores usan grupos de servidores, así que distintas consultas pueden llegar desde direcciones diferentes. Lo que importa es a qué red pertenecen.

›¿Una fuga DNS es lo mismo que una fuga de IP?

No. Con una fuga DNS, los sitios web siguen viendo la IP de tu VPN, pero tu proveedor de internet (o quien gestione el resolver que filtra) puede ver qué dominios consultas.

›¿HTTPS evita las fugas DNS?

No. HTTPS cifra el contenido de la página, pero las consultas DNS clásicas se envían sin cifrar antes de que empiece la conexión. El DNS cifrado (DNS sobre HTTPS o TLS) resuelve esa parte.

›¿Puedo tener una fuga DNS sin VPN?

Sin VPN, lo esperable es que tus consultas vayan al servidor DNS de tu proveedor o a uno que tú elegiste, así que no es una fuga. El término importa cuando usas una VPN o un proxy.

›¿El modo privado o incógnito evita las fugas DNS?

No. Las ventanas privadas usan la misma configuración DNS que las normales.

›La prueba no encontró servidores DNS. ¿Por qué?

Un bloqueador de anuncios o de contenido puede frenar las peticiones de prueba aleatorias antes de que tu navegador las resuelva. Páusalo en este sitio y repite la prueba.

Prueba de fuga DNS

Test de fuga DNS